Cosa si intende per cookie strettamente necessario?

Un cookie strettamente necessario è un cookie senza il quale il tuo sito web non può fornire un servizio esplicitamente richiesto dall’utente, come mantenerlo connesso, conservare gli articoli nel carrello o ricordare le sue scelte sui cookie. Secondo le regole UE, questi cookie sono esenti dal consenso. I cookie che servono soprattutto alla tua attività, come quelli di analisi, pubblicitari o di A/B testing, in genere non lo sono.

Cosa dice esattamente la legge?

L’esenzione deriva dall’articolo 5, paragrafo 3, della direttiva ePrivacy. Archiviare informazioni sul dispositivo dell’utente o accedervi richiede il consenso, salvo quando ciò serve unicamente a trasmettere una comunicazione su una rete o è strettamente necessario per fornire un servizio esplicitamente richiesto dall’utente.

Due espressioni fanno quasi tutto il lavoro:

• “Strettamente necessario” fissa un’asticella alta. Utile, efficiente o commercialmente importante non basta. Il servizio deve smettere di funzionare, o essere impossibile da fornire, senza il cookie.
• “Esplicitamente richiesto” significa che il servizio va valutato dal punto di vista del visitatore. Un visitatore richiede una pagina, un login o un checkout. Non richiede la misurazione dell’audience né il targeting pubblicitario.

Le PECR del Regno Unito contengono un’esenzione equivalente, fatta rispettare dall’ICO. Gli Stati membri dell’UE recepiscono la direttiva tramite leggi nazionali, quindi la formulazione e le indicazioni delle autorità variano leggermente da Paese a Paese. Per le categorie che circondano questa, leggi tipi di cookie.

Come verifico se un cookie è strettamente necessario?

Chiediti se il servizio richiesto dall’utente smetterebbe di funzionare senza il cookie e se il cookie fa anche altro. Per ciascuno, rispondi a queste domande:

1. Quale servizio ha richiesto l’utente? Indicalo in modo concreto: visualizzare la pagina, accedere, completare il checkout.
2. Il servizio smetterebbe di funzionare senza questo cookie? Se la risposta onesta è “funzionerebbe, ma perderemmo informazioni”, il cookie non è strettamente necessario.
3. Il cookie viene usato solo per quella finalità? Se lo stesso identificativo alimenta anche l’analisi o la pubblicità, l’esenzione non copre questi usi.
4. La sua durata è proporzionata? Un cookie di sessione o di breve durata è più facile da giustificare di uno che dura anni.
5. Qualcun altro riutilizza i dati? Se un fornitore usa le informazioni per finalità proprie, come la creazione di profili, difficilmente l’esenzione regge.

Un cookie che supera tutti e cinque i controlli è un ottimo candidato per la categoria dei necessari. Se ne fallisce anche uno solo, consideralo soggetto a consenso.

Quali cookie rientrano di solito nella categoria?

La maggior parte dei cookie strettamente necessari riguarda sessioni, sicurezza e memorizzazione delle scelte fatte dall’utente. La tabella mostra i casi più comuni, ma applica sempre il test alla tua configurazione.

Caso d’uso	Di solito strettamente necessario?	Note
Login e gestione della sessione	Sì	Per le aree in cui l’utente ha scelto di accedere
Carrello	Sì	Conserva gli articoli aggiunti dall’utente
Bilanciamento del carico	Sì	Instrada le richieste durante la sessione
Sicurezza, come token CSRF o controlli antifrode al login	In genere sì	Quando è legata al servizio richiesto
Memorizzazione della scelta di consenso dell’utente	Sì	Necessaria per rispettare quella scelta
Impostazioni di lingua o di accessibilità selezionate dall’utente	Spesso	Quando sono impostate con un’azione esplicita dell’utente e conservate per un tempo ragionevole
Analisi e misurazione dell’audience	In genere no	Vedi la sezione sull’analisi più avanti
A/B testing e personalizzazione	In genere no	Serve alla tua ottimizzazione, non alla richiesta dell’utente
Pubblicità, retargeting e monitoraggio delle conversioni	No	Nell’UE richiede il consenso
Contenuti social incorporati che tracciano i visitatori	No	Caricali solo dopo il consenso

Quali errori trasformano un cookie “necessario” in una violazione?

Il problema più comune è inserire cookie non essenziali nella categoria dei necessari, così che vengano caricati prima del consenso. È esattamente ciò che le autorità cercano quando esaminano banner ed elenchi di cookie.

Fai attenzione a questi schemi:

• Ragionare in termini di necessità aziendale. “Ci serve l’analisi per gestire l’attività” può essere vero, ma l’esenzione riguarda il servizio richiesto dall’utente, non le tue esigenze operative.
• Fidarsi delle etichette dei fornitori. Se un fornitore descrive il proprio cookie come “essenziale”, si tratta di una descrizione di prodotto, non di una valutazione giuridica. Verifica cosa fa davvero il cookie.
• Cookie con più finalità. Un unico identificativo usato sia per la gestione della sessione sia per l’attribuzione pubblicitaria richiede il consenso per l’uso pubblicitario. Dove possibile, separa le funzioni in cookie distinti.
• Tag che viaggiano insieme agli script necessari. Un container del tag manager può essere caricato prima del consenso, ma i tag al suo interno devono comunque attendere la scelta del visitatore.
• Confondere l’esenzione con il legittimo interesse. La base giuridica del legittimo interesse prevista dal Regolamento generale sulla protezione dei dati (GDPR) non sostituisce l’obbligo di consenso ePrivacy per l’archiviazione di informazioni su un dispositivo. Ne parliamo in si può usare il legittimo interesse per i cookie?

I cookie strettamente necessari vanno comunque indicati nell’informativa?

Sì, in pratica. L’esenzione elimina la necessità del consenso, ma se il cookie tratta dati personali gli obblighi di trasparenza del GDPR restano validi, e le autorità si aspettano di trovare i cookie necessari elencati insieme agli altri.

Questo comporta tre cose. Elenca ogni cookie necessario nella tua cookie policy con la relativa finalità e durata, come descritto in come scrivere una cookie policy. Mostra la categoria dei necessari nelle impostazioni del banner come “sempre attiva” invece che con un interruttore. E rivedi l’elenco ogni volta che aggiungi un fornitore, perché un cookie oggi esente può perdere questo status se ne cambia l’uso.

Esistono eccezioni per l’analisi?

In genere no. Secondo la direttiva ePrivacy, nella maggior parte dei Paesi dell’UE i cookie di analisi richiedono il consenso. Alcune autorità nazionali hanno descritto condizioni limitate in presenza delle quali una misurazione dell’audience di base e di prima parte può essere esente, richiedendo di norma una finalità strettamente circoscritta, nessun tracciamento cross-site e risultati aggregati.

Queste posizioni sono nazionali, non valide in tutta l’UE, e le loro condizioni sono rigorose. Anche il Regno Unito si è mosso per allentare le regole sul consenso per alcuni usi a basso rischio, tra cui determinate attività di analisi, ma la loro applicazione dipende dalla legislazione e dalle indicazioni dell’ICO, quindi verifica la situazione attuale prima di farvi affidamento. Se vuoi una misurazione che dipenda meno dal consenso, vale la pena valutare l’analytics senza cookie, anche se nemmeno questa esce automaticamente dall’ambito delle regole.

In sintesi

“Strettamente necessario” è una categoria ristretta: cookie senza i quali il servizio richiesto dall’utente non può funzionare, non usati per nient’altro e con una durata proporzionata. Verifica ogni cookie rispetto a questo standard, tieni tutto il resto subordinato al consenso e indica comunque i cookie necessari nell’informativa. Strumenti come Cookiesh possono automatizzare la scansione dei cookie, così è più facile individuare i nuovi cookie prima che finiscano nella categoria sbagliata.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.