Come riconoscere i cookie di profilazione
Una delle domande più frequenti che ci pongono le web agency e i titolari di siti web è la seguente:
come riconoscere i cookie di profilazione rilasciati da un sito web?
Rispondere correttamente a questa domanda permette di
usare correttamente il generatore di cookie policy e di ottenere
banner cookie a norma.
In questa guida specifica per siti web, ecommerce e web agency analizziamo questo importante tema privacy, anche alla luce di quanto previsto dal
GDPR.
SOMMARIO
Cosa sono i cookie
Riconoscere i cookie di profilazione: soggetti e finalità
L'importanza dell'indirizzo IP
Servizi che non fanno profilazione legalmente rilevante
Le conseguenze del diniego all'uso di cookie di profilazione
I servizi di scansione automatica (molto spesso non servono)
Conclusioni
Maggiori informazioni?
Innanzitutto una premessa: cosa sono i cookie?
Senza cadere troppo in tecnicismi informatici o legali, per "cookie" si intende un piccolo file che viene installato sul terminale dell'utente in occasione della visita a un sito web o a un sito di commercio elettronico.
Questo significa che quando un utente visita il tuo sito web, si vede installato una serie di file, i cookie appunto, che permettono la corretta usufruibilità del sito e ulteriori servizi.
Compreso cosa sono i cookie, per sapere come riconoscere i cookie di profilazione, è senz'altro utile sapere come si suddividono i cookie in generale.
In base al soggetto che rilascia i cookie:
cookie di prima o di
terza parte.
In base alla finalità del cookie:
cookie tecnici o
cookie di profilazione.
Cookie di prima o terza parte
I
cookie di prima parte sono quelli che vengono rilasciati dal titolare del sito web. O meglio, sono quelli direttamente riconducibili al sito web.
Infatti, è veramente molto raro che sia il titolare del sito web a creare cookie per il proprio sito.
Diversamente, è più probabile che il sito stesso rilasci cookie che, sebbene creati da società terze, siano direttamente riconducibili al sito.
Tipico esempio sono i cookie rilasciati direttamente dalla piattaforma CMS (es.: Shopify, Storeden, PrestaShop o 1MinuteSite).
Questi cookie, sebbene creati da società terze, sono qualificabili come "di prima parte", proprio perchè strettamente connessi al sito stesso.
I cookie di terza parte sono invece rilasciati da società terza che non hanno uno stretto rapporto con il sito o con il suo titolare.
Esempi tipici, sono i cookie rilasciati da Google o da Facebook.
Cookie tecnici o di profilazione
Parlando di questa categoria entriamo un pò nel "cuore" di questo articolo,
finalizzato a scoprire come riconoscere i cookie di profilazione.
I
cookie tecnici sono necessari al corretto funzionamento del sito.
Esempi di cookie tecnici sono quelli che:
- permettono all'utente di navigare sul sito come utente "loggato"
- ricordano i prodotti inseriti nel carrello o le preferenze dell'utente
- ricordano le scelte dell'utente sulla gestione dei cookie
Senza questa tipologia di cookie il sito web non potrebbe funzionare, o funzionerebbe male.
I cookie tecnici infatti permettono tutte quelle funzioni che l'utente di solito si aspetta dal sito.
Come
riconoscere invece i cookie di profilazione?
Questi cookie si dividono in 2 categorie:
- cookie di profilazione pubblicitaria. Riconoscono l'indirizzo IP dell'utente per proporre pubblicità personalizzata sui suoi interessi manifestati nel corso della navigazione online.
- cookie di profilazione statistica. Sono cookie che ricavano dati statistici sulle visite di un determinato indirizzo IP.
Un tipico cookie di profilazione pubblicitaria è il pixel di Facebook. Tramite questo cookie, infatti, il sito web è in grado di proporre pubblicità personalizzata all'utente in base ai propri interessi.
Ad esempio, permette di presentare un banner pubblicitario sul proprio sito web all'utente che ha visitato la pagina Facebook del medesimo sito web.
Tipico cookie di profilazione statistica è invece Google Analytics. Tramite questo cookie è infatti possibile avere dati statistici sulla navigazione sul sito da parte di un determinato indirizzo IP.
Insomma, per riconoscere cookie di profilazione rilevanti per il tuo sito web dovresti chiederti se, con riferimento agli indirizzi IP degli utenti, quel determinato servizio:
- permette di presentare pubblicità personalizzata all'utente
- fornisce dati statistici sull'uso del sito con riferimento a un determinato utente.
Se la risposta alla prima domanda è positiva, allora sarai alla presenza di un cookie di profilaizone pubblicitaria.
Se invece rispondi positivamente alla seconda domanda, allora sei in presenza di un cookie di profilazione statistica.
Come vedi, il ruolo dell'indirizzo IP dell'utente è molto importante per
riconoscere i cookie di profilazione rilasciati dal tuo sito web o sito ecommerce.
Infatti, se un determinato tool o servizio non ti permette di risalire all'indirizzo IP dell'utente (per finalità statistiche o pubblicitarie) allora non ti permette di trattare questo
particolare dato personale.
Se così è, allora il cookie in esame non è un cookie di profilazione, bensì un cookie tecnico e deve essere trattato come tale (cioè non deve essere inserito nel banner cookie).
C'è una sorta di
"zona grigia" nel contesto del riconoscimento dei cookie di profilazione rilasciati dal tuo sito web.
E' rappresentata da tutti quesi servizi che rilasciano cookie di profilazione, che però non ha senso inserire nel banner cookie (e nella cookie policy).
Riconoscere cookie di profilazione che servono al sito per funzionare correttamente
Ad esempio, vi possono essere dei servizi che rilasciano cookie di profilazione necessari per permettere il servizio stesso.
Si pensi ai servizi come
reCAPTCHA. Questo servizio è un noto strumento di sicurezza del sito che pone della "domande" all'utente per sincerarsi ad esempio che egli non sia un "bot".
Ebbene, questo servizio deve "riconoscere" l'utente per permettergli di navigare sul sito una volta che ha risposto correttamente alla domanda.
Quesa forma di riconoscimento, però, è
irrilevante nell'ambito della operazione di riconoscimento dei cookie di profilazione.
Infatti, eventuali cookie di profilazione rilasciati da servizi come questo servono al sito per funzionare correttamente.
Sono cookie che l'utente si aspetta che il sito rilasci.
Dal punto di vista strettamente giuridico, la base legale per rilasciare questi cookie non è il consenso ma
l'interesse legittimo.
Riconoscere cookie di profilazione rilasciati per finalità di siti terzi
C'è un'altra categoria di cookie di profilazione legamente irrilevanti per il tuo sito.
E' rappresentata da quei servizi che rilasciano
cookie di profilazione, ma a "beneficio" di aziende terze.
Ad esempio, Google Maps rilascia cookie di profilazione, ma
a beneficio di Google, non tuo o del tuo sito.
Quando l'utente naviga sulla mappa di Google è probabilie che Google in quel momento stia "profilando" l'utente, per poi proporgli pubblicità personalizzata o per finalità statistiche.
Ma ciò non rileva per il tuo sito web e pertanto è
irrilevante nella tua ricerca su come riconoscere i cookie di profilazione.
Come abbiamo visto al capitolo precedente, vi possono essere servizi sul sito che rilasciano cookie di profilazione ma che sono legalmente irrilevanti per il tuo sito web.
Se così non fosse, chiediti le conseguenze dell'eventuale diniego dell'utente al rilascio di cookie di profilazione.
Immagina un utente che decida di bloccare tutti i cookie di profilazione, cliccando sulla X in alto a destra del banner.
Se hai qualificato, ad esempio Google Maps, come cookie di profilazione al posto della mappa troverai un "buco nero" perchè il servizio non può funzionare senza determinati cookie di profilazione.
Ma non è questo che ha chiesto l'utente quando ha deciso di non essere profilato.
Cliccando sulla X in alto a destra del banner, l'utente ha solo chiesto di non essere profilatato per finalità statistiche o pubblicitarie, ma è ovvio che voglia usufruire dei servizi tipici del sito (come appunto Google Maps).
Questa circostanza conferma che per riconoscere i cookie di profilazione del tuo sito è necessario un approccio legale al "tema cookie".
Molti servizi di generazione di cookie policy offrono servizi di scansione automatica dei cookie.
Si clicca un tasto e il tool scansione il sito web alla ricerca di cookie di profilazione.
Facile vero?
Il "problema" è che il tool non può sapere, con riferimento a determinati servizi, se e come questi forniscono informazioni di profilazione sugli indirizzi IP degli utenti.
Ad esempio, la scansione automatica può rilevare i cookie di Youtube, ma è in grado di sapere se il titolare del sito web ricava dati statistici sugli indirizzi IP che hanno visionato il video?
Molto probabilmente no, ma il tool inserirà lo stesso questo cookie all'interno della cookie policy e del banner.
Il risultato è una cookie policy piena di cookie di profilaizone, che però non sono affatto di profilazione.
Una cookie policy "ingolfata" di cooki di profilazione può confondere l'utente e comportare il rischio di sanzioni, proprio per la sua "indeterminatezza".
Anche questa circostanza conferma che per generare una cookie policy a norma è richiesto l'intervento di un legale esperto in materia.
Alla luce di quanto sopra, per riconoscere i cookie di profilazione non ha senso concentrarsi sui "servizi" rilasciati dal sito.
Proprio perchè non tutti i servizi rilasciano cookie di profilazione legalmente rilevanti.
Ecco alcuni esempi di servizi che al 99% delle volte non rilasciano cookie di profilazione legalmente rilevanti:
- i sistemi di pagamento. Quando infatti l'utente paga è diretto a una pagina esterna al sito web. Inoltre, anche se rilascassero cookie di profilazione, essi servirebbero per la corretta esecuzione del pagamento. Quindi non avrebbe senso "bloccare" questi cookie con il banner cookie.
- i servizi di "sicurezza" come reCAPTCHA.
- link ai video di YouTube
- Google Maps
- Google Fonts
Insomma, molto spesso i cookie di profilazione non sono nel numero elevato che ci si aspetta!
In base a quanto abbiamo indicato in questa guida, quali sono i punti da prendere in considerazione per riconoscere i cookie di profilazione e generare una corretta cookie policy?
Ecco la nostra sintesi:
a. Indica i
cookie di profilazione pubblicitaria che ti permettono di generare pubblicità personalizzata con riferimento al singolo IP
b. Indica i
cookie di profilazione statistica che ti forniscono dati statistici sull'uso del sito da parte del singolo IP
c.
Non indicare i servizi che rilasciano cookie di profilazione
solo per permettere il corretto funzionamento del sito
d. Non indicare i servizi che rilasciano cookie di profilazione e i cui dati di tracciamento sono utilizzati da società terze e di cui tu non hai il "controllo" (es.: Google Maps oppure i link ai video di YouTube).
Contattaci per maggior informazioni tramite il form che trovi in
home page, oppure scrivi a legalblink@legalblink.it!
Team LegalBlink