Cosa fa un banner di consenso
Un banner di consenso, detto anche banner dei cookie o informativa cookie, compare alla prima visita. Di solito è una sovrapposizione, una barra in fondo alla pagina o una finestra modale. I trattamenti non essenziali possono iniziare solo dopo che il visitatore ha interagito con il banner.
Il banner è la parte visibile di un obbligo più ampio di protezione dei dati. Dietro di lui c'è una piattaforma di gestione del consenso o uno script interno, che funziona in tre passaggi:
- 1
Informare per primo
Il banner mostra chi imposterà le tecnologie, per quali finalità e quali scelte sono disponibili.
- 2
Bloccare fino alla scelta
I cookie, i pixel e gli script non essenziali restano bloccati finché il visitatore non decide.
- 3
Registrare e riproporre
La scelta viene registrata con data, ora e versione dell'informativa. Un link nel footer consente di modificarla in seguito.
La base giuridica: ePrivacy e GDPR
Nell'Unione europea la regola deriva dall'articolo 5, paragrafo 3, della direttiva ePrivacy. Archiviare o leggere informazioni sul dispositivo dell'utente, cosa che fanno cookie e tracker simili, richiede il consenso. L'eccezione copre solo l'archiviazione strettamente necessaria a un servizio richiesto esplicitamente dall'utente, come il contenuto del carrello o una sessione di accesso. I cookie di analisi e pubblicitari non rientrano mai in questa eccezione.
Il GDPR stabilisce i requisiti che il consenso deve soddisfare: libero, specifico, informato e inequivocabile, espresso con un'azione positiva chiara. Quando dati sensibili vengono trattati sulla base del consenso, il GDPR richiede che sia esplicito. ePrivacy decide quando serve il consenso, mentre il GDPR stabilisce cosa conta come consenso valido. Le norme nazionali aggiungono dettagli, quindi la formulazione varia leggermente da uno Stato membro all'altro. Il principio dell'opt-in vale nell'UE, nello SEE e nel Regno Unito.
Modelli opt-in e opt-out
Non tutti i banner chiedono il permesso allo stesso modo. Due modelli prevalgono, e un sito internazionale spesso ne usa entrambi insieme. Secondo le leggi statali americane, come il CCPA, un segnale di rifiuto inviato dal browser o dal dispositivo deve essere rispettato.
| Modello | Dove si applica | Che cosa significa |
|---|---|---|
| Opt-in | UE, SEE e Regno Unito | Nulla di non essenziale viene eseguito prima che il visitatore accetti. |
| Opt-out | Leggi statali USA, come il CCPA | Il tracciamento parte dopo l'informativa. Il visitatore può opporsi alla vendita o alla condivisione dei dati. |
| A livelli | Siti internazionali | Una sola configurazione rileva la regione del visitatore e mostra il banner corretto. |
Registri del consenso e revoca
Qualunque sia il modello, la scelta deve poter essere dimostrata, perché l'onere della prova spetta al titolare del sito. Una configurazione conforme registra, per ogni scelta, i seguenti elementi, e tenere questo registro fa parte della gestione della compliance:
- quando il consenso è stato dato o negato
- quali finalità e fornitori la scelta copriva
- quale versione dell'informativa ha visto il visitatore
Dark pattern e quando un banner è illegittimo
Un banner può essere a schermo e comunque non valido. Autorità di controllo e tribunali hanno più volte condannato interfacce in cui accettare è più facile che rifiutare.
Le autorità applicano un test semplice: la simmetria. Rifiutare deve richiedere un clic e avere la stessa evidenza di accettare. Anche revocare il consenso deve essere facile quanto darlo. Un consenso ottenuto con manipolazioni non è libero, e un consenso non libero non esiste.
| Schema | Che cosa non va | Stato |
|---|---|---|
| Scelte preselezionate | Caselle spuntate o interruttori preimpostati non sono una scelta positiva. | Non valido |
| Pulsanti sbilanciati | Un Accetta tutto evidente accanto a un Rifiuta sbiadito o a più clic. | Non valido |
| Rifiuto nascosto | Rifiuta tutto è sepolto più in profondità di Accetta tutto. | Non valido |
| Consenso implicito | Continuare a navigare o scorrere la pagina non è un'azione chiara. | Non valido |
| Pressioni e cookie wall | Testi che generano senso di colpa, o contenuti bloccati finché non si acconsente. | Contestato |
Il contesto del TCF
Nella pubblicità online il metodo di segnalazione dominante è l'IAB Transparency and Consent Framework, di solito abbreviato in TCF. Una piattaforma di consenso che lo supporta codifica le scelte del visitatore, come le finalità accettate, i fornitori ammessi e le opposizioni al trattamento per legittimo interesse, in una stringa di consenso standard. I fornitori pubblicitari lungo la catena possono leggere quella stringa e devono rispettarla.
Il TCF è un framework di settore, non una legge. La partecipazione è contrattuale, e sia il framework sia i singoli avvisi costruiti su di esso sono stati oggetto di controllo da parte dei regolatori. Qualunque strumento si usi, conta di più la regola: nessun tracciamento non essenziale prima di una scelta valida e simmetrica, e la profilazione comportamentale a fini pubblicitari richiede lo stesso consenso chiaro.
Per approfondire: Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.
Un banner che rende più difficile rifiutare che accettare ha già fallito, per quanto curato sia il suo design.
Anexet Team