I cookie sono uno strumento tecnico essenziale per il buono e corretto funzionamento di quasi tutti i siti web esistenti. E’ bene essere molto chiari in merito perché, a mio avviso, si sta creando una grande confusione sull’argomento.

Per rendercene conto è sufficiente un piccolo esperimento: proviamo a bloccare – attraverso le impostazioni del browser – tutti i cookie, dopodiché proviamo a navigare e ad utilizzare i nostri servizi on-line preferiti. Basterebbero pochi minuti per renderci conto che, senza i cookie, non ci sarebbe possibile accedere a Facebook o alla nostra webmail preferita, utilizzare il nostro home-banking ne fare moltissime altre cose.

La capacità dei cookie di identificare un utente e di associargli delle informazioni, infatti, è stata concepita per finalità tecniche molto importanti e non certo per poter tracciare un profilo della personalità e delle abitudini dell’utente di Internet: quest’ultima finalità, in un certo senso, può e deve essere vista come l’eccezione alla regola, essendo i cookie uno strumento nato per tutt’altro scopo.

Fortunatamente è lo stesso Garante della Privacy a rendersi conto che “non tutti i cookie sono cattivi”. Nel citato provvedimento dell’8 maggio 2014, infatti, il Garante identifica due macro categorie di cookie:

• Cookie tecnici
  Si tratta di cookie normalmente trasmessi in prima persona dal gestore del sito per finalità strettamente connesse al buon e corretto funzionamento del sito stesso. Questa famiglia di cookie comprende:

• Cookie di navigazione (o di sessione)
  Questi cookie sono necessari per garantire la normale fruizione del sito web e desi suoi servizi permettendo, ad esempio, di autenticarsi ad aree riservate o di effettuare un acquisto.
• Cookie funzionali
  Questi cookie, pur non essendo essenziali, migliorano la funzionalità del sito in quanto consentono all’utente di esprimere delle preferenze persistenti circa alcuni aspetti della navigazione (ad esempio selezionare la lingua o memorizzare alcuni prodotti preferiti all’interno di un e-commerce).
• Cookie di Analytics (o statistici)
  Sono considerati “cookie tecnici” laddove utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito.
• Cookie di profilazione
  Riprendendo la definizione data dal garante della Privacy i cookie di profilazione “sono volti a creare profili relativi all’utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell’ambito della navigazione in rete”.

Mentre per i cookie tecnici NON è richiesto alcun consenso preventivo da parte dell’utente (il sito web, cioè, può gestirli tranquillamente senza dover adempiere ad alcuna formalità), per i cookie di profilazione la normativa europea e italiana prevede che “l’utente debba essere adeguatamente informato sull’uso degli stessi ed esprimere così il proprio valido consenso”.

Un’altra importante distinzione riguarda il soggetto attivo, cioè colui il quale procede alla materiale trasmissione del cookie sul computer dell’utente. In questo senso si distingue tra i cosiddetti cookie di prime parti e di terze parti:

• i cookie di “prime parti” sono, in poche parole, quelli trasmessi direttamene dal gestore del sito web visitato;
• i cookie di “terze parti” sono, invece, quelli trasmessi da società terze presenti all’interno del sito visitato mediante appositi codici, i quali sono stati inclusi al fine di integrare nel sito funzionalità ulteriori.

Come è facile immaginare, i cookie di terze parti sono quelli che suscitano le maggiori preoccupazioni in quanto, oltre ad essere incredibilmente diffusi, sono totalmente estranei alla gestione ed al controllo del titolare del sito che, spesso e volentieri, ne ignora le finalità se non addirittura l’esistenza.

Per fare un esempio, si pensi che qualunque sito abbia integrato un sistema di statistiche come quello di Google Analytics o un plugin sociale come quello di Facebook (si pensi al classico pulsante “Mi piace”) trasmette, spesso senza nemmeno saperlo, dei cookie di terze parti ai propri utenti fungendo da tramite mediante le proprie pagine web.

La distinzione descritta tra cookie di prime e terze parti assume, come vedremo in seguito, particolare rilievo anche all’interno della cookie law.