Come progettare banner di consenso conformi al GDPR

I banner dei cookie ci seguono ovunque. Alcuni sono inutili, altri danno solo l’impressione di rispettare il GDPR e la maggior parte non rispetta le regole. Vediamo i punti essenziali.

1. il GDPR non è responsabile di tutto!

L’obbligo di ottenere il consenso prima di usare determinati servizi non deriva direttamente dal GDPR, ma dall’articolo 5, paragrafo 3, della direttiva ePrivacy:

Gli Stati membri provvedono affinché la memorizzazione di informazioni o l'accesso a informazioni già memorizzate nell'apparecchiatura terminale di un abbonato o di un utente siano autorizzati solo se l'abbonato o l'utente in questione ha dato il proprio consenso sulla base di informazioni chiare ed esaurienti che gli sono state fornite, tra l'altro, sulle finalità del trattamento. .....

La direttiva ePrivacy prevale sul GDPR: per questi servizi non si può quindi ricorrere al legittimo interesse dell’articolo 6, paragrafo 1, lettera f). Si applica invece il consenso previsto dalla lettera a).
Il GDPR stabilisce come raccogliere tale consenso.

2. Quando serve il consenso?

a. Il consenso non è necessario, ad esempio, per

• Informazioni sul dispositivo, come indirizzo IP, risoluzione dello schermo e sistema operativo, necessarie a visualizzare o proteggere siti e app
• Cookie strettamente necessari per lingua, caratteri, autenticazione, preferenze, carrello e moduli online (cookie di sessione)
• Servizi che migliorano la visualizzazione, riducono i tempi di caricamento o ottimizzano il sito, come CDN e font web

In linea generale, non serve il consenso per cookie o servizi necessari al funzionamento del sito o a un servizio espressamente richiesto dall’utente. Se usi solo queste funzioni, non occorre un banner: basta aggiornare l’informativa sulla privacy.

I classici banner «Usiamo i cookie, bla bla bla… OK» sono inutili: creano confusione e rendono gli utenti meno attenti.

Anche gli strumenti usati solo per analisi statistiche del sito, ad esempio per migliorarlo, di norma non richiedono consenso. Matomo rientra in questa categoria, anche perché può essere ospitato sui propri server. L’uso può basarsi sul legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), del GDPR. In alcuni casi è utile valutare e documentare il bilanciamento degli interessi. È però un tema di protezione dei dati, non di progettazione del banner.

Google Analytics fa eccezione: le autorità lo considerano un vero strumento di tracciamento, anche se al gestore interessano solo le statistiche del sito. Per Google Analytics è quindi necessario il consenso.

b. Il consenso è necessario per:

• Analisi statistiche e misurazione del pubblico
• Pubblicità comportamentale o basata sulla posizione
• Plugin dei social media

Un’alternativa è la soluzione a due clic di Heise (pulsante Shariff). Puoi anche usare immagini o icone con semplici link al posto dei plugin. In questo caso non serve il consenso, ma l’informativa deve contenere le informazioni pertinenti. Puoi aggiungere un avviso al passaggio del mouse, ad esempio «Verrai reindirizzato a Facebook», per rendere tutto più chiaro.

Per le funzioni soggette a consenso, questo deve essere raccolto PRIMA di raccogliere o trasmettere dati.

3. Mappe, video e piattaforme di streaming

Nel periodo descritto qui non c’era ancora una posizione condivisa. Alcuni esperti ritenevano che il previsto regolamento ePrivacy, inizialmente atteso insieme al GDPR, avrebbe richiesto il consenso preventivo anche per questi servizi. Anche le decisioni della Corte di giustizia UE dell’autunno 2019 e della Corte federale tedesca del maggio 2020 sembravano andare in questa direzione.

L’autorità bavarese per la protezione dei dati (BayLDA) indicava allora che i video potevano essere incorporati senza consenso preventivo se partivano solo dopo un clic e non trasmettevano dati prima, tramite una soluzione a due clic o Embetty. Raccomandava inoltre la modalità di privacy avanzata di YouTube (no-cookie).

BayLDA applicava un criterio simile a Google Maps: la mappa doveva caricarsi solo su richiesta attiva del visitatore, ad esempio con un clic aggiuntivo.

Ho chiesto chiarimenti a BayLDA. Al momento della richiesta, l’autorità confermava questa interpretazione, precisando però che doveva ancora analizzare nel dettaglio le motivazioni delle sentenze. La valutazione avrebbe quindi potuto cambiare.

Per prepararti ai possibili sviluppi, puoi valutare di chiedere già il consenso anche per questi servizi. Nella protezione dei dati è sempre possibile adottare precauzioni aggiuntive.

4. I requisiti del consenso

Il consenso deve essere PREVENTIVO, INFORMATO e LIBERO. In pratica:

a. PREVENTIVO:
Alla prima apertura del sito, gli script che possono raccogliere dati e trasmetterli a terzi devono restare disattivati.
b. INFORMATO:
Spiega brevemente i servizi con parole semplici e una struttura chiara. Devi informare, non scoraggiare.
c. LIBERO:
Le caselle del consenso non devono essere preselezionate. L’utente deve accettare attivamente, non dover rimuovere una spunta.

Nota:
Frasi generiche come «Questo sito usa cookie per analisi e pubblicità» o «…per migliorare la navigazione» non bastano: non spiegano chiaramente quali trattamenti vengono effettuati.

Una scelta libera significa anche poter usare il sito rifiutando i servizi facoltativi.

5. Documentare e dimostrare il consenso

Il consenso deve essere documentato e dimostrabile. Secondo molti esperti bastano registrazioni tecniche: testo datato, codice e versione del banner, marcature temporali e ID del cookie. Raccogliere ulteriori dati personali solo per fornire una prova non è necessario e contrasta con la minimizzazione dei dati.

6. Revoca del consenso e opt-out

Gli utenti possono revocare il consenso in qualsiasi momento. Ogni servizio deve quindi offrire un’opzione di opt-out che funzioni davvero e sia sempre facile da trovare.

7. Come può essere strutturato il banner?

I seguenti contenuti sono obbligatori nel banner:

• Il titolare del trattamento, se non è già chiaramente identificato sul sito
• Nome dello strumento
• Finalità del trattamento
• Destinatario dei dati
• L’indicazione che il consenso è facoltativo e revocabile, con un’opzione di opt-out
• Link all'informativa sulla privacy
• Posiziona il banner senza bloccare l’accesso alle note legali e all’informativa sulla privacy.

Sono definite le informazioni obbligatorie, ma il design resta libero. Puoi usare sottomenu per evitare una presentazione troppo affollata. Ecco un esempio di primo livello che copre i requisiti minimi:

È solo una delle possibili soluzioni grafiche per il primo livello informativo e serve come orientamento.

Esistono molte piattaforme di gestione del consenso (CMP). Puoi confrontarne le funzioni online: tra le più note ci sono Cookiebot, Borlabs Cookie, Usercentrics e Consentmanager.

Uno strumento di consenso dovrebbe almeno:

• Mostrare il banner non appena si accede al sito o all’app
• Lasciare accessibili note legali, condizioni generali e informativa sulla privacy
• Impostare cookie o trattare ID pubblicitari mobili solo dopo un consenso attivo. Navigare, chiudere il banner o lasciarlo chiudere automaticamente non equivale ad accettare.
• Permettere l’accesso al sito o all’app anche se si rifiutano cookie o ID pubblicitari
• Funzione di opt-out
• Fornire registri e report per dimostrare il consenso

Trovi altre indicazioni nella guida della DSK per i fornitori di telemedia e nelle FAQ su cookie e tracciamento dell’autorità del Baden-Württemberg.

Scegli la soluzione adatta al tuo sito, eventualmente con l’aiuto dell’agenzia web. Se non vuoi svilupparla da zero, confronta i fornitori pertinenti.
Valuta anche quanto siano fondate le garanzie di conformità al GDPR e dove si trovino i server.

8 E il marketing?

Molti visitatori non vogliono essere tracciati e sceglieranno «Rifiuta tutto». Può essere un limite per marketing e analisi, ma stanno semplicemente esercitando il diritto di decidere come vengono usati i loro dati.

A un incontro informativo, un dipendente del fornitore svedese di Consentmanager, Jaohawi AB, ha presentato alcuni dati interessanti:

Dalla loro analisi risultava che in media il 40–50% dei visitatori sceglieva «Accetta tutti i servizi». Il 50–60%, quindi, rifiutava.

Secondo il relatore, migliorando il banner si poteva arrivare a circa il 65% di accettazioni, o al 70% tra i clienti abituali e fedeli.

Stimava che, dopo l’introduzione di un banner, nei report mancasse circa metà dei dati di marketing. Suggeriva di tenere conto statisticamente di queste lacune nelle previsioni.

Puoi rispettare la privacy e, allo stesso tempo, migliorare posizione, colori e testi del banner per convincere più visitatori ad accettare i servizi facoltativi.