La modifica della disciplina in materia di cookie in Italia appare meno radicale rispetto al resto d'Europa. Già in precedenza vigeva, infatti, la regola dell'opt-in (consenso preventivo) ma soltanto per i cookie "tecnici", sopra citati.Ogni altro accesso ed ogni altra registrazione non autorizzati sul terminale dell'utente/abbonato erano vietati. Pertanto, in precedenza i fornitori dei servizi di comunicazione elettronica potevano utilizzare solo i cookie "tecnici" e solo nei confronti degli utenti che avessero espresso il proprio consenso sulla base di una idonea informativa sulle finalità e la durata del trattamento. La concreta regolamentazione dell'uso di tali cookie era poi demandata ad un codice di deontologia e di buona condotta.
Il nuovo art. 122 (comma 1) prevede oggi, viceversa, che i cookie "tecnici" possano essere utilizzati anche in assenza del consenso, ferma restando naturalmente l'informativa. È evidente, quindi, che limitatamente a tali cookie, l'attività degli operatori online risulta semplificata, in quanto essi non devono ottenere un consenso preventivo in tutti quei casi in cui l'utilizzo di cookie o altri dispositivi memorizzati sui terminali degli utenti o dei contraenti serva esclusivamente a scopi tecnici oppure risponda a specifiche richieste dell'utente o del contraente di un servizio Internet. L'assenza del consenso riduce la consapevolezza dell'interessato, che deve essere necessariamente fondata su una informativa chiara e di immediata comprensione.
Come si è detto, l'archiviazione di cookie sui terminali degli utenti deve essere preliminarmente portata a conoscenza degli stessi mediante una chiara informativa, resa con le modalità semplificate di cui all'art. 13, comma 3 del Codice. Ciò vale a prescindere dalla necessità di ottenere il consenso degli utenti o dei contraenti (vedi punto precedente).Al riguardo, il nuovo art. 122, comma 1, stabilisce che il Garante, ai fini della determinazione delle suindicate modalità semplificate,"tiene anche conto delle proposte formulate dalle associazioni maggiormente rappresentative a livello nazionale dei consumatori e delle categorie economiche coinvolte, anche allo scopo di garantire l'utilizzo di metodologie che assicurino l'effettiva consapevolezza del contraente o dell'utente".L'Autorità, quindi, oltre a predisporre le presenti FAQ, ha avviato una consultazione pubblica diretta ai consumatori e ai principali operatori del settore, proprio al fine di acquisirne le proposte e individuare idonee modalità per informare gli utenti con messaggi che siano al tempo stesso chiari e snelli. Pur se resa con modalità semplificate, infatti, l'informativa deve indicare chiaramente quali sono le finalità perseguite mediante il ricorso ai cookie.A titolo esemplificativo, la finalità consistente nel creare profili degli utenti al fine di inviare loro messaggi pubblicitari mirati, non potrà essere indicata nell'informativa con il riferimento alla mera finalità pubblicitaria dell'uso dei cookie, ma occorrerà specificare che gli stessi consentiranno al gestore del sito di realizzare appunto una profilazione finalizzata alla successiva attività di direct marketing.Come si esprime il consenso preventivo all'uso dei cookie?
Nell'ottica della semplificazione va letta anche la disposizione secondo la quale, ai fini dell'espressione del consenso dell'utente all'uso dei cookie, possono essere utilizzate "specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l'utente".
L'obbligo di informare l'utente sull'uso dei cookie e di acquisirne il preventivo consenso incombe sul gestore del sito che li usa, in qualità di titolare del trattamento.Nel caso in cui un sito consenta la trasmissione anche di cookie di "terze parti" (v. punto 1), l'informativa e l'acquisizione del consenso sono di norma a carico del terzo. È necessario che l'utente venga adeguatamente informato, seppur con le modalità semplificate previste dalla legge, nel momento in cui accede al sito che consente la memorizzazione dei cookie terze parti, ovvero quando accede ai contenuti forniti dalle terze parti e, comunque, prima che i cookie vengano scaricati sul suo terminale.Non è escluso che, anche sulla base di accordi con i siti terze parti, l'informativa fornita agli utenti dal sito "prima parte" contenga anche le informazioni sui cookie trasmessi automaticamente dalle terze parti. Anche in tal caso, l'informativa dovrà specificare la finalità dei cookie utilizzati e, quindi, indicare se gli stessi siano finalizzati a creare profili degli utenti e a inviare loro pubblicità mirate ovvero a effettuare misure di traffico per la valutazione delle prestazioni del sito.Analogamente, non si può escludere che anche il consenso venga acquisito dalle terze parti per il tramite del sito "prima parte". Occorre tenere presente, infatti, che la richiesta del consenso dell'utente deve essere fatta in stretta relazione all'informativa resa allo stesso, in modo tale da consentirgli di fare scelte realmente consapevoli. Sarà, poi, cura dei diversi gestori coinvolti disciplinare i propri rispettivi ruoli con particolare riguardo ai rapporti tra titolare e responsabile del trattamento conformemente alla normativa in materia di protezione dei dati personali.