L'obbligo di ottenere il consenso prima di impostare i cookie non si trova nel GDPR: è più antico e proviene da un'altra normativa, la direttiva ePrivacy, formalmente direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche. Fu adottata il 12 luglio 2002, in un periodo in cui i cookie venivano utilizzati soprattutto per le sessioni di accesso e per una personalizzazione di base — il tracciamento tra più siti web era tecnicamente possibile, ma non ancora un fenomeno di massa.
Nella sua versione originale, l'articolo 5, paragrafo 3, della direttiva richiedeva poco più che informare gli utenti dell'impostazione dei cookie e offrire loro una possibilità di opporsi — un modello di opt-out. Chi non faceva nulla si riteneva avesse acconsentito implicitamente. Nella pratica, ciò significava spesso un piccolo avviso nascosto da qualche parte nella pagina, che quasi nessuno leggeva, con cookie già impostati prima ancora che qualcuno se ne accorgesse.
Le cose sono cambiate con la direttiva 2009/136/CE del 25 novembre 2009, che ha riformulato radicalmente l'articolo 5, paragrafo 3 — nota comunemente come «direttiva cookie», anche se formalmente si tratta solo di una modifica alla direttiva ePrivacy originale. Dal regime di opt-out si è passati a un vero e proprio obbligo di consenso: da allora, i cookie non strettamente necessari per fornire un servizio espressamente richiesto possono essere impostati solo dopo che l'utente ha prestato un consenso informato — non successivamente, non tacitamente.
Il motivo di questo inasprimento risiedeva nel rapido sviluppo del mercato della pubblicità online negli anni 2000: i cookie di tracciamento sono diventati la base di interi modelli di business, e si sono formati profili utente a partire da dati confluiti attraverso dieci, venti, cento siti web diversi — quasi sempre senza che gli interessati ne fossero nemmeno consapevoli. Il legislatore europeo ha reagito invertendo l'onere: non era più l'utente a dover opporsi, ma il sito web a dover ottenere il consenso.
È importante capire che la direttiva ePrivacy è, appunto, una direttiva e non diritto dell'UE direttamente applicabile come lo sarebbe un regolamento. Le direttive fissano un obiettivo che ogni Stato membro deve recepire nel proprio diritto nazionale — ed è proprio in questo recepimento che per anni è risieduto il vero problema. Il termine per il recepimento scadeva il 25 maggio 2011, ma molti Stati membri — tra cui la Germania — hanno adottato il nuovo obbligo di consenso solo con riluttanza, o in una forma che rimaneva vicina alla vecchia logica dell'opt-out. Come la Germania abbia infine risolto questo problema è l'argomento di un articolo a parte di questa serie.
Ancora oggi la direttiva ePrivacy resta la vera base giuridica del consenso ai cookie in quanto tale — non il GDPR, divenuto applicabile solo nel 2018 e che disciplina una materia diversa, seppur strettamente collegata: il trattamento dei dati personali in generale. Le due normative si intrecciano, e proprio questa interazione è l'argomento del prossimo articolo.
Un successore previsto, il regolamento ePrivacy, avrebbe dovuto originariamente sostituire la direttiva ed entrare in vigore come diritto direttamente applicabile, senza necessità di recepimento nazionale. È da anni in fase di negoziazione tra le istituzioni dell'UE e finora non è stato adottato — finché ciò non accadrà, la direttiva del 2002/2009 resta la base di riferimento.
Per chi gestisce un sito web vale la pena conoscere questi antefatti, perché spiegano perché il consenso ai cookie non sia nato come reazione a un singolo scandalo, ma come risposta graduale a una prassi cresciuta nel corso degli anni. La regola del 2009 non è stata una sorpresa, ma la coerente continuazione di un principio già formulato nel 2002: accedere al dispositivo altrui non è un'operazione tecnica neutra, ma un'ingerenza che richiede una giustificazione.