Cookie: consenso dell’interessato al legittimo interesse del Titolare

Sommario

1. Il legittimo interesse come base giuridica
2. Il consenso come base giuridica
3. Considerazioni sul legittimo interesse come base giuridica per l’istallazione di cookies
4. Correlazioni tra data protection e normativa antitrust

1. Il legittimo interesse come base giuridica

Il GDPR ha introdotto il concetto di “legittimo interesse” del titolare quale base giuridica su cui valutare la liceità delle operazioni di trattamento di dati personali.

Il legittimo interesse è una delle basi giuridiche previste dal Gdpr all’art. 6 per lo svolgimento di trattamenti di dati personali in condizioni di liceità.

Qualora tale trattamento sia effettuato per perseguire uno scopo legittimo del titolare, la condizione che deve essere rispettata è che non siano prevalenti su tale scopo gli interessi o i diritti e le libertà fondamentali dell’interessato (art. 6, 1° comma, lett. f).

L’onere di verificare l'adeguatezza e legittimità di un determinato trattamento e quindi di identificarne l’esatta base giuridica, ricade sul Titolare del trattamento, nell'ambito del principio di accountability (artt. 5 par. 2 e art. 24 GDPR).

Il perseguimento di un legittimo interesse si pone come base giuridica alternativa previste all’art. 6 del GDPR.

In assenza delle basi giuridiche che ricorrono nei casi di un rapporto contrattuale (o di misure precontrattuali), di obblighi legali, di esigenze di salvaguardia di interessi vitali dell’interessato o di altra persona fisica, di esercizio di pubblici poteri, il titolare che abbia un legittimo interesse può procedere al trattamento, in determinate condizioni, senza chiedere il consenso all’interessato.

Il legittimo interesse può essere utilizzato dal titolare per giustificare il trattamento dei dati attraverso lo svolgimento di attività che non siano eccessivamente invasive per l'interessato ed in ragione di esigenze specifiche del titolare, il consenso rimane la base giuridica legittima rispetto al trattamento per il perseguimento delle finalità di marketing.

2. Il consenso come base giuridica

Il consenso, libero, specifico, informato, inequivocabile e revocabile in qualsiasi momento, viene prestato dall’interessato a una richiesta del titolare per uno specifico trattamento una specifica finalità. Se dunque ricorre tale base giuridica (art. 6, par. 1, lett. a), GDPR), ai sensi dell’articolo 7, lettera a), sono gli interessati stessi ad autorizzare il trattamento dei loro dati personali. Spetta a loro decidere se acconsentire o meno al trattamento dei dati personali che li riguardano.

Per essere legittimo, il consenso deve comunque soddisfare talune condizioni essenziali, come illustrato nel parere 15/2011 del Gruppo di lavoro ex Art. 29. Poiché il trattamento dei dati dell’utente avviene, in ultima analisi, a sua discrezione, l’accento è posto sulla validità e sulla portata del consenso dell’interessato.

Se il Titolare decide invece di fondare il trattamento sull’interesse legittimo, prima di iniziare tale trattamento, deve valutare se ha correttamente considerato tutti i rischi in gioco, e quindi tutte le possibili conseguenze sugli interessati (eventualmente svolgendo una DPIA).

L’EDPB ha pubblicato nel maggio 2020 le Linee guida 05/2020 sul consenso che, tra l’altro, riguardano l’applicazione di tale base giuridica anche nell’ambito di utilizzo dei cookie. Con riguardo all’uso di questa tecnologia, l’EDPB ritiene che l'opzione di "continuare a navigare" non costituisca un modo valido e chiaro di prestare il consenso (e, dal lato del titolare del trattamento, di acquisirlo), nella misura in cui tale azione possa essere difficile da distinguere da altre attività o interazioni dell'utente, e dunque non possa considerarsi ‘esplicita’. Analoghe considerazioni vanno svolte con riguardo all’impostazione secondo la quale il proseguimento della navigazione all’interno di un sito web equivale al rilascio del consenso (c.d. scrolling). In nessun caso tale azione può essere interpretata come un’accettazione libera dei termini per l’utilizzo dei cookie.

I cookie wall e la pratica scrolling, dunque, violano il principio della correttezza in quanto limitano l'accesso a determinati servizi o contenuti solo agli utenti che rilasciano il consenso all'uso dei cookie. Alla luce di tale condizionamento, il consenso appare manifestamente forzato.

3. Considerazioni sul legittimo interesse come base giuridica per l’istallazione di cookies

Il GDPR affida proprio al Titolare del trattamento il compito di effettuare il bilanciamento di interessi alla base del riconoscimento del legittimo interesse (con la precedente normativa in Italia tale compito era demandato al Garante) a propria discrezionalità; lo stesso dovrà, in ogni caso,  anche raccogliere e documentare elementi sufficienti per essere in grado di “dare conto” (cfr. art. 5 par. 2 e art. 24 GDPR) delle proprie scelte.

Il “balancing test” diventa dunque un ulteriore obbligo posto in capo al titolare, con il duplice compito di permettere a quest'ultimo non solo di valutare la legittimità del trattamento che intende effettuare, ma anche di dimostrare la conformità del trattamento con la normativa applicabile. Solo ove il balancing test dia un esito positivo, rilevando che il trattamento non lede i diritti dell'interessato, lo stesso titolare, e solo tale soggetto, potrà decidere di utilizzare il legittimo interesse quale base giuridica alternativa alle altre previste dal GDPR.

L’art. 6, par. 1, lett. f) del GDPR, che qualifica l’interesse legittimo come una delle basi giuridiche che rende lecito un trattamento, fa riferimento ai Considerando 47 e 50. Il Cons. 47 così recita: “Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto”. Il Cons. 50 riguarda le finalità diverse rispetto a quelle per le quali i dati sono stati inizialmente raccolti. Le finalità diverse sono consentite solo se compatibili con le finalità iniziali, con riferimento anche alle ragionevoli aspettative degli interessati, in base alla relazione con il titolare con riguardo all’ulteriore utilizzo, della natura dei dati personali, delle conseguenze dell’ulteriore trattamento previsto per gli interessati, e dell’esistenza di garanzie adeguate sia nel trattamento originale, sia nell’ulteriore trattamento previsto.

Laddove si tratti di cookie di profilazione, anche di terze parti, non appare corretto considerare come base giuridica l’interesse legittimo, alla luce di tale considerando e ancor di più alla luce dell’art. 22 GDPR: il diritto dell’interessato non deve essere sottoposto a decisioni basate su trattamenti automatizzati, compresa la profilazione, al fine di valutarne le preferenze personali.

L’avvento di Internet e delle connesse tecnologie di registrazione dei comportamenti di navigazione, ha modificato il metodo di rilevazione delle caratteristiche della domanda; non più inferenziale e riferito a gruppi, bensì consistente nella raccolta di informazioni relative alla navigazione in rete di singoli individui.

La comunicazione pubblicitaria in internet si basa su un trattamento di dati personali effettuato nell’ambito della navigazione attraverso la tecnologia dei cookie (cookie di profilazione).

Alla luce della particolare invasività che tali tecnologie possono avere nella sfera privata degli utenti, la normativa europea e nazionale prevedono che l’utente debba essere adeguatamente informato sull’uso degli stessi ed esprimere il proprio valido consenso.

L’evoluzione dell’attività di marketing nella direzione del monitoraggio individuale pone una questione di equilibrio tra il diritto dell’impresa alla libertà di iniziativa economica e il diritto dei consumatori alla riservatezza delle informazioni che descrivono le loro abitudini e preferenze.

4. Correlazioni tra data protection e normativa antitrust

Le basi giuridiche del legittimo interesse e del consenso agiscono distintamente, individuando situazioni giuridiche diverse; l’una (il legittimo interesse) che ricorre in presenza di una finalità legittima – per la quale il trattamento è necessario – normalmente non riconducibile ai casi (diversi dal consenso) tratteggiati all’art. 6, par. 1 del Gdpr (contratto, obbligo legale, interessi vitali dell'interessato o di un'altra persona fisica, compito di interesse pubblico); l’altra (il consenso) che si applica in via residuale rispetto ai casi di ‘necessità’ di cui al medesimo art. 6, par. 1, compreso il legittimo interesse.

Peraltro, merita osservare come il quadro normativo europeo che disciplina i trattamenti effettuati attraverso le tecnologie cookie – rappresentato dall’art. 5, par. 3 della direttiva 2002/58/CE come modificata dalla direttiva 2009/136/CE (c.d. cookie law) – operi alla stregua di una lex specialis rispetto al Gdpr che contempla la base giuridica del consenso all’utilizzo dei cookie e una deroga a tale base giuridica nel caso di “archiviazione tecnica o l’accesso al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio”. Pertanto, nella cookie law la base giuridica del “legittimo interesse” non ricorre; il riferimento ad essa – mutuato dal Gdpr – viene utilizzato per descrivere le situazioni che beneficiano della predetta deroga (ad esempio, quando è necessario installare cookie tecnici per motivi di protezione del sito web).

Eppure, a partire dall’estate 2020, per accedere a numerosi siti web, sempre più di frequente si assiste ad un nuovo modo di presentare i cookie.

Accanto al solito banner con il pulsante: “accetta i cookie” vi è spesso un link o un bottone contenente un’espressione del tipo: “per saperne di più”, oppure “maggiori opzioni”. Cliccando su una di queste espressioni si apre un cookie wall, ed  una serie di scelte, relative a cookie di profilazione, anche di terze parti, per i quali di default il consenso risulta selezionato sul no, ma che immediatamente sotto ogni singola scelta, trova selezionato sul sì l’interesse legittimo, senza che ci siano informazioni chiare alla base.

Tale pratica risulta essere ingannevole, creando anche confusione tra le basi giuridiche sulle quali si fondano i relativi trattamenti.

Altra pratica riscontrata, forse meno invasiva, ma comunque, a parere di chi scrive, non corretta, è una casella da spuntare con l’indicazione “permetti che il trattamento dei tuoi dati avvenga sulla base di un interesse legittimo per questa finalità”.

La possibilità di acconsentire o negare l’interesse legittimo da parte dell’interessato, come richiesto nelle opzioni riportate nelle cookie policy di alcuni siti sembra essere un non senso per le seguenti motivazioni:

• se la base giuridica del trattamento è l’interesse legittimo, per il quale il Titolare ha ragionevolmente operato un bilanciamento di interessi, come può l’interessato apporre ovvero negare il suo consenso rispetto all’interesse legittimo dichiarato dal Titolare del trattamento?

Seguendo tale ragionamento è come se si sovrapponessero (!) le basi giuridiche per il medesimo trattamento e per le medesime finalità, avvalorando con il consenso il legittimo interesse del Titolare.

Nella prospettiva del GDPR, l’interessato può opporsi a tale trattamento esercitando il diritto ai sensi dell’art. 21 par.1 del Regolamento; incombe sul titolare del trattamento la responsabilità di dimostrare (accountability) che il suo legittimo interesse prevale sugli interessi o sui diritti e sulle libertà fondamentali dell’interessato;

• difficilmente un utente con una conoscenza media potrà comprendere quanto gli viene richiesto con tale pratica, in violazione del principio di “lealtà” e “trasparenza” nei confronti dell’interessato, due dei principi fondamentali che permeano tutto il GDPR;
• tale pratica non è legittima, anche perché non tutti gli utenti, oltre a non essere in grado di comprendere, sono disponibili a trascorrere del tempo a selezionare da quali aziende o per quali scopi potrà essere profilato; pertanto tale pratica si pone in palese contrasto con i principi del GDPR e l’indicazione dell’EDPB in ordine al consenso;
• il modello di LIA (per la valutazione del legittimo interesse) elaborato dall’ICO, nella valutazione del bilanciamento, considera l’ipotesi in cui venga consentito o meno un opt-out agli interessati. Ora, pur volendo usare tale modello, l’azione da parte dell’interessato, relativa all’apposizione di un flag rispetto ad una richiesta del titolare circa il proprio legittimo interesse, non pare ricadere in tale ipotesi di opt-out. Ciò che manca è una chiara indicazione circa il bilanciamento degli interessi in gioco: in sostanza tali pratiche peccano di mancanza di chiarezza e di lealtà nei confronti dell’utente del sito web;

• fondare poi un trattamento di dati per il quale la giusta base giuridica sarebbe il consenso sul legittimo interesse rappresenta una pratica che rende “illecito” lo stesso trattamento.

Nell’economia digitale e dei dati alcuni operatori posseggono un potere di mercato talmente significativo da assimilarli a imprese in posizione dominante.

Nell’economia digitale le imprese che occupano una posizione dominante cercano di mantenere, ovvero di rafforzare, tale posizione anche attraverso la raccolta e l’elaborazione (con l’ausilio di sistemi di ICT) di grandi quantità di dati personali.

La posizione dominante di un’impresa, dunque, costituisce un fattore di attenzione, oltre che per i profili di tutela della concorrenza, anche per la protezione dei dati personali.

Appare necessario valutare in che rapporto si pongono le categorie della posizione dominante e del suo eventuale abuso, da un lato, e del trattamento dei dati personali dall’altro.

Dalla prospettiva data protection occorre in particolare domandarsi se dietro una posizione dominante o il suo abuso si celi un trattamento di dati personali non conforme al GDPR.

La normativa antitrust riserva un'attenzione particolare alle imprese che detengono una posizione dominante all'interno del mercato poiché esse possono falsare e distorcere la libera concorrenza qualora vengano poste in essere condotte di sfruttamento di tale situazione ritenute abusive.