Si può usare il legittimo interesse per i cookie?

Di solito no. Nell’UE la direttiva ePrivacy richiede il consenso prima di archiviare o leggere cookie non essenziali e non prevede alcuna alternativa basata sul legittimo interesse. Il legittimo interesse è una base giuridica del Regolamento generale sulla protezione dei dati (GDPR) per il trattamento di dati personali: può quindi avere un ruolo per i dati gestiti tramite un cookie strettamente necessario, ma da solo non può giustificare cookie di analisi o pubblicitari.

Perché il legittimo interesse non può sostituire il consenso ai cookie?

Perché la regola che disciplina i cookie non si trova nel GDPR. È l’articolo 5, paragrafo 3, della direttiva ePrivacy, che consente di archiviare o leggere informazioni su un dispositivo solo con il consenso o in base a due esenzioni limitate, e il legittimo interesse non è tra queste.

La confusione è comprensibile. L’articolo 6 del GDPR elenca sei basi giuridiche per il trattamento dei dati personali: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico e legittimo interesse. Poiché i cookie spesso comportano dati personali, si è tentati di pensare che una qualsiasi delle sei vada bene.

L’errore sta nel fatto che la norma ePrivacy è la legge più specifica per l’atto di accedere a un dispositivo, e si applica anche quando non sono coinvolti dati personali. La domanda “posso installare questo cookie?” trova quindi risposta solo nell’ePrivacy. Le basi giuridiche del GDPR entrano in gioco soltanto per ciò che fai in seguito con i dati personali. Il nostro approfondimento su direttiva ePrivacy e GDPR illustra questa logica in due fasi.

Cos’è il legittimo interesse secondo il GDPR?

Il legittimo interesse, previsto dall’articolo 6, paragrafo 1, lettera f), consente il trattamento necessario per perseguire il tuo legittimo interesse o quello di terzi, a condizione che non prevalgano gli interessi o i diritti fondamentali dell’interessato. È una base flessibile, ma comporta obblighi concreti.

Per farvi affidamento devi superare un test in tre parti, di solito messo per iscritto in una valutazione del legittimo interesse:

• Finalità. L’interesse è legittimo, chiaramente definito e lecito?
• Necessità. Il trattamento è davvero necessario per quella finalità, o esiste un modo meno invasivo per raggiungerla?
• Bilanciamento. I diritti e le ragionevoli aspettative dell’interessato prevalgono sul tuo interesse?

In genere le persone hanno il diritto di opporsi al trattamento basato sul legittimo interesse, e devi informarle di questo diritto. Il tracciamento occulto tra siti a fini pubblicitari è difficile da giustificare nel bilanciamento, perché la maggior parte delle persone non se lo aspetta.

Dove può ancora applicarsi il legittimo interesse ai cookie?

Può applicarsi ai dati personali trattati tramite cookie esenti dal consenso e ai trattamenti che non comportano alcun accesso al dispositivo. Non può coprire l’accesso al dispositivo in sé per finalità non essenziali.

Scenario	Archiviazione o lettura sul dispositivo (ePrivacy)	Trattamento successivo dei dati (GDPR)
Cookie di sessione per il login	Esente in quanto strettamente necessario	Di solito contratto; possibile il legittimo interesse
Cookie di bilanciamento del carico	Esente in quanto strettamente necessario	Il legittimo interesse è frequente
Controlli di sicurezza e antifrode su un servizio richiesto	Spesso esente se strettamente necessario; verifica le indicazioni locali	Il legittimo interesse è frequente
Cookie di analisi	Consenso, salvo che si applichi un’esenzione nazionale limitata	Il consenso è la scelta più sicura
Pubblicità e retargeting	Consenso	In pratica, consenso
Analisi lato server senza accesso al dispositivo	In genere non si applica; verifica come vengono raccolti i dati	Il legittimo interesse può essere possibile

Le prime righe presuppongono che il cookie sia davvero strettamente necessario, e la nostra guida ai cookie strettamente necessari spiega dove passa questo confine. L’ultima riga è l’idea alla base di molte soluzioni di analytics senza cookie, anche se “senza cookie” non significa automaticamente “senza consenso”.

Una regola ferma arriva dal Comitato europeo per la protezione dei dati (EDPB), che coordina le autorità di controllo dell’UE: non puoi cambiare base giuridica a posteriori. Se hai chiesto il consenso e il visitatore lo ha rifiutato o poi revocato, non puoi proseguire lo stesso trattamento sulla base del legittimo interesse.

Come ha cambiato il legittimo interesse l’IAB TCF 2.2?

La versione 2.2 dell’IAB Europe Transparency & Consent Framework (TCF), pubblicata nel 2023, ha eliminato il legittimo interesse come base ammessa per le finalità di pubblicità e di personalizzazione dei contenuti. In questo modo è stato chiuso il canale più comune attraverso cui il legittimo interesse compariva nei banner dei cookie.

Il TCF è uno standard di settore che molti editori e fornitori di ad tech usano per raccogliere le scelte di consenso e trasmetterle lungo la filiera pubblicitaria. Prima della versione 2.2, molti banner includevano una scheda “legittimo interesse” separata, con fornitori e finalità attivati per impostazione predefinita e un’opzione di opposizione che pochi visitatori riuscivano a trovare.

Con il TCF v2.2, le finalità da 3 a 6 (creazione di profili per la pubblicità personalizzata, uso di profili per selezionare annunci personalizzati, creazione di profili per personalizzare i contenuti e uso di profili per selezionare contenuti personalizzati) richiedono il consenso. La finalità 1, archiviare informazioni su un dispositivo o accedervi, richiedeva già il consenso. Alcune finalità di misurazione e di sviluppo dei prodotti possono ancora basarsi sul legittimo interesse all’interno del framework, ma questo non cambia ciò che la direttiva ePrivacy richiede per i cookie in sé.

La versione 2.2 impone inoltre di mostrare il numero di fornitori nel primo livello del banner. La nostra guida all’IAB TCF 2.2 illustra le altre novità.

Come gestire il legittimo interesse nella tua configurazione del consenso?

Tieni ben separati i cookie basati sul consenso e i trattamenti fondati sul legittimo interesse, e non usare mai il legittimo interesse come ripiego quando manca il consenso. Un processo semplice aiuta:

1. Associa ogni cookie e tracker a una finalità. Includi i tag caricati tramite tag manager e plugin.
2. Rispondi prima alla domanda ePrivacy. Per ogni elemento, decidi se è strettamente necessario o se richiede il consenso. Non esiste una terza opzione.
3. Scegli una base giuridica GDPR per il trattamento successivo. Documentala e redigi una valutazione del legittimo interesse ogni volta che ti basi su questo presupposto.
4. Spiega in modo chiaro i trattamenti basati sul legittimo interesse. Descrivili nell’informativa privacy e offri un modo semplice per opporsi, invece di interruttori preattivati nascosti in un secondo livello.
5. Rispetta i rifiuti a prescindere dalla base giuridica. Se un visitatore rifiuta l’analisi, interrompi il trattamento a fini di analisi, non solo il cookie.
6. Rivedi tutto quando cambiano i fornitori. I nuovi strumenti arrivano spesso con i propri presupposti sulle basi giuridiche, che potrebbero non coincidere con i tuoi.

In sintesi

Il legittimo interesse è una vera base giuridica del GDPR, ma per i cookie opera solo a valle della domanda ePrivacy, mai al suo posto. Se un cookie non è strettamente necessario, chiedi il consenso. Se lo è, puoi valutare il legittimo interesse per il trattamento che segue, supportato da una valutazione documentata. Strumenti come Cookiesh possono bloccare gli script di analisi e marketing fino al consenso lasciando funzionare quelli necessari, così questo confine resta chiaro anche nella pratica.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.