Come pubblicare una cookie policy per ecommerce

La cookie policy è il documento che informa l’utente sui cookie rilasciati dal sito e sulle loro funzionalità.

E’ un documento importante perché molto spesso è connesso a finalità di profilazione pubblicitaria o di analisi di cui l’utente deve essere informato

Cosa sono i cookie e come di differenziano

I cookie sono codici che il sito visitato dall’utente installa sul suo terminale (pc, tablet, cellulare) in occasione della visita al sito.

In ragione della loro finalità si dividono in due principali categorie: cookie tecnici e cookie di profilazione.

I cookie tecnici permettono al sito di operare e offrire all’utente le funzionalità tipiche (es.: ricordare l’utente successivamente al login sul sito, tenere traccia dei prodotti inseriti nel carrello, ricordare la lingua scelta).

I cookie di profilazione (con specifico riferimento all’ambito ecommerce) servono per scopi statistici o pubblicitari.

Gli scopi statistici sono assolti dai cookie che comunicano dati sulle visite al sito, sulla provenienza degli utenti, su quali e quante pagine sono state visionate etc. Quelli pubblicitari invece si attivano per presentare all’utente pubblicità in linea con i suoi interessi.

Invece, per quanto riguarda il soggetto che installa i cookie sul terminale dell’utente, i cookie si dividono in cookie di prima parte o di terza parte.

I cookie di prima parte sono installati direttamente dal titolare del sito ecommerce, mentre quelli di terza parte sono installati da fornitori terzi (es.: Facebook, Google).

Come riconoscere i cookie rilasciati dal sito

Non tutti i servizi o le funzionalità presenti sul tuo sito rilasciano cookie.

Ad esempio, i sistemi di pagamento o i circuiti di carta di credito non rilasciano cookie. Così come molti servizi di chat e tutti i form di contatto.

Un modo per sapere quali cookie rilascia il tuo sito è quello di utilizzare programmi specifici in grado di “mappare” il sito e presentare un elenco dei cookie (es.: cookiebot)

L’alternativa è quella di conoscere a priori i cookie tecnici e di profilazione del sito, informazione molto spesso a disposizione della web agency incaricata della realizzazione del tuo shop online.

L’importanza di qualificare giuridicamente i cookie

Sia che tu abbia utilizzato un programma specifico di tracciamento dei cookie, sia che abbia ottenuto queste informazioni dalla tua web agency, la cookie policy non può prescindere da una loro qualificazione giuridica.

Infatti, la cookie policy è disciplinata dalla c.d. “cookie law” e dalle Linee guida pubblicate dal Garante Privacy italiano ed europeo.

La normativa prevede infatti che con riferimento ai cookie tecnici l’utente sia informato dei loro scopi e durata.

In merito ai cookie di profilazione è necessario indicare:

• Il fornitore del cookie (es: Facebook)

• La funzionalità

• Il link alla privacy policy del fornitore

• Il link alla pagina di c.d. “opt-out” (dove l’utente può decidere di disabilitare il cookie di profilazione). Se il fornitore non ha reso disponibile uno strumento di opt-out, bisogno indicare nella cookie policy che l’utente può disabilitare il cookie utilizzando le opzioni del browser.

La cookie law non richiede l’indicazione specifica di tutti i cookie rilasciati dal sito.

L’importante è ragionare “per categoria” e pubblicare una cookie policy in linea con questa categorizzazione.

L’accento cade sugli scopi per i quali sono utilizzati i cookie, non tanto sulla loro indicazione specifica.

Ecco un esempio di sezione di cookie privacy dove l’utente viene informato in merito alla presenza di cookie di profilazione pubblicitaria
​​​​​​​Serve sempre ottenere il consenso?

L’utente può manifestare il consenso al rilascio dei cookie compiendo una delle azioni che il sito ha indicato nel c.d. “banner cookie” (il banner che compare al primo accesso al sito).

Il banner deve informare quali azioni l’utente deve compiere per permettere il rilascio dei cookie.

Prima che l’utente compia questa scelta, il sito non può rilasciare cookie di profilazione (mentre i cookie tecnici possono operare).

Questo banner è però necessario solo se il sito rilascia cookie di profilazione. In difetto, può solo pubblicare la cookie policy.

Le sanzioni

Vi sono sanzioni qualora un sito di commercio elettronico sia privo di cookie policy o pubblichi una informativa incompleta.

Le fattispecie che si realizzano in ipotesi di violazione degli obblighi previsti dalla cookie law possono essere così riassunte:

• omessa informativa o informativa inidonea: la sanzione amministrativa per questa fattispecie legale consiste nel pagamento di una somma che può variare da 6.000 a 36.000 euro;

• installazione di cookie sui terminali degli utenti senza il loro preventivo consenso; la sanzione amministrativa in questo caso consiste nel pagamento di una somma da 10.000 a 120.000 euro.

Autore – Avv. lorenzo Grassano – LegalBlink (www.legalblink.it)​​​​​​​