Legittimo interesse vs. Consenso: quando puoi evitare il banner dei cookie (e quando no)

Immagina di dover chiedere il permesso ogni volta che accendi la luce in casa tua. Stufo, vero? Ecco, più o meno la stessa sensazione la provano i gestori di siti web quando devono piazzare l'ennesimo banner dei cookie. Ma il GDPR offre una via d'uscita: il legittimo interesse. Attenzione, però: non è un lasciapassare per fare ciò che vuoi.

Cos'è il legittimo interesse?

Il legittimo interesse è una base giuridica alternativa al consenso. In pratica, puoi trattare dati personali senza chiedere esplicitamente il permesso, se hai un interesse legittimo e prevalente rispetto ai diritti dell'utente. Sembra una manna dal cielo, ma ha dei paletti.

Il GDPR (Regolamento UE 2016/679) lo definisce all'articolo 6, paragrafo 1, lettera f). In pratica, devi fare un bilanciamento: da un lato il tuo interesse (es. migliorare il sito, fare marketing), dall'altro i diritti e le libertà dell'utente.

Quando puoi evitare il banner dei cookie?

Ecco il punto cruciale: il legittimo interesse non si applica a tutti i cookie. I cookie tecnici (quelli necessari al funzionamento del sito) non richiedono consenso, punto. Ma per i cookie di profilazione o marketing, il legittimo interesse è un'opzione solo se riesci a dimostrare che il tuo interesse prevale.

In pratica, se usi cookie per analisi statistiche aggregate e hai reso anonimi i dati, potresti cavartela. Ma se tracci gli utenti per pubblicità mirata, il consenso è quasi sempre obbligatorio. Il Garante della Privacy italiano è piuttosto severo su questo.

Featured Snippet Bait

Il legittimo interesse può sostituire il consenso per i cookie solo se il trattamento è strettamente necessario e non invasivo, e se l'utente può opporsi facilmente. In pratica, per cookie analitici anonimizzati o di sessione, sì; per profilazione, no.

Il test di bilanciamento: come farlo?

Per usare il legittimo interesse, devi documentare un test di bilanciamento. Chiediti: qual è il mio interesse? È legittimo? Il trattamento è necessario? Gli utenti si aspetterebbero questo trattamento? Se la risposta è sì a tutto, e hai implementato garanzie (es. anonimizzazione, opt-out facile), allora puoi procedere.

Un esempio: un sito di e-commerce che usa cookie per ricordare il carrello (tecnico) non ha bisogno di consenso. Se invece vuole tracciare gli acquisti per suggerire prodotti simili, deve chiedere il permesso, a meno che non dimostri un interesse legittimo prevalente (difficile).

Consenso: quando è indispensabile?

Il consenso resta obbligatorio per i cookie di profilazione, per il marketing diretto da terze parti, e per qualsiasi trattamento che non sia strettamente necessario. Inoltre, se tratti dati sensibili (salute, orientamento politico, ecc.), il consenso esplicito è l'unica via.

Morale della favola: il legittimo interesse è come un coltellino svizzero: utile, ma non per tutto. Usalo con criterio, o rischi multe salate (fino a 20 milioni di euro o 4% del fatturato annuo globale).

FAQ