5. Agevola modifica o revoca del consenso
La modifica o la revoca del consenso deve essere altrettanto agevole del suo conferimento (l’utente deve poter cambiare idea facilmente, avendo a disposizione mezzi per selezionare o deselezionare cookies non essenziali).
L’articolo 7(3) del GDPR così recita:
«3. L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. (…) Il consenso è revocato con la stessa facilità con cui è accordato.»
Se il consenso può essere espresso con semplici azioni, in senso analogo dovrà potersi revocarlo: se dare il consenso è facile come fare clic su un pulsante nella pagina di destinazione, il ritiro del consenso deve essere altrettanto semplice; se il consenso è prestato su un unico livello ed in un’unica pagina, l’opzione di revoca non potrà essere contenuta in livelli sottostanti o su altre pagine web e “senza pregiudizio” o “abbassamento dei livelli di servizio” (linee guida 5/2020 dell’EDPB).
Anche le caselle dei cookie senza un’opzione di “rifiuto” o che si trovano in una sezione “ulteriori informazioni” o su una pagina Web di terzi, non sono conformi 1.
Nelle conclusioni della causa Planet49, l’avvocato generale ha sottolineato la necessità che entrambe le azioni, “in particolare otticamente, siano presentate su un piano di parità” 2.
Il 31 dicembre 2021 l’autorità di controllo francese (CNIL) ha sanzionato Google e Facebook rispettivamente per una sanzione complessiva di € 150 milioni a carico del gruppo Google e € 60 milioni per non aver reso agevole il rifiuto dei cookie.
Il comitato ristretto, l’organismo della CNIL preposto all’irrogazione delle sanzioni, ha rilevato, a seguito di indagini, che i siti facebook.com, google.fr e youtube.com offrono un pulsante che consente all’utente di accettare immediatamente i cookie. Di converso, non forniscono una soluzione equivalente (pulsante o altro) che consenta all’utente Internet di rifiutare facilmente il deposito di questi cookie. Sono necessari diversi clic per rifiutare tutti i cookie, contro uno solo per accettarli. Nel caso in cui le aziende non si adeguino al provvedimento per gli utenti francesi entro 3 mesi – adottando una modalità di rifiuto dei cookie equivalente a quella per la loro accettazione – saranno tenuti a pagare una penale di € 100.000 per ogni giorno di ritardo.