Il Panopticon digitale. I cookies tra diritto e pratica nell’Unione europea

Freedom, Security & Justice: European Legal Studies Rivista giuridica di classe A 2022, n. 2 DIRETTORE Angela Di Stasi Ordinario di Diritto Internazionale e di Diritto dell’Unione europea, Università di Salerno Titolare della Cattedra Jean Monnet 2017-2020 (Commissione europea) "Judicial Protection of Fundamental Rights in the European Area of Freedom, Security and Justice" COMITATO SCIENTIFICO Sergio Maria Carbone, Professore Emerito, Università di Genova Roberta Clerici, Ordinario f.r. di Diritto Internazionale privato, Università di Milano Nigel Lowe, Professor Emeritus, University of Cardiff Paolo Mengozzi, Professore Emerito, Università "Alma Mater Studiorum" di Bologna - già Avvocato generale presso la Corte di giustizia dell’UE Massimo Panebianco, Professore Emerito, Università di Salerno Guido Raimondi, già Presidente della Corte EDU - Presidente di Sezione della Corte di Cassazione Silvana Sciarra, Professore Emerito, Università di Firenze - Giudice della Corte Costituzionale Giuseppe Tesauro, Professore f.r. di Diritto dell'UE, Università di Napoli "Federico II" - Presidente Emerito della Corte Costituzionale Antonio Tizzano, Professore Emerito, Università di Roma “La Sapienza” - Vice Presidente Emerito della Corte di giustizia dell’UE Ennio Triggiani, Professore Emerito, Università di Bari Ugo Villani, Professore Emerito, Università di Bari COMITATO EDITORIALE Maria Caterina Baruffi, Ordinario di Diritto Internazionale, Università di Verona Giandonato Caggiano, Ordinario f.r. di Diritto dell’Unione europea, Università Roma Tre Alfonso-Luis Calvo Caravaca, Catedrático de Derecho Internacional Privado, Universidad Carlos III de Madrid Pablo Antonio Fernández-Sánchez, Catedrático de Derecho Internacional, Universidad de Sevilla Inge Govaere, Director of the European Legal Studies Department, College of Europe, Bruges Paola Mori, Ordinario di Diritto dell'Unione europea, Università "Magna Graecia" di Catanzaro Lina Panella, Ordinario di Diritto Internazionale, Università di Messina Nicoletta Parisi, Ordinario f.r. di Diritto Internazionale, Università di Catania - già Componente ANAC Lucia Serena Rossi, Ordinario di Diritto dell'UE, Università "Alma Mater Studiorum" di Bologna - Giudice della Corte di giustizia dell’UE COMITATO DEI REFEREES Bruno Barel, Associato di Diritto dell’Unione europea, Università di Padova Marco Benvenuti, Ordinario di Istituzioni di Diritto pubblico, Università di Roma "La Sapienza" Raffaele Cadin, Associato di Diritto Internazionale, Università di Roma “La Sapienza” Ruggiero Cafari Panico, Ordinario f.r. di Diritto dell’Unione europea, Università di Milano Ida Caracciolo, Ordinario di Diritto Internazionale, Università della Campania - Giudice dell’ITLOS Federico Casolari, Associato di Diritto dell’Unione europea, Università “Alma Mater Studiorum” di Bologna Luisa Cassetti, Ordinario di Istituzioni di Diritto Pubblico, Università di Perugia Giovanni Cellamare, Ordinario di Diritto Internazionale, Università di Bari Marcello Di Filippo, Ordinario di Diritto Internazionale, Università di Pisa Rosario Espinosa Calabuig, Catedrática de Derecho Internacional Privado, Universitat de València Ana C. Gallego Hernández, Profesora Ayudante de Derecho Internacional Público y Relaciones Internacionales, Universidad de Sevilla Pietro Gargiulo, Ordinario di Diritto Internazionale, Università di Teramo Giancarlo Guarino, Ordinario f.r. di Diritto Internazionale, Università di Napoli “Federico II” Elspeth Guild, Associate Senior Research Fellow, CEPS Victor Luis Gutiérrez Castillo, Profesor de Derecho Internacional Público, Universidad de Jaén Ivan Ingravallo, Associato di Diritto Internazionale, Università di Bari Paola Ivaldi, Ordinario di Diritto Internazionale, Università di Genova Luigi Kalb, Ordinario di Procedura Penale, Università di Salerno Luisa Marin, Marie Curie Fellow, European University Institute Simone Marinai, Associato di Diritto dell’Unione europea, Università di Pisa Fabrizio Marongiu Buonaiuti, Ordinario di Diritto Internazionale, Università di Macerata Daniela Marrani,Ricercatore di Diritto Internazionale, Università di Salerno Rostane Medhi, Professeur de Droit Public, Université d’Aix-Marseille Stefano Montaldo, Associato di Diritto dell’Unione europea, Università di Torino Violeta Moreno-Lax, Senior Lecturer in Law, Queen Mary University of London Claudia Morviducci, Professore Senior di Diritto dell’Unione europea, Università Roma Tre Michele Nino, Associato di Diritto Internazionale, Università di Salerno Anna Oriolo, Associato di Diritto Internazionale, Università di Salerno Leonardo Pasquali, Associato di Diritto dell'Unione europea, Università di Pisa Piero Pennetta, Ordinario f.r. di Diritto Internazionale, Università di Salerno Emanuela Pistoia, Ordinario di Diritto dell’Unione europea, Università di Teramo Concetta Maria Pontecorvo, Ordinario di Diritto Internazionale, Università di Napoli “Federico II” Pietro Pustorino, Ordinario di Diritto Internazionale, Università LUISS di Roma Santiago Ripol Carulla, Catedrático de Derecho internacional público, Universitat Pompeu Fabra Barcelona Gianpaolo Maria Ruotolo, Ordinario di Diritto Internazionale, Università di Foggia Teresa Russo, Associato di Diritto dell'Unione europea, Università di Salerno Alessandra A. Souza Silveira, Diretora do Centro de Estudos em Direito da UE, Universidad do Minho Ángel Tinoco Pastrana, Profesor de Derecho Procesal, Universidad de Sevilla Chiara Enrica Tuo, Ordinario di Diritto dell’Unione europea, Università di Genova Talitha Vassalli di Dachenhausen, Ordinario f.r. di Diritto Internazionale, Università di Napoli “Federico II” Alessandra Zanobetti, Ordinario di Diritto Internazionale, Università “Alma Mater Studiorum” di Bologna COMITATO DI REDAZIONE Francesco Buonomenna, Associato di Diritto dell’Unione europea, Università di Salerno Angela Festa, Ricercatore di Diritto dell’Unione europea, Università della Campania “Luigi Vanvitelli” Caterina Fratea, Associato di Diritto dell’Unione europea, Università di Verona Anna Iermano, Ricercatore di Diritto Internazionale, Università di Salerno Angela Martone, Dottore di ricerca in Diritto dell’Unione europea, Università di Salerno Michele Messina, Associato di Diritto dell’Unione europea, Università di Messina Rossana Palladino ( Coordinatore ), Ricercatore di Diritto dell’Unione europea, Università di Salerno Revisione linguistica degli abstracts a cura di Francesco Campofreda , Dottore di ricerca in Diritto Internazionale, Università di Salerno Rivista quadrimestrale on line “Freedom, Security & Justice: European Legal Studies” www.fsjeurostudies.eu Editoriale Scientifica, Via San Biagio dei Librai, 39 - Napoli CODICE ISSN 2532-2079 - Registrazione presso il Tribunale di Nocera Inferiore n° 3 del 3 marzo 2017 Indice-Sommario 2022, n. 2 Éditorial Mandat d’arrêt européen et défaillances de l’État de droit: une analyse en deux étapes Lucia Serena Rossi p. 1 Saggi e Articoli La responsabilità civile dell’impresa transnazionale per violazioni ambientali e di diritti umani: il contributo della proposta di direttiva sulla due diligence societaria a fini di sostenibilità Gabriella Carella La condizione giuridica dello straniero e il godimento dei diritti sociali fondamentali: la recente giurisprudenza costituzionale (e il dialogo con la Corte di Lussemburgo) Armando Lamberti Il contenzioso tra Ucraina e Federazione russa davanti alla Corte europea dei diritti dell’uomo Riccardo Pisillo Mazzeschi Dalla protezione internazionale alla protezione immediata. L’accoglienza degli sfollati dall’Ucraina come cartina di tornasole della proposta di trasformazione Emanuela Pistoia Il Consiglio d’Europa e gli effetti giuridico-istituzionali della guerra in Ucraina sul sistema convenzionale Guido Raimondi Luci e ombre della Convenzione di Nicosia Tullio Scovazzi In Search of the Legal Boundaries of an “Open Society”. The Case of Immigrant Integration in the EU Daniela Vitiello Commenti e Note Il difficile bilanciamento tra sicurezza nazionale e tutela dei diritti fondamentali nella “data retention saga” dinanzi alla Corte di giustizia Giovanna Naddeo p. 10 p. 42 p. 88 p. 101 p. 124 p. 140 p. 151 p. 188 La sesta direttiva antiriciclaggio e la sua attuazione nell’ordinamento italiano: alcune considerazioni Matteo Sommella Il Panopticon digitale. I cookies tra diritto e pratica nell’Unione europea Flavia Zorzi Giustiniani p. 218 p. 241 Freedom, Security & Justice: European Legal Studies ISSN 2532-2079 2022, n. 2, pp. 241-255 DOI:10.26321/F.ZORZI.GIUSTINIANI.02.2022.11 www.fsjeurostudies.eu IL PANOPTICON DIGITALE. I COOKIES TRA DIRITTO E PRATICA NELL’UNIONE EUROPEA Flavia Zorzi Giustiniani ∗ “before cookies, the Web was essentially private. After cookies, the Web becomes a space capable of extraordinary monitoring.” 1 S OMMARIO : 1. Osservazioni preliminari. – 2. La disciplina dei cookies nel diritto dell’unione europea. – 3. Cookies e trasferimento dei dati personali al di fuori dell’Unione europea. – 4. Il nuovo regolamento eprivacy. – 5. Considerazioni conclusive. 1. Osservazioni preliminari Al giorno d’oggi la tecnologia di tracciamento più utilizzata per raccogliere, elaborare e condividere i dati personali degli utenti finali su internet è indubbiamente costituita dai cookies. La gran parte delle società operanti nel mondo digitale analizza oramai i comportamenti dei propri utenti soprattutto grazie a tali strumenti. I cookies consistono in microfile digitali che consentono di associare un dispositivo, come pure un indirizzo IP, alle scelte comportamentali di un determinato utente. Una siffatta associazione perdura fintantoché l’utente non elimina dalla cronologia i siti visitati e le opzioni di scelta relative alla registrazione di cookies. Le informazioni codificate nei cookies possono includere dati personali (un nome utente, un identificativo univoco, un indirizzo e-mail o un indirizzo IP) oppure dati non personali (quali ad esempio informazioni sul tipo di dispositivo utilizzato). I cookies rientrano tra i cd. “identificatori attivi”, i quali, attraverso strumenti azionabili autonomamente, permettono all’utente di rifiutare il proprio consenso al tracciamento come pure di procedere direttamente alla rimozione dei cookies archiviati Articolo sottoposto a doppio referaggio anonimo. ∗ Associato di Diritto dell’Unione europea, Università Link Campus Roma. Indirizzo e-mail: [email protected]. 1 Cfr. J. S CHWARTZ , Giving the Web a Memory Cost Its Users Privacy, in New York Times, 4 settembre 2001, disponibile al link http://www.nytimes.com/2001/09/04/technology/04Cook.html. Il Panopticon digitale. I cookies tra diritto e pratica nell’Unione europea 242 www.fsjeurostudies.eu sul proprio dispositivo 2 . Gli identificatori “passivi”, di converso, come ad esempio il fingerprinting, non implicando la memorizzazione di informazioni e/o l’accesso a queste sul dispositivo dell’utente, ma soltanto la lettura della sua configurazione, rimangono nella piena e sola disponibilità del titolare. I cookies si suddividono in cookies proprietari o di prime parti, allorché sono installati, cancellati e modificati direttamente dal sito visitato, e cookies di terze parti, che sono invece creati da altri siti proprietari dei contenuti visualizzati nella pagina web del sito che si sta visitando. Sulla base delle funzioni svolte, i cookies sono poi distinti in tecnici, analitici e di profilazione. I cookies tecnici sono usati al fine di migliorare l’esperienza di navigazione in un sito web e consentire il pieno utilizzo di tutte le funzionalità del sito stesso (ad esempio per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni specifiche sugli utenti). I cookies analitici servono invece ai servizi web per raccogliere informazioni relative all’accesso degli utenti, quali il numero di visitatori su un sito web, la durata della loro permanenza sul sito e quali parti del sito visitano (cd. “web audience measurement”). Infine, i cookies di profilazione sono quelli utilizzati per monitorare e profilare gli utenti durante la navigazione, studiare i loro movimenti e abitudini di consultazione del web o di consumo, principalmente allo scopo di misurare l’efficacia del messaggio pubblicitario, nonché di conformare tipologia e modalità dei servizi resi ai comportamenti degli utenti oggetto di osservazione. L’utilizzo dei cookies si deve generalmente a motivi commerciali, in particolare al fine di procedere alla profilazione degli internauti. L’attuale mondo digitale, dove l’AdTech (la tecnologia pubblicitaria) la fa da padrone, deve la sua origine in larga parte proprio allo sviluppo dei cookies nell’ormai lontano 1993 3 e al conseguente passaggio dalla pubblicità contestuale, che si basa sul contenuto del sito in cui compare l’annuncio, alla pubblicità comportamentale, basata invece sulla raccolta di dati, tramite cookies, dell’attività di navigazione di un computer-utente e del suo comportamento online, al fine di fornirgli annunci su misura basati sui suoi interessi. Con l’eccezione dei cookies meramente tecnici, le altre tipologie di cookies sono suscettibili di avere un impatto significativo sulla riservatezza degli internauti. L’utilizzo di cookies potrebbe infatti rendere identificabili i singoli utenti anche mediante la raccolta di dati apparentemente anonimi come gli indirizzi IP. Nel presente contributo ci si soffermerà anzitutto sull’attuale quadro giuridico che regola l’utilizzo dei cookies nell’Unione europea. Specifico approfondimento sarà di seguito dedicato alle problematiche concernenti il trasferimento dei dati personali 2 Sulla differenza tra identificatori attivi e passivi v. G ARANTE PER LA P ROTEZIONE DEI D ATI P ERSONALI , Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021, p. 5. 3 La tecnologia cookie fu sviluppata nel 1993 dall’ingegnere Lou Montulli per il consorzio Netscape. Sulle origini e lo sviluppo dei cookies si veda R.C. S HAH , J.P. K ESAN , Deconstructing Code, in Yale Journal of Law and Technology, 2004, p. 278; L. E DWARDS , Data Protection and e-Privacy: From Spam and Cookies to Big Data, Machine Learning and Profiling, in L. E DWARDS (ed.), Law, Policy and the Internet, London, 2018, pp. 119, 126-7. “The cookies technology was the most innovative feature and one that would forever alter the web”. (R.C. S HAH , J.P. K ESAN , Deconstructing Code, cit., p. 298). Flavia Zorzi Giustiniani 243 dall’Unione europea a Paesi terzi, e più in particolare agli Stati Uniti, giacché tali trasferimenti sono subordinati inter alia al rispetto delle norme europee relative all’uso dei cookies. Si valuterà poi il possibile impatto delle modifiche all’attuale disciplina dei cookies ora in discussione nel progetto di regolamento ePrivacy. Nel concludere si mostrerà, alla luce della prassi più recente, che il divario tuttora esistente tra normativa vigente e suo rispetto effettivo pare venir meno. 2. La disciplina dei cookies nel diritto dell’Unione europea In materia di cookies l’ordinamento dell’Unione europea si conferma essere, almeno su di un piano formale, il più avanzato al mondo, ponendo una disciplina assai stringente e protettiva per gli utenti-internauti. Ad oggi lo strumento principale che regola l’utilizzo dei cookies è ancora la direttiva 2002/58/CE, relativa alla vita privata e alle comunicazioni elettroniche (cd. direttiva ePrivacy) 4 , come emendata dalla direttiva 2009/136/CE 5 . Obiettivo generale della direttiva ePrivacy è quello di garantire la riservatezza delle comunicazioni di ordine elettronico. La relativa disciplina del trattamento di informazioni personali è imperniata sul principio del consenso informato, che l’utente deve prestare preliminarmente all’utilizzo da parte del gestore di un sito internet di cookies che consentano la memorizzazione e/o l’accesso a dati sul suo computer 6 (art. 5.3). L’unica eccezione alla regola del consenso concerne i cookies di carattere tecnico, ovvero quei cookies utilizzati “al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria a fornire un servizio della società dell'informazione esplicitamente richiesto dall'abbonato o dall'utente” 7 . A seguito delle modifiche introdotte nel 2009, che si inseriscono nel più ampio quadro della riforma europea delle reti e dei servizi di comunicazione elettronica, in tema di cookies si è così effettuato il passaggio da un modello di opt-out, secondo il quale era sufficiente permettere all’utente di rifiutare l’installazione dei cookies, a un modello di opt-in, che richiede invece obbligatoriamente il consenso dell’utente per qualsiasi uso non strettamente connesso con il servizio reso. Il principio del consenso quale presupposto del trattamento dei dati personali è stato poi disciplinato ex novo, in modo più dettagliato e rigoroso rispetto alla normativa 4 Non a caso tale direttiva è definita anche «cookie law». 5 Cfr. direttiva 2009/136/CE del Parlamento europeo e del Consiglio del 25 novembre 2009 recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica, della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità nazionali responsabili dell’esecuzione della normativa a tutela dei consumatori. 6 Cfr. art. 5.3 della direttiva ePrivacy. 7 “Gli Stati membri assicurano che l’uso di reti di comunicazione elettronica per archiviare informazioni o per avere accesso a informazioni archiviate nell'apparecchio terminale di un abbonato o di un utente sia consentito unicamente a condizione che l'abbonato o l'utente interessato sia stato informato in modo chiaro e completo, tra l'altro, sugli scopi del trattamento in conformità della direttiva 95/46/CE e che gli sia offerta la possibilità di rifiutare tale trattamento da parte del responsabile del trattamento” (ibid., corsivo nostro). Il Panopticon digitale. I cookies tra diritto e pratica nell’Unione europea 244 www.fsjeurostudies.eu precedente, dal Regolamento generale per la protezione dei dati personali 2016/679 (cd. GDPR). Il consenso è ivi definito quale una manifestazione di volontà libera, specifica, informata 8 e inequivocabile dell’interessato 9 . Tale consenso al trattamento deve essere prestato per una o più finalità specifiche ex art. 6. Dovrebbe inoltre essere espresso “mediante un atto positivo inequivocabile con il quale l'interessato manifesta l'intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano” 10 . Il consenso così espresso è revocabile in qualsiasi momento 11 . Qualora poi “il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste” 12 . Tale disciplina si applica, per espressa previsione 13 , anche con riguardo all’impiego dei cookies. Di rilievo particolare per l’utilizzo dei cookies è poi il requisito di modalità trasparenti e sintetiche 14 per i cookie banners, ovvero gli avvisi che devono essere mostrati agli utenti al momento del primo accesso di un utente ad un sito internet al fine di informarlo della presenza di eventuali cookies, dei suoi diritti a riguardo e di chiederne il consenso all'installazione. A dispetto della specificazione dei requisiti inerenti all’utilizzo dei cookies introdotti dal GDPR, la grande maggioranza dei titolari di trattamento online hanno continuato ad impiegare caselle di spunta preselezionate che, per impostazione predefinita, inducono gli utenti ad accettare sui propri dispositivi cookies di prime o di terze parti. Questa prassi è stata censurata dalla Corte di Giustizia, la quale nel caso Planet49 ha affermato senza mezzi termini che l’unica forma di consenso valido per il trattamento dei dati dell’utente sia il consenso espresso, ovvero quello prestato in modo attivo e specifico 15 . La preselezione delle caselle per esprimere il consenso all’uso dei cookies è pertanto vietata. Gli utenti devono inoltre essere informati in merito alla durata dei cookies e alla eventualità che soggetti terzi accedano ai loro dati, giacché entrambi i profili costituiscono specifiche modalità di trattamento dei dati personali. L’insopprimibilità di un consenso attivo da parte dell’interessato è stata poi ribadita dai giudici di Lussemburgo nella causa Orange România SA 16 . 8 L’informativa che deve precedere il consenso è disciplinata dall’art. 13 del GDPR. 9 Cfr. art. 4 del GDPR. 10 Sic il considerando 32 del GDPR. 11 Cfr. art. 7 del GDPR. 12 Cfr. il considerando 32 del GDPR. 13 Ibid. 14 Cfr. art. 5.1 lett. a e art. 12 GDPR su informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato. 15 Cfr. Corte di giustizia, sentenza del 1° ottobre 2019, Bundesverband der Verbrauchenzentrale und Verbraucherverbände –Verbraucherzentrale Bundesverband eV c. Planet49, causa C-673/17. In dottrina si vedano tra gli altri: K. W IEDEMANN , The ECJ’s Decision in ‘‘Planet49’’ (Case C-673/17): A Cookie Monster or Much Ado About Nothing?, in IIC - International Review of Intellectual Property and Competition Law, n. 51, 2020, pp. 543-553; R. C ABAZZI , Utilizzo dei cookie e (nuova) tutela dell’utente interessato: la presa di posizione della Corte di giustizia nel caso Planet49, in medialaws.eu, 15 luglio 2020. 16 Cfr. Corte di giustizia, sentenza dell’11 novembre 2020, Orange România SA contro Autoritatea Natională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), causa C-61/19. In Flavia Zorzi Giustiniani 245 3. Cookies e trasferimento dei dati personali al di fuori dell’Unione europea Le problematiche connesse al rispetto della normativa europea sui cookies sono ancora maggiori allorché i dati personali sono trasferiti al di fuori dell’Unione europea. Se infatti il trasferimento dei dati personali oltre frontiera è essenziale per lo sviluppo degli scambi internazionali 17 e tali flussi costituiscono la componente del commercio in maggior crescita nella UE (come pure negli USA), la circostanza che la normativa europea in materia ponga gli standard più elevati al mondo determina il rischio di un approccio puramente formalistico alla compliance da parte dell’Unione stessa 18 . La Commissione europea, peraltro, già nel 1998 aveva ricompreso, fra le categorie di trasferimenti che rappresentano una minaccia particolare per la vita privata e meritano quindi particolare attenzione, quelli “che comportano la raccolta di dati per mezzo di nuove tecnologie secondo modalità particolarmente occulte o clandestine (per es. i cosiddetti “cookies” di Internet)” 19 . Il trasferimento di dati personali verso Paesi terzi rispetto allo Spazio Economico Europeo (SEE) o organizzazioni internazionali è regolato dal capo V del GDPR (artt. 4450) 20 , nel quale si richiede l’adozione di meccanismi ad hoc atti a garantire che dopo il trasferimento sia stabilito un livello di protezione adeguato. Nel suddetto contesto normativo, specifico e imponente rilievo ha assunto la questione del trasferimento di dati verso entità giuridiche stabilite negli Stati Uniti, e ciò sià per la mole dei flussi che per il livello di tutela, nettamente inferiore a quello garantito nella UE, di cui gode la riservatezza nell’ordinamento statunitense 21 . Com’è noto, il tema è stato oggetto di due successivi accordi tra USA e UE, il Safe Harbor e il Privacy Shield, le cui relative decisioni di adeguatezza della Commissione sono state dichiarate invalide dalla Corte di giustizia europea nella cosiddetta saga Schrems 22 . Nella seconda pronuncia (cd. Schrems questo caso la Corte ha ritenuto che la semplice mancata spunta di una casella precompilata non costituisce un’attività idonea a rappresentare un consenso legittimamente prestato ai sensi della normativa europea. 17 Come già si riconosceva nella direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (cfr. considerando preambolare 56). 18 Come già osservato, tra gli altri, da C. C ELLERINO , Trasferimenti internazionali di dati personali e clausole contrattuali tipo dopo Schrems II, in Il diritto dell’Unione europea, 2021, n. 2, p. 361. 19 Cfr. Commissione europea, Gruppo di lavoro “Tutela delle persone fisiche con riguardo al trattamento dei dati personali" DG XV D/5025/98 WP 12. 20 V. anche il considerando 101 del GDPR. 21 Invero, l’unica normativa in materia di protezione dei dati personali online di tenore in qualche misura analogo al GDPR è rinvenibile nello Stato della California, dove dal 1° gennaio 2020 è in vigore il California Consumer Privacy Act. Sulla diversa concezione della riservatezza e del trattamento dei dati personali nei due continenti si veda J.Q. W HITMAN , The two Western cultures of privacy: dignity versus liberty, in Yale Law Journal, 2004, p. 1151 ss. 22 Preme sottolineare che, da un punto di vista giuridico, né il Safe Harbour né il Privacy Shield sono qualificabili come accordi internazionali, e invero in nessuno dei due casi si è fatto ricorso all’apposita e complessa procedura prevista dal TFUE per la conclusione degli accordi internazionali tra l’Unione e i Paesi terzi agli artt. 218, 219 e 207 del TFUE. “Essi rimangono, dunque, in entrambi i casi atti secondari dell’Unione vincolanti per gli Stati membri (o persone fisiche e giuridiche degli Stati membri), con una (ovvia) scarsa incidenza all’esterno, verso i Paesi terzi” (cfr. F. B ORGIA , Profili critici in materia di Il Panopticon digitale. I cookies tra diritto e pratica nell’Unione europea 252 www.fsjeurostudies.eu principale 49 . Tra le ipotesi predefinite e tassative che consentono il trattamento dei dati delle comunicazioni elettroniche in assenza del consenso, quelle che allo stato attuale riguardano i metadati appaiono troppo indeterminate e generiche 50 . A fronte di tale indeterminatezza vi è dunque il rischio concreto di un abbassamento del livello di protezione dei dati attualmente garantito dalla direttiva ePrivacy 51 . 5. Considerazioni conclusive Nel dicembre scorso la CNIL francese ha sanzionato, con due provvedimenti gemelli, sia Google (comprensivo del sito YouTube) che Facebook per condotte similari, consistenti in violazioni della normativa europea sui cookies 52 . La multa comminata ai due colossi digitali ammonta rispettivamente a 150 milioni di euro per quanto concerne Google (90 milioni per Google Llc e 60 milioni per Google Ireland Limited) e 60 milioni di euro per Facebook. La CNIL ha riscontrato che i cookie banners presenti sui siti di Google, Facebook e YouTube, prevedendo un solo click per accettare e ben cinque per rifiutare, sono congegnati in modo tale da indurre gli internauti ad accettare i marcatori senza una chiara cognizione delle implicazioni connesse a tale scelta. Ne consegue, secondo il garante d’oltralpe, che le suddette società e i relativi banners, pur permettendo di scegliere tra l’accettazione e il rifiuto dei cookies, nondimeno utilizzano delle modalità “par lesquelles 49 Cfr. C. F OCARELLI , La privacy. Proteggere i dati personali oggi, Bologna, 2015, p. 28 ss. 50 L’art. 6b prevede attualmente il trattamento dei metadati allorché: (a) it is necessary for the purposes of network management or network optimisation, or to meet technical quality of service requirements pursuant to Directive (EU) 2018/1972 or Regulation (EU) 2015/212020; or (b) it is necessary for the performance of an electronic communications service contract to which the end-user is party, or if necessary for billing, calculating interconnection payments, detecting or stopping fraudulent, or abusive use of, or subscription to, electronic communications services; or (c) the end-user concerned has given consent to the processing of communications metadata for one or more specified purposes; or (d) it is necessary in order to protect the vital interest of a natural person; or (e) in relation to metadata that constitute location data, it is necessary for scientific or historical research purposes or statistical purposes […] (pp. 54-55). 51 Al riguardo lo stesso Comitato europeo per la protezione dei dati aveva espresso preoccupazione: “l’approccio della proposta di regolamento […] prevede ampi divieti, eccezioni limitate e il ricorso al consenso. Di conseguenza, il regolamento ePrivacy non dovrebbe prevedere la possibilità di trattare i contenuti e i metadati delle comunicazioni elettroniche sulla base di presupposti giuridici meno stringenti, quali ad esempio i cosiddetti "legittimi interessi", che vanno al di là di quanto necessario per la fornitura di un servizio di comunicazione elettronica. Il regolamento ePrivacy non dovrebbe altresì consentire di trattare imetadati delle comunicazioni elettroniche per l’esecuzione di un contratto, il che significa che non dovrebbero essere previste eccezioni basate sul fine generico dell’esecuzione di un contratto, in quanto il regolamento stabilisce quale trattamento specifico è legittimo a tal fine, ad esempio quello a fini di fatturazione” (E UROPEAN D ATA P ROTECTION B OARD , Dichiarazione del Comitato europeo per la protezione dei dati sulla revisione del regolamento ePrivacy e sul suo impatto sulla tutela delle persone fisiche in relazione alla privacy e alla riservatezza delle loro comunicazioni, 25 maggio 2018, p. 2). 52 Cfr. C NIL , Délibération de la formation restreinte n° SAN-2021-023 du 31 décembre 2021 concernant les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED, pubblicato il 6 gennaio 2022, disponibile al link https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000044840062; I D ., Délibération de la formation restreinte n°SAN-2021-024 du 31décembre 2021 concernant la société FACEBOOK IRELAND LIMITED, pubblicato il 6 gennaio 2022, disponibile al link https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000044840532. Flavia Zorzi Giustiniani 253 ce refus peut être exprimé […] [qui] biaise l’expression du choix en faveur du consentement de façon à altérer la liberté de choix” 53 . Le condotte censurate sono qualificabili come “dark patterns” (modelli oscuri), ovvero interfacce orientate a indirizzare gli utenti, sfruttando i loro pregiudizi cognitivi, verso la soluzione più favorevole al titolare di un servizio online 54 . I molteplici studi effettuati sul tema riportano conclusioni analoghe su due punti principali: 1) solo una piccola minoranza degli internauti di fronte a cookie banners con dark patterns arriva al secondo livello per negare il proprio consenso; 2) la situazione è rimasta pressoché immutata nel tempo, a seguito dell’entrata in vigore del GDPR 55 . Il primo punto, ben riassunto dall’espressione consent fatigue, è il risultato, da un lato, dell’esigenza, considerata insopprimibile dalla maggioranza degli internauti, di poter procedere ad una navigazione rapida e senza intralci, e dall’altro, delle false percezioni – indotte in larga dai dark patterns che ancora caratterizzano molti cookie banners – circa le conseguenze di un mancato consenso ai cookies. Il nuovo regolamento ePrivacy auspicabilmente dovrebbe ridurre la quantità di notifiche a cui gli utenti sono esposti, anzitutto eliminando la necessità del consenso per i cookies necessari o innocui 56 . La previsione di whitelists, non obbligatorie, dovrebbe egualmente ridurre la consent fatigue. 53 Ibid., par. 135. 54 Sui dark patterns si veda inter alia: H. B RIGNULL , What are Dark Patterns?, 2018, disponibile al link https://darkpatterns.org; C. M. G RAY , Y. K OU , B. B ATTLES , J. H OGGATT , A.L. T OOMBS , The Dark (Patterns) Side of UX Design (Proceedings of the CHI Conference on Human Factors in Computing Systems ACM, New York, USA, 2018); CNIL”s 6th Innovation and Foresight Report “Shaping Choices in the Digital World, “From dark patterns to data protection: the influence of UX/UI design on user empowerment”, 2019, disponibile al link https://linc.cnil.fr/fr/ip-report-shaping-choices-digital-world; M. N OUWENS , I. L ICCARDI , M. V EALE , D. K ARGER , L. K AGAL , Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence, in Proceedings of CHI ‘20 CHI Conference on Human Factors in Computing Systems, April 25-30, 2020, Honolulu, HI, USA, disponibile al link https://arxiv.org/abs/2001.02479; T.H. S OE , O.E. N ORDBERG , F. G URIBYE , M. S LAVKOVIK , Circumvention by design - dark patterns in cookie consents foronline news outlets, giugno 2020, disponibile al link https://arxiv.org/abs/2006.13985v1. V. anche EDPB, Guidelines 3/2022 on Dark patterns in social media platform interfaces: How to recognise and avoid them, Version 1.0, 14 marzo 2022. 55 Si vedano tra gli altri gli studi di: C. U TZ , M. D EGELING , S. F AHL , F. S CHAUB , A. A RBOR , T. H OLZ , (Un)informed Consent: Studying GDPR Consent Notices in the Field, 019 ACM SIGSAC Conference on Computer and Communications Security (CCS’19), November 11–15, 2019, London, United Kingdom.ACM, New York, NY, USA, https://doi.org/10.1145/3319535.3354212; C. S ANTOS , N. B IELOVA , C. M ATTE , Are cookie banners indeed compliant with the law?: Deciphering EU legal requirements on consent and technical means to verify compliance of cookie banners, Technology and Regulation, Tilburg University, 2020, pp. 91-135; D. B OLLINGER , K. K UBICEK , C. C OTRINI , D. B ASIN , Automating Cookie Consent and GDPR Violation Detection, ETH Zurich, 2021, disponibile al link https://karelkubicek.github.io/assets/pdf/Automating_Cookie_Consent_and_GDPR_Violation_Detection. pdf; F. L ANCIERI , Narrowing Data Protection's Enforcement Gap, in Maine Law Review, Vol. 74 n. 1, gennaio 2022. 56 Come avvertiva la Commissione nel presentare la proposta di regolamento, «[l]a norma sul consenso è sovrabbondante, poiché riguarda anche le pratiche non lesive della vita privata» (cfr. Cfr. Commissione europea, Proposta di Regolamento cit., p. 6). In senso conforme, anche gli autori dello studio Dark and bright patterns in cookie consent requests (P. G RAßL , H. S CHRAFFENBERGER , F R . Z UIDERVEEN B ORGESIUS , M. B UIJZEN , in Journal of Digital Social Research, Vol. 3, n. 1, 2021, p. 28) ritengono che “the upcoming ePrivacy Regulation of the EU should limit the number of cookie consent requests peopleare confronted with”. Il Panopticon digitale. I cookies tra diritto e pratica nell’Unione europea 254 www.fsjeurostudies.eu Quanto al secondo punto, ovvero l’assenza di reali modifiche nel comportamento di molti titolari a dispetto delle sostanziali modifiche introdotte nel tempo al cookie law europeo per garantire una maggiore tutela agli utenti finali, l’inadempimento e/o l’aggiramento degli obblighi posti dal diritto UE sono stati ricondotti principalmente ad un problema di insufficiente enforcement 57 . Tale problema accomuna invero molteplici normative nazionali in tema di protezione dei dati ed è stato generalmente ricondotto alla mancata previsione da parte dei legislatori di come “the particularly pervasive information asymmetries and market power found in many data markets undermine the role of markets, torts, and regulatory enforcement as mechanisms to ensure legal compliance” 58 . A livello europeo, tuttavia, le recenti e molteplici iniziative, sia sul piano regolamentare (si pensi alle Linee Guida sui cookies, adottate da ultimo dal Garante italiano per la privacy 59 ) che decisionale, sembrano aver finalmente imposto un cambio di passo. L’iniziativa spetta ora alle aziende, grandi e piccole, che dovranno adeguarsi, pena la comminazione di multe salate. ABSTRACT: L’articolo intende fornire un’analisi critica dell’evoluzione dell’uso dei cookies nel diritto e nella pratica dell’Unione Europea. Particolare attenzione è attribuita anche al trasferimento di dati personali al di fuori dell’UE, in particolare negli Stati Uniti, e alle persistenti criticità che tale trasferimento comporta, con il rischio dell'ennesimo rigetto da parte della Corte di Giustizia Europea. Il contributo affronta poi le modifiche normative attualmente in discussione nel contesto del nuovo regolamento ePrivacy e conclude, alla luce della pratica recente, che l’enforcement gap rilevato da più parti sta già per essere colmato. KEYWORDS: cookies – trasferimento di dati – Regolamento Generale sulla protezione dei dati personali – consenso – regolamento ePrivacy. 57 “Many websites do not give users a choice over which cookies are collected, despite the GDPR and ePrivacy Directive requirements. Multiple prior studies report on this, and we contribute to this analysis by showing that even from the websites providing choices, the vast majority, namely 94.7%, contain at least one potential violation. This situation cannot be resolved through new regulations alone, such as the planned ePrivacy Regulation, as it is mostly enforcement that is significantly lacking behind” (D. B OLLINGER , K. K UBICEK , C. C OTRINI , D. B ASIN , Automating Cookie Consent cit., p. 13). “All in all, the extent to which the GDPR bans dark patterns must become clear in case law and enforcement actions by Data Protection Authorities” (P. G RAßL , H. S CHRAFFENBERGER , F R . Z UIDERVEEN B ORGESIUS , M. B UIJZEN , Dark and bright patterns cit., p. 26). 58 Cfr. F. L ANCIERI , Narrowing Data Protection's cit., p. 64. 59 Tali Linee Guida sono state adottate al fine di fornire un quadro aggiornato alle novità normative introdotte dal GDPR e permettere, anche sulla base delle attività di monitoraggio compiute dal Garante italiano (come pure dai suoi omologhi in altri Stati membri) e dei numerosi reclami, segnalazioni e richieste di pareri, una corretta implementazione delle norme europee sui cookies. Il loro rilievo non è da sottovalutare, specie se si considera che il nuovo regolamento ePrivacy è ancora in fase negoziale e che vi si prevede un periodo transitorio della durata di due anni. Flavia Zorzi Giustiniani 255 THE DIGITAL PANOPTICON. COOKIES BETWEEN LAW AND PRACTICE IN THE EUROPEAN UNION ABSTRACT: The article aims to provide a critical analysis of the development of the use of cookies in EU law and practice. A specific focus is also given to the transfer of personal data outside the EU, particularly to the United States, and the persistent critical issues that such transfer implies, with the risk of yet another rejection by the European Court of Justice. The paper then discusses the regulatory changes currently under discussion in the context of the new ePrivacy regulation and positively contends, in the light of recent practice, that the identified enforcement gap is already about to be filled. KEYWORDS: Cookies – Data transfer – General Data Protection Regulation – Consent – ePrivacy Regulation.