Perché l’esenzione è importante

Secondo la direttiva ePrivacy (articolo 5, paragrafo 3), memorizzare o leggere informazioni sul dispositivo di un utente richiede normalmente un consenso preventivo. Esistono due eccezioni, e quella a cui gli editori si affidano più spesso riguarda la memorizzazione strettamente necessaria a fornire un servizio che l’utente ha richiesto esplicitamente. Tutto ciò che non è coperto da questa esenzione sta dietro il tuo banner di consenso.

Molti siti estendono questa esenzione fino a includere analytics, test A/B, limitazione della frequenza degli annunci e personalizzazione. Le autorità di controllo hanno più volte respinto questa lettura, quindi conviene capire esattamente dove passa il confine.

Il test in due parti

L’esenzione non riguarda ciò che è comodo per te. Pone due domande:

1. L’utente ha richiesto esplicitamente il servizio? Caricare un articolo è una richiesta. Aggiungere un prodotto al carrello è una richiesta. Aprire un widget di chat che hai imposto su ogni pagina non lo è.
2. La memorizzazione è strettamente necessaria per fornire esattamente quel servizio? Se il servizio funzionerebbe comunque, anche in una forma meno comoda, senza il cookie o l’identificatore, la memorizzazione probabilmente non è strettamente necessaria.

Nota che «necessario per il nostro modello di business» non equivale a «necessario per il servizio richiesto dall’utente». I ricavi pubblicitari tengono in vita un sito gratuito, ma gli identificatori per il targeting pubblicitario non servono per mostrare un articolo.

Esempi comunemente accettati

• Cookie di sessione e di autenticazione che mantengono connesso un utente durante una sessione.
• Cookie del carrello che ricordano gli articoli mentre l’utente completa l’acquisto.
• Identificatori di bilanciamento del carico che instradano una richiesta al server giusto.
• Cookie di sicurezza usati per rilevare ripetuti accessi falliti o per difendersi da richieste contraffatte.
• Il registro del consenso stesso, perché ricordare la scelta dell’utente è necessario per rispettarla.
• Preferenze dell’interfaccia impostate deliberatamente dall’utente, come la lingua, quando sono memorizzate per la sessione o perché l’utente le ha scelte.

Esempi comunemente classificati in modo errato

• Cookie di analytics. Alcune autorità consentono una misurazione dell’audience limitata e rispettosa della privacy a condizioni rigorose, ma i tag di analytics standard richiedono in genere il consenso. Consulta le indicazioni dell’autorità applicabile al tuo pubblico.
• Identificatori pubblicitari e di retargeting. Non servono mai per fornire il contenuto in sé.
• Pulsanti di condivisione social e widget incorporati che impostano cookie di terze parti al caricamento della pagina.
• Test A/B e personalizzazione non richiesti dall’utente.
• Limitazione della frequenza degli annunci. Migliora l’esperienza dell’utente, ma non è essenziale per fornire la pagina.

Durata e ambito contano ancora

Un cookie davvero essenziale può comunque diventare problematico se dura più a lungo o raccoglie più di quanto la funzione richieda. Un cookie di sessione che persiste per un anno, o un cookie di sicurezza che scrive anche un profilo di marketing, perde la sua protezione. Mantieni la durata breve e il contenuto minimo.

Documenta il tuo ragionamento

Per ogni cookie o elemento di archiviazione che classifichi come strettamente necessario, annota tre cose: la funzione richiesta dall’utente che supporta, perché quella funzione smetterebbe di funzionare senza di esso e la sua durata. Basta una breve tabella tenuta insieme al tuo inventario dei cookie. Quando rivedi l’elenco, metti in discussione ogni voce: se l’unico argomento è «abbiamo sempre fatto così», spostala dietro il consenso.

L’esenzione si applica anche a qualcosa di più dei cookie. Local storage, session storage, device fingerprinting e identificatori SDK nelle app rientrano nella stessa logica dell’articolo 5, paragrafo 3, quindi includili nella tua revisione.

Dove si colloca FlexyConsent

FlexyConsent è una CMP certificata da Google (CMP ID 317), certificata da IAB Europe e IAB Canada, con un banner disponibile in 57 lingue. Una CMP ti permette di trattenere i tag non essenziali finché l’utente non ha scelto, mentre i tuoi elementi davvero essenziali continuano a caricarsi. Decidere a quale categoria appartiene ogni cookie resta una tua decisione, quindi tieni aggiornato il tuo ragionamento documentato.

Punti chiave

• L’esenzione copre la memorizzazione strettamente necessaria a un servizio richiesto esplicitamente dall’utente, non quella necessaria ai tuoi ricavi.
• I cookie di sessione, carrello, bilanciamento del carico, sicurezza e registro del consenso sono gli esempi tipici che rientrano.
• Analytics, pubblicità, widget social e personalizzazione richiedono in genere il consenso.
• Durata e contenuto contano: mantieni i cookie essenziali di breve durata e minimi.
• Applica lo stesso test a local storage, session storage e identificatori delle app.
• Documenta il ragionamento per ogni elemento classificato come strettamente necessario e rivedilo regolarmente.