Come verificare i cookie del sito del ristorante: accettazione, rifiuto e revoca (guida AEPD del 2023)

Per gestire i cookie sul sito di un ristorante occorre verificare finalità, interfaccia e comportamento effettivo: i clienti possono accettare o rifiutare con la stessa facilità? Quali componenti smettono di funzionare dopo la scelta? Come si può revocarla in seguito? La semplice chiusura del banner è solo un cambiamento visibile e non sostituisce queste verifiche.

In data 2023-7-11, l’AEPD ha pubblicato un avviso di aggiornamento delle proprie linee guida: le opzioni per accettare e rifiutare i cookie devono avere pari evidenza; i cookie tecnici necessari per la lingua scelta attivamente dall’utente e non utilizzati per altri scopi possono essere esentati dal consenso. L’aggiornamento doveva essere attuato entro il 2024-1-11. Questo articolo illustra indicazioni già esistenti e non presenta la data dell’avviso come data di entrata in vigore di una nuova legge.

Individua la funzione e il responsabile di ogni componente

Partendo dalla home page, passa in rassegna menu, prenotazioni e pagamento, elencando le pagine del ristorante e i servizi esterni. Il nome di un componente per mappe, video, prenotazioni o marketing non ne descrive tutte le finalità: chiedi al fornitore del sito di spiegare se riceve informazioni sul dispositivo, perché ne ha bisogno e chi è responsabile della configurazione e dei successivi aggiornamenti.

• Componente e fornitore: registra i servizi effettivamente attivi, senza limitarti a copiare l’elenco di installazione.
• Finalità specifica: indica separatamente scopi quali soddisfare una richiesta del cliente, salvare preferenze, fare statistiche o pubblicità. Se un componente ha più finalità, registrale distintamente.
• Condizioni di attivazione: specifica quando vengono effettuate richieste o salvate informazioni e quali attività devono cessare in caso di rifiuto.
• Responsabilità della manutenzione: indica chi contattare e chi deve ricontrollare il componente se cambiano la finalità o le impostazioni.

Scegliere attivamente una lingua non equivale a far dedurre una preferenza dal sito

L’esenzione dal consenso descritta nell’avviso del 2023 riguarda i casi in cui l’utente sceglie personalmente una lingua o un’altra preferenza e il cookie tecnico pertinente non viene usato per altri scopi. Non si può applicare automaticamente la stessa conclusione quando è il sito a dedurre la preferenza dai dati raccolti. Neppure il remarketing pubblicitario diventa una funzione necessaria solo perché condivide un componente con il menu.

Le esenzioni specifiche e gli obblighi di consenso devono comunque essere valutati da un consulente qualificato in materia di privacy, sulla base delle finalità effettive. Non classificare tutti gli strumenti di analisi come necessari, né considerarli tutti soggetti a consenso. Se un componente di tracciamento non ha una finalità effettiva né un responsabile della manutenzione, si può valutare anzitutto se rimuoverlo.

Verifica separatamente l’interfaccia e il comportamento dopo la scelta

• Prima visita: da telefono e computer, controlla che le opzioni per accettare, rifiutare e configurare siano chiare e visibili e che il rifiuto non richieda più passaggi.
• Dopo il rifiuto: chiedi al fornitore tecnico di descrivere, in un ambiente di navigazione controllato, quali richieste e operazioni di archiviazione cessano. Non basta una schermata che mostra il banner chiuso.
• Scelte per finalità: verifica una per una le finalità e il rapporto con ciò che viene effettivamente caricato; accertati che le opzioni dell’interfaccia controllino davvero le attività corrispondenti.
• Nuova scelta e revoca: spiega ai clienti come tornare alle impostazioni e come cambia il comportamento effettivo dopo una modifica. Non lasciare un’opzione che non consente di salvare la scelta.

Le opzioni per accettare e rifiutare devono essere altrettanto chiare in tutte le lingue; spetta al cliente decidere cosa scegliere. Se, dopo il rifiuto della pubblicità, il menu o le prenotazioni non funzionano correttamente, chiedi al responsabile della manutenzione di indagare: non nascondere il problema chiedendo al cliente di accettare di nuovo tutto. Per condizioni di servizio particolari, chiedi un parere professionale separato.

Quando cambia un fornitore, aggiorna anche le verifiche

Se sostituisci il servizio di prenotazione, mappe o pubblicità, le informative e le scelte precedenti potrebbero non essere più adeguate. Il responsabile dovrebbe chiedere al fornitore di aggiornare l’elenco dei componenti, le relative finalità e gli esiti delle scelte, indicando quali comportamenti non sono ancora stati verificati e chi se ne occuperà. Conserva internamente le prove necessarie delle verifiche, senza chiedere dati di navigazione dei dispositivi dei clienti che non siano pertinenti al problema.

La gestione dei cookie non esaurisce tutti gli obblighi relativi ai recapiti per le prenotazioni, ai dati degli iscritti e a quelli di pagamento. Questi utilizzi vanno verificati separatamente. Il personale fornisce assistenza per le richieste di informazioni o per ordinare; i dubbi giuridici vanno sottoposti al responsabile competente. Non dichiarare che l’installazione di uno strumento garantisce la conformità per sempre.