Chi legge il testo giuridico riportato su un banner dei cookie trova quasi sempre due normative citate una accanto all'altra: la direttiva ePrivacy (o il suo recepimento nazionale) e il regolamento generale sulla protezione dei dati, il GDPR. Non si tratta di una svista né di una doppia cautela per prudenza: le due normative disciplinano effettivamente questioni distinte, ma strettamente intrecciate.
Il GDPR, formalmente regolamento (UE) 2016/679, è stato adottato il 27 aprile 2016 ed è divenuto direttamente applicabile in tutta l'Unione il 25 maggio 2018, dopo un periodo transitorio di due anni — trattandosi di un regolamento, a differenza di una direttiva, non ha richiesto alcun recepimento nazionale. Disciplina, in termini generali, come possano essere trattati i dati personali: quale base giuridica richiede un trattamento, quali diritti spettano agli interessati, quali obblighi ricadono sui titolari del trattamento.
La direttiva ePrivacy, invece, è più specifica: disciplina esclusivamente l'accesso a informazioni memorizzate su dispositivi terminali e la loro memorizzazione — indipendentemente dal fatto che ciò comporti o meno dati personali ai sensi del GDPR. Proprio per questo, per un cookie basta il semplice accesso al dispositivo per far scattare l'obbligo di consenso, anche se l'informazione memorizzata, di per sé, non identifica nessuno.
L'interazione funziona così: la direttiva ePrivacy stabilisce CHE per i cookie non essenziali serve il consenso. Non specifica però nel dettaglio COSA renda valido un consenso — questa definizione la fornisce il GDPR. Ai sensi dell'articolo 4, punto 11, del GDPR, un consenso è valido solo se è prestato liberamente, per il caso specifico, in modo informato e inequivocabile — tramite una dichiarazione o un'azione positiva inequivocabile. Una casella già spuntata non soddisfa quest'ultimo requisito, perché non implica alcuna azione attiva da parte dell'utente (se ne parla più diffusamente nell'articolo dedicato alla sentenza Planet49).
Dal GDPR derivano inoltre ulteriori requisiti che oggi fanno parte, ovviamente, di ogni banner dei cookie: la revoca del consenso deve essere altrettanto semplice quanto la sua concessione (articolo 7, paragrafo 3), e chi raccoglie un consenso deve poter dimostrare, in caso di controversia, che è stato effettivamente prestato (articolo 5, paragrafo 2, il cosiddetto principio di responsabilizzazione). Questo onere della prova è uno dei motivi per cui un semplice «probabilmente l'utente ha cliccato» non basta — senza un registro che documenti il momento, la portata e la versione esatta del banner mostrato, in caso di dubbio non c'è nulla da dimostrare.
Per chi gestisce siti web, questo significa in pratica che un banner dei cookie deve soddisfare due normative contemporaneamente, non solo una. La direttiva ePrivacy richiede il consenso in quanto tale; il GDPR ne definisce la qualità e gli obblighi collegati — revocabilità, dimostrabilità, adeguata informazione. Un banner che raccoglie un consenso ma non lo documenta in modo verificabile può soddisfare formalmente il requisito della direttiva ePrivacy pur violando il GDPR.
Questo doppio fondamento spiega anche perché il GDPR non abbia cambiato in modo sostanziale il consenso ai cookie, anche se spesso viene erroneamente considerato la sua origine — è arrivato 16 anni dopo la direttiva ePrivacy originale e si è limitato ad affinare il metro con cui viene misurato un obbligo già esistente. Come queste due normative europee siano state concretamente tradotte in diritto nazionale tedesco è l'argomento del prossimo articolo di questa serie.