Poche sentenze hanno cambiato la prassi dei banner dei cookie in Europa in modo così diretto come la decisione della Corte di giustizia dell'Unione europea (CGUE) del 1° ottobre 2019 nel procedimento contro l'azienda Planet49 (causa C-673/17). Ciò che inizialmente sembrava una questione marginale nata da un concorso a premi online è diventata una decisione di principio su cosa renda davvero valido un consenso ai cookie.
I fatti erano poco spettacolari: Planet49 organizzava un concorso a premi online e mostrava ai partecipanti due caselle. Una — già preselezionata — riguardava il consenso all'impostazione di cookie a scopi pubblicitari da parte di partner pubblicitari. L'altra, da selezionare separatamente, riguardava la cessione di dati personali a sponsor a scopi promozionali via telefono o e-mail. Chi voleva partecipare al concorso doveva selezionare attivamente la seconda casella, ma poteva semplicemente lasciare la prima — preselezionata — così com'era, senza nemmeno accorgersene consapevolmente.
La Corte federale di giustizia tedesca (BGH) ha sottoposto la questione alla CGUE: una casella del genere, già attivata in anticipo, è sufficiente come consenso ai sensi della direttiva ePrivacy? La risposta della Corte è stata inequivocabile: no. Un consenso presuppone un'azione attiva e consapevole dell'utente — una casella che l'utente stesso deve selezionare per acconsentire, non una che dovrebbe deselezionare per NON acconsentire. La differenza tra «acconsentire attivamente» e «non opporsi» è esattamente la differenza al centro della storia della direttiva ePrivacy dal 2009 — e la CGUE ha così confermato che questo inasprimento era davvero da prendere sul serio.
Un secondo aspetto degno di nota della decisione: la CGUE ha chiarito che l'obbligo di consenso in sé non dipende dal fatto che l'informazione memorizzata nel cookie costituisca o meno un dato personale ai sensi del GDPR. La direttiva ePrivacy tutela già l'accesso al dispositivo terminale in quanto tale — indipendentemente da cosa venga effettivamente memorizzato dal punto di vista del contenuto. Si trattò di un chiarimento importante, perché alcuni fornitori avevano in precedenza sostenuto che identificatori pseudonimi o puramente tecnici non rientrassero affatto nell'obbligo di consenso.
In terzo luogo, la Corte ha richiesto che gli utenti siano informati, prima di prestare il consenso, sulla durata di funzionamento dei cookie e sul fatto che terzi vi abbiano accesso. Da allora un'informazione generica e vaga non è più sufficiente — le spiegazioni sui cookie devono essere abbastanza concrete da permettere a un utente di valutare realmente a cosa sta acconsentendo.
Le conseguenze pratiche della sentenza si sono fatte sentire immediatamente: le caselle preselezionate sono scomparse dai banner dei cookie europei, i pulsanti «Accetta» hanno dovuto essere attivati con un clic reale e consapevole, e la categorizzazione dei cookie con indicazioni precise su finalità e durata è diventata la norma. Le autorità per la protezione dei dati di diversi Stati membri hanno rivisto le proprie linee guida subito dopo la sentenza, che da allora è servita da riferimento in numerosi procedimenti successivi — anche sulla questione se un banner che rende «Rifiuta» deliberatamente più difficile da raggiungere rispetto ad «Accetta» violi a sua volta il requisito di una decisione libera e inequivocabile.
Planet49 mostra così, in modo esemplare, come un singolo procedimento giudiziario traduca le astratte disposizioni di un testo di legge in requisiti concreti e tecnici — e perché un banner dei cookie abbia oggi l'aspetto che ha, e non quello consueto prima del 2019.
È inoltre degno di nota quanto rapidamente l'effetto della sentenza si sia diffuso al di là della controversia stessa: sebbene formalmente chiarisse l'interpretazione della direttiva ePrivacy solo per una specifica controversia tedesca, le autorità di controllo in tutta Europa si sono allineate alla stessa linea — una prova di quanto una singola sentenza della CGUE possa influenzare la prassi ben oltre i confini del procedimento da cui è scaturita.