Consenso o legittimo interesse: come decidere

Nel settore ci sono due schieramenti. Uno dice: chi riconosce solo aziende non ha bisogno di consenso, basta il legittimo interesse. L'altro dice: senza approvazione nel banner dei cookie non funziona nulla. Entrambe le parti hanno un po' di ragione, perché parlano di livelli diversi. Questo articolo separa i livelli e Le mette alla fine in mano cinque domande.

È un inquadramento oggettivo e non una consulenza legale. Per il Suo setup concreto la decisione spetta alla Sua consulenza sulla protezione dei dati.

Cosa vale a monte: l'accesso al dispositivo terminale

Prima di arrivare al GDPR si pone un'altra domanda: lo script accede al dispositivo del visitatore? La direttiva ePrivacy (art. 5, par. 3) richiede in linea di principio un consenso per la memorizzazione di informazioni nel dispositivo terminale e per la lettura di tali informazioni. È escluso ciò che è tecnicamente necessario per il servizio espressamente richiesto dall'utente.

In Germania ciò è recepito nel § 25 TDDDG e in Austria nel § 165 Abs. 3 TKG 2021. Entrambe le norme valgono indipendentemente dal fatto che alla fine nascano dati personali. Decisivo è l'accesso in sé.

Ciò riguarda più dei cookie:

• Una voce nella memoria di sessione del browser (sessionStorage) è una memorizzazione nel dispositivo terminale.
• La lettura di dimensione dello schermo e lingua del browser è una lettura di informazioni dal dispositivo terminale, anche se ogni singolo dato sembra innocuo.
• Le registrazioni di clic e movimenti del mouse non sono comunque qualcosa di cui un visitatore abbia bisogno per la visualizzazione della pagina.

Le autorità di controllo tedesche sostengono al riguardo una linea rigorosa: misurazione della portata e statistica di norma non sono considerate tecnicamente necessarie. Chi impiega uno script che compie tali accessi dovrebbe quindi partire dal presupposto che serva un consenso. Non è una questione di gusto, ma il presupposto senza il quale il resto non viene nemmeno raggiunto.

Art. 6, par. 1, lett. a contro lett. f

Solo dopo viene la domanda su quale base giuridica del GDPR si fondi il trattamento successivo, nella misura in cui sia personale.

Se un indirizzo IP sia di per sé personale lo chiarisce Indirizzo IP e GDPR: è un dato personale?. Come i due passaggi di verifica si collegano lo mostra Riconoscimento dei visitatori e GDPR: un inquadramento oggettivo.

Consenso (lett. a). Deve essere libero, informato, specifico e inequivocabile. Può essere revocato in qualsiasi momento. Per questo la situazione giuridica è chiara non appena il banner è costruito correttamente.

Legittimo interesse (lett. f). Qui si verificano tre cose: esiste un legittimo interesse (ad esempio l'avvio di una vendita nel B2B)? Il trattamento è necessario a tal fine? E non prevalgono gli interessi o i diritti fondamentali delle persone interessate? Il considerando 47 indica come criterio le ragionevoli aspettative degli interessati. Secondo lo stesso considerando il marketing diretto può costituire un legittimo interesse.

A ciò si aggiunge il diritto di opposizione ai sensi dell'art. 21: gli interessati possono opporsi al trattamento basato sulla lett. f. Deve renderlo praticamente possibile. Anche gli obblighi di informazione ai sensi degli artt. 13 e 14 valgono in entrambi i casi.

Perché i dati comportamentali rendono più difficile il bilanciamento

Una semplice attribuzione di azienda è spesso ancora ben motivabile nel bilanciamento: l'informazione è ridotta. Lo scopo è chiaro. Diventa più difficile non appena si aggiunge il comportamento. Quali pagine qualcuno legge, per quanto scorre e dove clicca dice molto su una persona, anche se compare solo come visitatore di un'azienda. Un video del mouse mostra ancora di più. Quanto più fine l'osservazione, tanto meno i visitatori se la aspettano. Di conseguenza è difficile motivare la prevalenza del Suo interesse.

A ciò si aggiunge un problema pratico: anche se potesse vincere il bilanciamento, ciò non Le serve finché sussiste l'obbligo di consenso per l'accesso al dispositivo. Il consenso c'è allora comunque. Molto suggerisce di usarlo anche come base giuridica per il trattamento, invece di curare due basi una accanto all'altra.

La via pratica: categoria statistica, script solo dopo

La soluzione che nella pratica funziona più spesso è semplice:

1. Il Suo banner ha una categoria propria, per lo più „Statistica“ o „Analisi“.
2. Lo script di riconoscimento dei visitatori si carica solo dopo che il visitatore ha approvato questa categoria.
3. Senza approvazione non avviene alcun accesso al dispositivo né alcuna richiesta al servizio.

Tecnicamente ciò avviene tramite il Suo tag manager con Consent Mode o tramite la gestione del consenso del Suo banner. Una guida si trova nella documentazione in Consenso nel tag manager. Whovisit, ad esempio, fornisce un modello di tag che attende il consenso statistico prestato prima di caricare lo script. Perché la via regga, il Suo banner deve però rappresentare davvero la categoria e trasmettere correttamente la decisione al tag manager.

Anche Google Analytics gira di norma dietro la stessa categoria. Che cosa Analytics riveli sulle aziende e che cosa no è in Riconoscere le aziende con Google Analytics: cosa si può fare e cosa no.

Svizzera: logica di opt-out

In Svizzera il punto di partenza è diverso. La legge sulle telecomunicazioni (art. 45c) richiede che gli utenti siano informati sul trattamento di dati sul loro dispositivo e possano rifiutarlo. È quindi una soluzione di opposizione invece di un consenso preventivo. Anche la legge sulla protezione dei dati rivista (dal 1° settembre 2023) lavora in linea di principio con trasparenza e possibilità di opposizione, invece di un obbligo generale di consenso.

Se sulla stessa pagina ha visitatori dalla Svizzera e dall'UE, per i visitatori UE vale comunque il diritto più rigoroso. In pratica significa: un banner unico con consenso è di solito la via più semplice, anche perché non può separare con certezza i visitatori per paese.

Il Suo percorso decisionale in cinque domande

1. Lo script accede al dispositivo? (Memorizzare o leggere, anche memoria di sessione, dimensione dello schermo, lingua.) In caso affermativo, per DE e AT di norma serve un consenso. Proceda con la domanda 2.
2. L'accesso è tecnicamente necessario per la visualizzazione richiesta della pagina? Per statistica e riconoscimento dei visitatori quasi sempre no.
3. Il Suo banner ha una categoria adatta allo scopo? Se no, la adatti prima di inserire lo script.
4. Lo script si carica davvero solo dopo l'approvazione? Verifichi nella scheda di rete del browser: prima dell'approvazione non deve partire alcuna richiesta al servizio.
5. L'informazione nell'informativa sulla privacy è completa? Esiste una via per la revoca? Scopo, base giuridica, destinatari, durata di conservazione.

Se alla domanda 1 risponde no, può riflettere sulla lett. f. Con procedure che accedono al dispositivo terminale ciò è in pratica raro.

Fonti

• Direttiva 2002/58/CE (ePrivacy), art. 5, par. 3
• GDPR, art. 6, par. 1, artt. 13, 14, 21 e considerando 47
• § 25 TDDDG (Germania), § 165 Abs. 3 TKG 2021 (Austria)
• Art. 45c legge sulle telecomunicazioni (Svizzera), legge sulla protezione dei dati (Svizzera) nella versione del 1° settembre 2023
• Orientierungshilfe della Conferenza sulla protezione dei dati per i fornitori di telemedia (versione attuale)