I cookie sono file di testo archiviati nel browser di un visitatore di un sito web, come risultato della sua sessione di navigazione. Si tratta di stringhe di codice che contengono informazioni criptate circa la specifica attività che l’utente compie o ha compiuto su determinate pagine web. In altre parole, i cookie salvano determinate informazioni sull’utente che si è collegato al sito e ha svolto determinate attività durante la navigazione.
Possiamo paragonare questa attività alla funzione dei timbri nelle discoteche. All’entrata viene apposto un timbro al polso della persona e da quel momento in poi, ogni volta che vorrà rientrare, la procedura sarà più veloce, con minori controlli di sicurezza da parte degli addetti alla sorveglianza, dato che alcune delle sue informazioni sono già in possesso del club.
Ogni volta che l’utente accede a un sito già visitato in precedenza, il browser (sia esso via computer, smartphone o tablet) rimanda il cookie al server del sito web. Questa procedura consente al sito di recuperare alcuni dati di navigazione, velocizzare il caricamento di elementi testuali e visuali, tracciare l’attività svolta nel corso del tempo e, dunque, offrire un’esperienza di navigazione con maggiore personalizzazione per l’utente. Nella maggioranza dei casi, i cookie vengono usati per salvare beni e servizi messi in un carrello.
Facciamo un esempio pratico: Luca è proprietario di un e-commerce che vende integratori per sportivi e frequentatori di palestre. Per stare al passo con la concorrenza, visita i siti dei competitor più noti per studiarne i prodotti, le condizioni di spedizione e le strategie di comunicazione di email marketing.
Quando Luca accede per la prima volta al sito del competitor, il suo computer salva nel browser i cookie, che come abbiamo detto sono dei piccoli file di testo che contengono informazioni. Qui incontriamo una prima distinzione importante nella definizione di cookies: cookie “di sessione” e cookie “permanenti”.
Per capire bene che cosa sono i cookie “di sessione” e i cookie “permanenti” dobbiamo comprenderne le differenze e cosa li contraddistingue.
Cosa sono i cookie “di sessione” vs i cookie “permanenti”?
I cookie di sessione sono file temporanei che si cancellano o scadono al termine della navigazione. Si tratta per esempio di cookie che consentono di recuperare informazioni sui prodotti inseriti nel carrello e i dati di login.
I cookie di sessione sono decisamente più comuni e utilizzati rispetto ai cookie permanenti. E hanno davvero numerose funzioni preziose. Offrire servizi di home banking, utilizzare i social network oppure anche solamente usare le nostre caselle di posta elettronica sarebbe impensabile senza i cookie di sessione. Insomma, tutti i servizi che richiedono diversi passaggi per accedere a ulteriori “strati” di informazioni non esisterebbero.
I cookie permanenti, invece, sono file di testo che rimangono memorizzati direttamente nel browser dell’utente per un periodo più lungo. La durata può variare a seconda del cookie, della sua funzione e anche della sua programmazione. In altre parole, restano “nascosti” in qualche angolo del browser e si attivano quando si accede nuovamente al sito web.
I cookie permanenti sono spesso “non essenziali” e possono dare più frequentemente origine a implicazioni in materia di protezione dei dati personali. In altre parole, se non vengono applicati correttamente possono entrare in contrasto con alcune disposizioni del GDPR. Dunque, vediamo cosa sono i cookie in base a un’ulteriore segmentazione per natura e utilizzo.
Cosa sono i cookie essenziali o tecnici vs. non essenziali?
I cookie si possono suddividere in:
- cookie essenziali: detti anche “cookie tecnici” o “cookie necessari”, sono cookie “di prime parti”, ossia di proprietà del sito web, necessari per far funzionare il sito web stesso oppure i servizi richiesti online. Sono esempi di cookie essenziali quelli che salvano le preferenze di lingua o di valuta o le credenziali di login.
- cookie non essenziali: sono cookie che studiano il comportamento degli utenti. Per esempio, come navigano sul sito web, quali pagine visitano, il tempo medio dell’intera sessione, la durata della permanenza su ogni singola pagina web, le preferenze, le azioni, i click e così via.
I cookie non essenziali non vengono utilizzati per migliorare l’esperienza dell’utente, bensì per finalità diverse, spesso commerciali e di analisi. Vengono solitamente suddivisi in cookie statistici e di marketing.
Rilevanti per gli inserzionisti o per i siti web che fanno uso di mezzi di pubblicità mirata sono i cookie non essenziali usati da Google Analytics per misurare l’efficacia di un sito a livello statistico, per esempio per rilevare i link e le pagine popolari, misurare il ROI o l’engagement del pubblico di riferimento, ed estrarre altri dati utili anche per finalità di marketing.
Questa definizione preliminare di cookie è molto utile per trarre alcune considerazioni. In primis, un utente che naviga su un sito web è solitamente tenuto ad accettare i cookie essenziali, che non hanno una natura malevola ma servono strettamente a fornire i servizi e a far funzionare il sito web.
I cookie non essenziali, invece, assumono una maggiore rilevanza per finalità di marketing. Pur non essendo pericolosi, hanno dato origine a numerose perplessità sul tema della privacy dei dati, per il loro potenziale di rischio associato alla raccolta dei dati personali degli utenti, in particolare qualora queste informazioni finissero nelle mani sbagliate. L’Unione Europea si è interessata fortemente al tema e ha posto dei paletti significativi, principalmente con l’emanazione del GDPR che tutti i proprietari di siti web e app e/o titolari del trattamento devono rispettare, pena sanzioni anche severe, come multe salate o interruzioni del servizio.
Dal momento che i cookie non essenziali sono così importanti per via delle loro numerose implicazioni, vediamone ulteriori classificazioni.
Cookie non essenziali: cosa sono i cookie analitici, di profilazione e di terze parti
Effettuiamo una distinzione ancora più approfondita, molto interessante per gli operatori di marketing. I cookie non essenziali si dividono principalmente in:
- cookie analitici
- cookie di profilazione
- cookie di terze parti.
I cookie analitici sono finalizzati a raccogliere e offrire al titolare del trattamento dati di natura statistica. Sono quegli strumenti che ti consentono, per esempio, di misurare il numero totale dei visitatori giornalieri, le conversioni effettuate, la frequenza di rimbalzo, ciascuna pagina visitata da un utente, la fascia oraria di accesso, e così via. I cookie analitici possono essere di prime parti o di terze parti, a seconda di chi processa i dati.
I cookie di profilazione, invece, sono strumenti per la raccolta di informazioni personali finalizzati alla creazione di profili utente dettagliati. Con questi dati, è possibile creare cluster, buyer personas e altre categorizzazioni utili all’ideazione, creazione ed esecuzione di strategie commerciali, di pubblicità mirata e di email marketing, sulla base dei gusti, delle preferenze e delle abitudini di consumo manifestate dall’utente. In questo modo, gli inserzionisti possono raggiungere esattamente quelle persone potenzialmente interessate ai prodotti o servizi pubblicizzati, evitando di disperdere budget o sovraccaricare gli utenti con pubblicità per loro irrilevante.
Insomma, i cookie di profilazione consentono di tratteggiare un’immagine fedele del visitatore del sito grazie alla ricostruzione di tutte le attività svolte durante una sessione da un browser o da un dispositivo specifico, entro l’arco di tempo misurato. Ciò aumenta il grado di personalizzazione che è possibile offrire ai consumatori online.
Questo maggiore grado di personalizzazione presenta però un rischio: agenti con cattive intenzioni, come hacker o proprietari di siti web privi di condotte morali, potrebbero usare le informazioni per indurre gli utenti a compiere azioni indesiderate, oppure manipolarli per raggiungere scopi illegittimi. Tuttavia, anche persone oppure aziende che agiscono in buona fede potrebbero involontariamente violare la privacy degli utenti raccogliendo dei dati personali tramite cookie.
Data la loro natura potenzialmente “invasiva”, il 10 giugno 2021 il Garante si è espresso con delle linee guida sui cookie, trattando ampiamente anche dei cookie di profilazione.
Cosa sono i cookie di terze parti
I cookie di terze parti sono stringhe di codice che non sono state scritte dalla persona che possiede il sito web o l’app. I dati che questi cookie raccolgono vengono processati su server di terze parti, dunque esterni all’attività commerciale che utilizza tali stringhe di codice.
Facciamo un esempio con Google, un operatore di terze parti tra i più utilizzati dai siti web e dalle app. Google offre strumenti come Google Analytics, che utilizza dei cookie sviluppati dalla stessa società. Questi cookie vengono usati da altre aziende per la raccolta e il trattamento dei dati personali dei propri utenti. Tuttavia, i dati non vengono trattati da queste aziende, che di fatto si limitano ad usare i cookie di terzi; vengono, invece, trattati nei centri di elaborazione dei dati di proprietà di Google.
Le aziende e i proprietari di siti web e app sono ritenuti responsabili del rispetto delle normative in materia di protezione dei dati degli utenti; tuttavia, non possono controllare al 100% ciò che Google fa con questi dati. Questa situazione rende molto delicata la questione dei cookie poiché, detta in altre parole, si cedono le informazioni dei propri utenti a Google sulla base della fiducia.
I cookie di terze parti sono quelli che danno origine a violazioni più gravi, poiché ai sensi del GDPR la questione della “cessione dei dati” assume particolarmente rilevanza. Le aziende che usano questo tipo di cookie per ricostruire l’intero processo di acquisto o navigazione su più siti web o portali e, quindi, per delineare un profilo utente più ampio dettagliato e completo al fine di offrire pubblicità personalizzata possono ritrovarsi in situazioni spiacevoli.
Il problema connesso al tema della privacy sorge poiché i dati finiscono nelle mani di soggetti terzi, di cui talvolta nemmeno il proprietario del sito web è a conoscenza (e di cui si deve fidare ciecamente). Il legislatore si è espresso chiaramente a riguardo: gli utenti devono sapere non solo quali dei propri dati personali vengono raccolti, ma anche a chi vengono inviati e per quali finalità vengono utilizzati.
La presenza di cookie di terze parti è di fatto la questione che assume maggiore rilevanza per il GDPR: i proprietari di siti web e app devono trovare il giusto compromesso per ottenere il consenso esplicito dagli utenti, così da poter raccogliere e usare i loro dati per attività di profilazione e pubblicità mirata, riducendo la dispersione del proprio budget e raggiungendo solo il pubblico realmente interessato; tutto questo, rispettando e tutelando la privacy degli utenti che accettano di condividere i propri dati, informandoli sugli operatori (di prime o di terze parti) che riceveranno e tratteranno i dati.
L’impatto delle leggi sulla privacy sulla raccolta dei dati via cookie
Come abbiamo detto, i cookie hanno assunto una rilevanza legale molto forte in Europa.
La loro capacità di raccogliere informazioni personali ha dato origine a due considerazioni: il rischio potenzialmente lesivo dei cookie nei confronti della privacy dei dati degli utenti e il bisogno di regolamentarne l’utilizzo, in particolare per quanto riguarda la cessione dei dati personali a terzi.
Dalla prima direttiva sui cookie al GDPR
Prima che venisse emanato un regolamento, già nel 2002 venne approvato il testo della Direttiva ePrivacy. Questa direttiva è stata soprannominata “legge UE sui cookie” poiché, tra le altre cose, si occupava proprio di cosa sono i cookie, della raccolta dei dati e della protezione delle informazioni personali.
Bisogna specificare che non si trattava di una legge vera e propria, bensì di una direttiva, a cui tutti i Paesi membri dell’UE sono stati invitati a uniformarsi. Il testo della Direttiva ePrivacy è stato poi aggiornato nel 2009.
La prima legge vera e propria che regolamenta i cookie in Italia è stata emanata nel maggio del 2014 sotto forma di provvedimento e si ispira alla normativa dell’art.122 del Codice della Privacy in vigore nel nostro Paese. Questa legge stabiliva che qualunque sito web che raccogliesse informazioni di cittadini italiani, a prescindere che il sito (o il suo gestore) fosse italiano o straniero, poteva utilizzare i dati degli utenti solo ed esclusivamente qualora l’utente avesse acconsentito espressamente all’utilizzo dei propri dati.
Tale normativa è stata rafforzata dall’emanazione del GDPR (Regolamento generale della protezione dei dati) nel 2018, che a sua volta è stato successivamente espanso e integrato con la Direttiva ePrivacy e il Digital Markets Act (DMA). A oggi, il GDPR si considera il testo principale a cui fare riferimento per chiunque offra beni e servizi in uno o più dei paesi membri dell’UE mediante dei canali online.
Il tema dell’interesse legittimo per i pubblicitari
Alcune leggi importanti applicano delle disposizioni sul tema dell’interesse legittimo. Puoi consultarle direttamente ai seguenti link:
Tali leggi hanno imposto che il consenso vada ottenuto in modo esplicito, informato e trasparente, mediante l’utilizzo di banner per i cookie che non limitino in alcun modo la possibilità per l’utente di utilizzare il servizio offerto dal sito web. Inoltre, il consenso non deve essere ottenuto mediante strategie ingannevoli, dark patterns, manipolazioni o imposizioni.
L’utente deve, inoltre, potersi esprimere chiaramente sul consenso, conoscendo le finalità del trattamento, quali dati specifici vengono raccolti, a chi vengono mandati e da chi vengono analizzati. Sulla base di ciò, dovrà poter dare le proprie preferenze in modo libero. Il visitatore deve attivamente premere sulle caselle e spuntare manualmente le opzioni di consenso affinché quest’ultimo possa definirsi “esplicito”.
Per ulteriori informazioni sui motivi di interesse legittimo, consulta il collegamento che rimanda alla spiegazione della Commissione Europea.
Come un banner per i cookie ti rende conforme al GDPR
Abbiamo capito che un business digitale che tratta i dati di cittadini europei ha l’obbligo di uniformarsi alle disposizioni del GDPR e delle altre normative sulla protezione dei dati.
Se vuoi saperne di più su, abbiamo preparato una guida con 12 passaggi per raggiungere la conformità al GDPR.
In questo paragrafo della guida dedicata a cosa sono i cookie, parliamo di un argomento importante che vale la pena citare se vuoi raccogliere le informazioni personali di cittadini dell’UE: il banner per il consenso.
Cosa sono i cookie: il banner per il consenso
Per capire che cosa sono i cookie è fondamentale parlare dei banner per il consenso.
Il banner per il consenso è un pop-up che compare sullo schermo quando l’utente visita un sito web, indipendentemente che acceda dalla homepage o mediante un’altra pagina.
ll banner in questione mostrerà per iscritto la richiesta che il sito web o l’app sottopone all’utente che sta navigando: si chiede al visitatore se accetta di condividere alcune delle proprie informazioni personali, che saranno usate per le finalità dichiarate.
Il banner deve essere ben distinguibile dal resto del testo e dei contenuti presenti sulla pagina. L’utente deve poter percepire chiaramente una “discontinuità”. Questo ha lo scopo di mostrare chiaramente il banner per i cookie e consentire agli utenti di leggerne il contenuto.
Il banner per il consenso deve riportare alcune informazioni obbligatorie, come da disposizioni del GDPR. Tra queste, troviamo l’informativa sulla privacy, uno strumento tanto utile quanto potenzialmente insidioso se trattato con superficialità.
Cosa sono i cookie: l’informativa sulla privacy
L’informativa sulla privacy è un documento che informa gli utenti circa le attività di raccolta dei dati personali: comprende informazioni come quali dati vengono raccolti, a chi vengono inviati e da chi vengono trattati, per quali finalità vengono usati e per quanto tempo vengono archiviati.
Esistono due tipologie di informativa, a seconda della lunghezza e del livello di dettaglio delle informazioni riportate: l’informativa breve e l’informativa estesa.
L’informativa breve
L’informativa breve si rende necessaria già nel momento in cui il proprietario del sito web intende ottenere il consenso degli utenti per raccogliere i loro dati personali, come da disposizioni del Garante per la protezione dei dati.
Ecco alcune informazioni obbligatorie da includere nell’informativa:
- specificare quali tipi di cookie il sito utilizza
- specificare l’eventuale presenza di cookie di profilazione e di terze parti
- la possibilità di accettare o rifiutare in blocco tutte le opzioni, oppure non rispondere affatto (che significa rifiutare tutti i cookie)
- in alternativa, la possibilità di accedere a tutte le categorie di cookie e di selezionare manualmente le proprie preferenze. In questo modo, l’utente potrebbe acconsentire al trattamento dei propri dati per alcune finalità e al contempo rifiutarne altre;
- il link per accedere alla summenzionata area per poter scegliere i cookie analitici e di profilazione, oltre a quelli di terze parti e altre funzionalità ancora, come la revoca del consenso dato in precedenza.
Tale area deve altresì essere accessibile attraverso un link inserito in una posizione facilmente raggiungibile, solitamente nel footer del sito web; - specificare che, qualora il banner venga chiuso attraverso la “X” o pulsante equivalente, saranno installati soltanto i cookie tecnici (essenziali);
- indicare il collegamento da cliccare per poter accedere all’informativa estesa.
Quando l’utente effettua una scelta, il banner deve scomparire e non ripresentarsi per almeno 6 mesi, a meno che non mutino le condizioni o cambino le finalità per cui i dati vengono trattati. In questi casi, bisogna avvisare nuovamente gli utenti e ottenere nuovamente da loro il consenso esplicito.
In generale, vale anche l’obbligo per l’impresa di garantire la presenza di un registro dei consensi. In questo modo non solo sarà possibile custodire con cura tutte le scelte di consenso ottenute, ma anche farsi trovare pronti in caso di controllo da parte delle Autorità, oppure di richiesta di modifica, rettifica o consultazione delle proprie informazioni da parte degli utenti.
Ecco tre ulteriori aspetti da prendere in considerazione rispetto ai banner per i cookie:
- il banner non deve impedire la navigazione, ma non deve nemmeno sparire. Nel momento in cui l’utente esprime la sua scelta, il banner può scomparire;
- fintanto che l’utente non si sarà espresso chiaramente (con l’accettazione o il rifiuto del consenso), resteranno attivi solo ed esclusivamente i cookie tecnici;
- il banner non è sempre necessario. Si può evitare di usarlo qualora siano installati soltanto i cookie tecnici. In questo caso, l’informativa si può collocare nella homepage del sito o insieme all’informativa generale.
L’informativa estesa
L’informativa estesa si rende obbligatoria in presenza di cookie non essenziali, in particolar modo quelli di profilazione e ancora più nello specifico in presenza di cookie di terze parti.
In questi casi, è necessario che siano presenti tutte le informazioni come da disposizioni dell’art. 13 del GDPR, tra cui:
- la notifica circa la natura facoltativa o obbligatoria dei dati che vengono raccolti;
- le conseguenze in caso di rifiuto eventuale da parte dell’utente che non vuole fornire i propri dati;
- riportare, in caso di trasmissione dei dati a terze parti, tutte le indicazioni su tali partner di tecnologia e inserire nella propria informativa i collegamenti alle policy sulla privacy delle terze parti in questione;
- ricordare all’utente che può esprimersi circa l’utilizzo dei cookie anche attraverso le impostazioni del browser. In questo caso, bisogna elencare i cookie utilizzati e riportare le singole finalità connesse a ciascuno di questi strumenti.
L’informativa estesa deve essere accessibile attraverso un link presente nel banner dell’informativa breve e anche mediante un link aggiuntivo riportato nel footer di ciascuna pagina web.
I falsi miti associati ai cookie
Analizziamo insieme un caso di studio tornando alla situazione di Luca, il titolare di un e-commerce online che vende integratori e altri prodotti per palestra. Luca usa i cookie di profilazione, inclusi quelli di terze parti, per migliorare i risultati di marketing con strumenti strategici come Facebook Ads e Google AdSense.
Luca è venuto a conoscenza dei requisiti del GDPR in materia di protezione dei dati. Vuole mettersi in regola per incrementare la fiducia dei clienti nel suo e-commerce e, al contempo, incrementare il tasso di opt in. In questo modo, può migliorare i risultati delle sue campagne di marketing attraverso una migliore personalizzazione dei contenuti pubblicitari.
Luca vuole soprattutto instaurare un rapporto di fiducia e proteggere i suoi utenti e clienti da rischi inutili. È consapevole che questo rapporto di fiducia è la base di qualunque relazione commerciale sana e di successo. Al tempo stesso, vuole evitare di incorrere in sanzioni che possano mettere in ginocchio la sua attività digitale. Inoltre, nel caso di un controllo da parte delle Autorità a tutela della privacy dei dati dei consumatori, vuole quindi farsi trovare pronto.
Durante la sua ricerca, Luca scopre i seguenti miti sui cookie che, semplicemente, non sono veri:
- “Ti basta dire ai tuoi utenti che il sito usa i cookie”: ebbene, no. Per raggiungere la conformità al GDPR e prevenire le sanzioni, Luca deve anche fornire informazioni precise e dettagliate su quali sono i cookie che vengono utilizzati, quali dati raccolgono e per quali finalità.
Ricordiamo che il consenso deve essere esplicito, libero e informato. Gli utenti devono, dunque, avere la possibilità di scegliere se accettarlo o rifiutarlo; - “Non ti serve un banner per i cookie”: un banner per i cookie, invece, è uno degli strumenti più efficaci per informare i visitatori del tuo sito web riguardo i cookie attivi, le finalità del trattamento, le modalità e la durata del processo.
È, inoltre, uno degli strumenti più semplici per consentire agli utenti di esprimere efficacemente il consenso. Così facendo, Luca può ottenere un consenso legalmente valido agli occhi del GDPR, che ricordiamo essere un regolamento altamente esigente e che richiede ai siti web di offrire la massima trasparenza; - “Se hai un banner per i cookie, sei automaticamente in regola”: dipende. Affinché il consenso sia ritenuto valido, il banner per i cookie deve rispettare i sette criteri che il GDPR impone.
Luca deve assicurarsi che il banner sia in conformità al GDPR. E qualora non lo fosse, la responsabilità sarà la sua e le sanzioni saranno applicate a lui.
Ottenere la conformità al GDPR e rispettare le sue disposizioni che vengono aggiornate nel tempo può essere difficile. Per navigare con efficacia e semplicità i 99 articoli del GDPR e i 173 considerando di cui il regolamento è composto, puoi affidarti a una piattaforma di gestione del consenso (CMP) che ti aiuta a raggiungere la conformità alle leggi sulla protezione dei dati e ottenere gli strumenti necessari per prevenire possibili sanzioni.
Scegli Usercentrics CMP se vuoi godere della protezione di una CMP certificata da Google che supporta la Modalità di consenso V2 e i nuovi requisiti per gli editori UE.