Un cookie, in fondo, non è altro che un piccolo file di testo che un sito web salva nel browser di un visitatore e rilegge a ogni visita successiva. Di per sé, questo è tecnicamente innocuo: senza questo meccanismo nessun carrello della spesa ricorderebbe quali articoli contiene, e nessun accesso resterebbe attivo tra una pagina e l'altra. In questo ruolo, i cookie non sono altro che la memoria del web.
Il problema sorge non appena un cookie smette di riguardare la sola sessione dell'utente e lo rende invece riconoscibile nel tempo e su siti web diversi. Una rete pubblicitaria che imposta lo stesso cookie su centinaia di pagine può costruire da questo un profilo di movimento: quali pagine una persona visita, con quale frequenza, quando. Tutto ciò avviene in modo invisibile: nulla nella pagina lascia intuire che sullo sfondo vengono impostati una dozzina di cookie di questo tipo.
È esattamente qui che entra in gioco la regola europea da cui sono nati i banner dei cookie: chi memorizza qualcosa sul dispositivo di un utente, o vi legge qualcosa, senza che ciò sia strettamente necessario per la funzione espressamente richiesta, deve prima ottenere un consenso. Questo vale indipendentemente dal fatto che si generino o meno dati personali in senso stretto: basta il semplice accesso al dispositivo. (L'origine di questa regola, la cosiddetta direttiva ePrivacy, è l'argomento del prossimo articolo.)
Ne deriva una distinzione che attraversa ogni banner dei cookie costruito correttamente: da un lato i cookie necessari — carrello della spesa, sessione di accesso, funzioni di sicurezza, senza i quali un sito semplicemente non funzionerebbe — e dall'altro tutto il resto: statistiche, personalizzazione, pubblicità. Il primo gruppo non richiede alcun consenso, perché il legislatore lo considera un presupposto del servizio stesso richiesto. Il secondo sì.
Un banner dei cookie non è quindi, in sostanza, altro che l'attuazione pratica di questa distinzione: mostra a un visitatore cosa un sito intende fare al di là dello stretto necessario, e raccoglie per questo una decisione consapevole prima che qualcosa di tutto ciò abbia effetto. Non dopo — prima. Un banner che compare solo al secondo caricamento della pagina, mentre sullo sfondo uno script di tracciamento è già stato eseguito, non adempie al proprio scopo, per quanto curato possa apparire.
Un banner dei cookie è così anche qualcosa di più di una semplice visualizzazione. Deve poter dimostrare che il consenso è stato davvero prestato — quando, da chi (o da quale browser), per che cosa esattamente, e che può essere revocato con la stessa facilità con cui è stato dato. Questo onere della prova non ricade sul visitatore, ma sul gestore del sito: in caso di controversia è lui a dover dimostrare di avere un consenso valido, non l'utente a dover provare di non averlo dato.
Proprio questo spiega perché i banner dei cookie hanno oggi l'aspetto che hanno: con una vera opzione di rifiuto di pari peso rispetto all'accettazione, con una suddivisione per categorie invece di un sì generico, e con un registro tenuto sullo sfondo che documenta esattamente ciò che è accaduto. Non è un caso né un formalismo eccessivo: è la conseguenza diretta di un'unica regola di fondo: può accedere al dispositivo altrui solo chi dispone di un consenso reale, informato e attivo. Tutto il resto si costruisce su questa unica regola, e i prossimi articoli di questa serie ne ripercorrono l'origine nel diritto europeo e tedesco nel dettaglio.