Privacy e cookie su WordPress: consenso, informativa e plugin GDPR
Cosa richiede davvero la normativa, e la differenza tra consenso tecnico e di profilazione
Molti siti installano un banner cookie senza sapere bene quali cookie stiano davvero chiedendo di autorizzare. Il risultato è spesso un banner fastidioso per cookie che non ne avrebbero bisogno, oppure, peggio, l'assenza di un consenso che sarebbe invece obbligatorio. La differenza sta tutta in una distinzione precisa, definita dal Garante per la protezione dei dati personali.
Pensa al modulo che compili quando arrivi in un hotel. Nome e documento d'identità servono per darti la camera, e nessuno ti chiede il permesso per quello. Il questionario facoltativo sui tuoi gusti, che l'hotel userebbe per mandarti offerte future, è un'altra cosa: quello puoi rifiutarlo senza perdere la stanza.
1. Cookie tecnici e cookie di profilazione: la differenza che conta
I cookie tecnici, come quelli che tengono aperto il carrello o mantengono attiva una sessione di accesso, servono a far funzionare il sito come richiesto dall'utente stesso: non serve un consenso preventivo per installarli, ma vanno comunque dichiarati nell'informativa. I cookie di profilazione, quelli che seguono la navigazione per costruire un profilo pubblicitario, richiedono invece un consenso libero, specifico e dato prima ancora che vengano installati sul dispositivo.
2. Come deve comportarsi un banner conforme
Le linee guida del Garante indicano con precisione cosa non basta: continuare a scorrere la pagina non equivale a un consenso valido ai cookie di profilazione. Il consenso va raccolto con un intervento attivo e consapevole, e l'utente deve poter proseguire la navigazione rifiutando i cookie non tecnici con la stessa facilità con cui li accetterebbe.
Un pulsante di rifiuto ben visibile: non nascosto in un menu secondario rispetto al pulsante di accettazione.
Nessun cookie non tecnico prima del consenso: per impostazione predefinita, al primo accesso, deve essere installato solo ciò che è strettamente necessario.
Un modo semplice per cambiare idea: un link nel piè di pagina che riapra le preferenze cookie in qualsiasi momento successivo.
3. Cosa offre già WordPress, senza plugin aggiuntivi
Dalla versione 4.9.6, WordPress include strumenti nativi pensati proprio per semplificare gli adempimenti verso gli utenti. In Impostazioni > Privacy puoi scegliere o creare la pagina che conterrà l'informativa privacy del sito, indicata poi nel piè di pagina o nel banner cookie. In Strumenti > Esporta dati personali e Strumenti > Cancella dati personali, un amministratore può gestire le richieste di un utente che vuole ricevere una copia dei propri dati o chiederne la cancellazione, con un flusso che prevede una email di conferma prima di procedere.
Molti plugin, incluso WooCommerce, si agganciano automaticamente a questi strumenti tramite l'hook wp_add_privacy_policy_content(), aggiungendo alla pagina di informativa un testo suggerito su come quel plugin specifico tratta i dati: vale la pena controllarlo dopo aver installato nuovi plugin che raccolgono dati personali.
4. A cosa serve davvero un plugin GDPR o cookie
Un plugin dedicato non sostituisce la comprensione di cosa stai davvero installando sul sito, ma automatizza la parte tecnica più delicata: impedire il caricamento di script come Google Analytics o pixel pubblicitari finché l'utente non ha dato il consenso, registrare quel consenso con data e ora in modo dimostrabile, e offrire il link per modificarlo in seguito. Installarlo senza configurarlo sui servizi realmente usati dal sito, però, non basta a renderlo conforme.
In sintesi
Un banner cookie non basta a essere in regola: conta cosa succede prima che l'utente clicchi.
Commenti (0)
Registrati per commentare, fare domande e proporre l'argomento della prossima pillola (oppure accedi se hai già un account).
Nessun commento. Sii il primo a scrivere qualcosa.