Il "cookie wall" (o tracking wall) è una particolare modalità di accesso ad un sito web, subordinata all'accettazione del caricamento dei cookie traccianti (tracker) sul proprio dispositivo (computer o smartphone).
In breve, in presenza di un cookie wall il navigatore non può accedere ai servizi del sito web o a parte di essi se non accetta i cookie di tracciamento e quindi di essere profilato. Il motivo dell'uso di questo accesso condizionato sta nella necessità di mantenere gli introiti pubblicitari garantiti dalla presenza dei cookie pubblicitari, sui quali si basa la sopravvivenza del sito stesso.
A questo punto occorre chiedersi se l'uso di un cookie wall è conforme alle norme del GDPR, e in quale misura, non solo con riferimento ai social network, come Facebook, ma in particolare con riferimento ai siti di notizie.
La Corte di Cassazione italiana, con la sentenza n. 17278/2018, è intervenuta in materia precisando che il gestore di un sito concernente un servizio fungibile e rinunciabile può negare l'accesso al servizio all'utente che non acconsenta al trattamenti dei propri dati per finalità commerciali (cookie wall). In questo caso il punto focale sta nella fungibilità e rinunciabilità del servizio. Il blocco dell'accesso al sito non potrebbe essere imposto nel caso in cui il sito offra un servizio essenziale per l'utente. La Corte sostiene che è interdetto al gestore di "utilizzare i dati personali per somministrare o far somministrare informazioni pubblicitarie a colui che non abbia la volontà di riceverli”. Il Garante ha, però, ribadito, successivamente, col provvedimento del 12 giugno 2019, che la libertà del consenso “non è assicurata né quando viene richiesto un unico consenso per più diverse finalità di trattamento, né quando si assoggetta la fruizione di un servizio […] alla previa autorizzazione a trattare i dati conferiti, ai fini di tale servizio, per finalità diverse qual è quella di promozione e quella statistica”. In tal senso appare un evidente contrasto tra Suprema Corte e Garante. Infine, con le linee guida del 10 giugno 2021, il Garante ha precisato che “il cookie wall, non consentendo di qualificare l’eventuale consenso così ottenuto come conforme alle caratteristiche imposte dal Regolamento, e segnatamente al suo art. 4, punto 11 con particolare riferimento al requisito della ‘libertà’ del consenso, è da ritenersi illecito, salva l’ipotesi da verificare caso per caso nella quale il titolare del sito offra all’interessato la possibilità di accedere ad un contenuto o a un servizio equivalenti senza prestare il proprio consenso all’installazione e all’uso di cookie o altri strumenti di tracciamento. E ciò alla irrinunciabile condizione della conformità dell’alternativa proposta ai principi del Regolamento codificati al suo art. 5, paragrafo 1, ed innanzitutto a quello di cui alla lettera a), che esige che i dati personali siano trattati in modo lecito, corretto e trasparente (principio di “liceità, correttezza e trasparenza”); in difetto, il cookie wall non potrà essere reputato in linea con la disciplina vigente”.
Il Garante olandese nel 2018 ha sostenuto che i siti web che consentono agli utenti di accedere al sito solo accettando i “cookie di profilazione” o tecnologie similari (compreso fingerprint), devono ritenersi non conformi al GDPR. Secondo l’autorità olandese è necessario che per tali trattamenti sia chiesto ed ottenuto il consenso, e quindi non è ammissibile che il trattamento possa basarsi sui legittimi interessi del titolare, e se si subordina l’accesso al sito al consenso ai cookie, il consenso in questione smette di essere libero e quindi diventa illecito.
Lo stesso EDPB, nelle linee guida sul consenso, ha confermato che l'uso di un cookie wall non sarebbe un modo valido per ottenere il consenso dagli utenti in base al GDPR, in quanto il consenso non sarebbe libero. Di contro sarebbe ammissibile un paywall, cioè un accesso alternativo basato su un compenso monetario piuttosto che il consenso ai cookie di pofilazione.
Il Garante francese (CNIL) si è adoperato per la stesura di linee guida, anche a seguito di una interessante decisione del Consiglio di Stato francese. Il Consiglio di Stato con il provvedimento del 19 giugno 2020 ha stabilito che il requisito del consenso libero non può giustificare un divieto generale dei cookie wall, ma occorre valutare caso per caso, tenendo conto in particolare dell'esistenza di una reale alternativa offerta in caso di rifiuto dei cookie.
Linee guida (CNIL francese)
In tale quadro le linee guida su cookie e altri traccianti del CNIL stabiliscono che subordinare l'accesso ad un servizio all'accettazione dei cookie traccianti preguidica il libero consenso, per cui la liceità del cookie wall dipende dall'esistenza di valide alternativa offerte in caso di rifiuto dei cookie traccianti. Anche il CNIL ricorda che è necessario valutare caso per caso, e procede con l'indicazione di alcuni criteri utili per una corretta valutazione.
1) Il gestore del sito web dovrebbe fornire una alternativa reale ed equa in caso di rifiuto dei cookie di profilazione, consentendo comunque l'accesso al sito senza dover cedere i propri dati. L'alternativa deve essere di facile e libera scelta. In particolare occorre tenere presente il tipo di servizio offerto, in caso di servizi essenziali o disponibili solo sul sito in questione, il cookie wall non sarebbe ammissibile.
2) Il gestore del sito in teoria può offrire un accesso a pagamento alternativo (paywall) in caso di rifiuto dei cookie di profilazione. Ma anche in questo caso occorre verificare che non si privino gli utenti di una scelta reale, per cui occorre che il prezzo sia ragionevole. Il CNIL non entra nel merito del prezzo, tuttavia sostiene che l'editore deve essere in grado di giustificare la ragionevole natura del corrispettivo monetario. Secondo il CNIL il corrispettivo non deve assumere una forma di abbonamento al servizio in quanto in questo caso sarebbe necessario che l'utente si iscriva al servizio così finendo comunque per fornire i propri dati. Suggerisce forme di micropagamento senza necessità di registrare i dati della carta di credito.
3) Il consenso ai cookie deve essere limitato alla finalità. Il CNIL precisa che se l'editore ritiene che il servizio dipende dal reddito che potrebbe ottenere dalla pubblicità mirata, allora per accedere al servizio deve essere necessario il solo consenso a tale finalità e non a finalità ulteriori, quali ad esempio la personalizzazione dei contenuti editoriali (che ovviamente è finalità diversa). Il rifiuto al consenso per le ulteriori finalità non dovrebbe impedire l'accesso al contenuto del sito, insomma non è ammissibile subordinare l'accesso ad un consenso omnibus.
4) In caso di rifiuto dei cookie traccianti il gestore del sito non può usare cookie se non quelli necessari per il funzionamento del sito. E' possibile utilizzare, invece, i cookie che dipendono dai servizi di terze parti ospitati sul sito web (es. embed), ovviamente sempre previo consenso dell'utente.
Infine dobbiamo ricordare che è ancora in discussione il regolamento ePrivacy, che dovrebbe occuparsi di stabilire regole chiare per i cookie wall.
----------------------
Contattami per una consulenza su questa materia.
