Cookies & Co. - biscotti legalmente tossici?
La polemica sullo spionaggio statunitense dimostra che non tutto ciò che è tecnicamente possibile è anche legale. Lo stesso vale per il marketing basato su cookie e simili. Tuttavia, se vengono rispettati i principi di protezione dei dati, i cookie e simili non si trasformano in «biscotti giuridicamente tossici» per i gestori dei siti web.
I marketer sono affamati, affamati di dati sui clienti e sugli utenti. È nella natura delle cose. Dall'avvento delle tecnologie informatiche, inoltre, ricevono costantemente nuovi e più efficienti strumenti per la raccolta e l'analisi dei dati. Questi sono aumentati in modo esponenziale dopo l'avvento di Internet. Questo ha portato sulla scena anche i politici, che hanno introdotto contemporaneamente la legge sulla protezione dei dati e l'hanno costantemente adattata alle nuove possibilità tecniche. La legge sulla protezione dei dati costituisce la base giuridica essenziale per il marketing online con i cookie e altri strumenti per analizzare il comportamento dei clienti e degli utenti su Internet. Tuttavia, solo i cosiddetti "dati personali" sono coperti dalla legge sulla protezione dei dati. Si tratta di dati che consentono di trarre conclusioni dirette su una persona fisica o giuridica. Secondo il Commissario federale per la protezione dei dati, sono compresi anche gli indirizzi IP, anche se in genere consentono di trarre conclusioni solo sul relativo fornitore di accesso, in quanto i dati utente associati possono essere divulgati da quest'ultimo solo in caso di ragionevole sospetto di reato e solo alle autorità penali. Ciò significa che anche gli addetti al marketing che utilizzano cookie e strumenti di analisi per i siti web, come Google Analytics, devono attenersi ai principi di protezione dei dati. I principi di liceità, trasparenza, proporzionalità, limitazione delle finalità e sicurezza sono particolarmente importanti.
Per quanto riguarda sia i cookie che gli strumenti di analisi, ciò significa che il gestore di un sito web deve fare esplicito riferimento all'uso di questi strumenti nei termini e nelle condizioni generali di utilizzo, di solito come parte di una dichiarazione sul trattamento dei dati. Se il sito web è accessibile anche nell'Unione Europea o si rivolge anche a questo mercato, la Direttiva ePrivacy dell'UE richiede anche che l'utente acconsenta esplicitamente al posizionamento di un cookie sul proprio PC, ad esempio cliccando su una casella di consenso in un pop-up. Ciò corrisponde al principio dell'opt-in già noto in relazione alle e-mail commerciali. Nel caso di strumenti di analisi di terzi, è importante che questi non utilizzino i dati forniti dall'operatore del sito web per i propri scopi e che garantiscano la sicurezza dei dati. Se si utilizzano strumenti di fornitori stranieri, è necessario osservare anche le disposizioni della legge sulla protezione dei dati per quanto riguarda il trasferimento dei dati personali all'estero. La legge sulla protezione dei dati richiede che il Paese in cui i dati vengono trasmessi garantisca "un'adeguata protezione dei dati". Dal punto di vista della Svizzera e dell'Incaricato federale della protezione dei dati, il fornitore negli Stati Uniti deve aver aderito al "U.S.-Swiss Safe Harbour Framework", come ha fatto in particolare Google. Inoltre, l'Incaricato federale per la protezione dei dati richiede che il gestore del sito web garantisca che le ultime cifre dell'indirizzo IP siano rese irriconoscibili attraverso un'impostazione appropriata del codice del programma, cosa che è particolarmente facile da fare con Google Analytics.
Se questi principi vengono rispettati, i cookie e gli strumenti di analisi possono contribuire alla semplificazione e all'ottimizzazione dei siti web sia per il gestore del sito che per l'utente, senza diventare "biscotti legalmente velenosi" per il gestore del sito. Ulteriori informazioni su www.edoeb.admin.ch e sul libro "Kommunikationsrecht.ch".
Ueli Grüter
