Giusto, è quello che sto facendo (purtroppo) ora.
Sono davvero curioso di sapere come hai letto quel documento. Voglio dire, 3.2 Cookie di autenticazione lo spiega abbastanza chiaramente:
I cookie di autenticazione vengono utilizzati per identificare l’utente una volta che ha effettuato l’accesso (ad esempio: su un sito web di online banking). Questi cookie sono necessari per consentire agli utenti di autenticarsi nelle visite successive al sito web e ottenere l’accesso a contenuti autorizzati, come la visualizzazione del saldo del proprio conto, delle transazioni, ecc. I cookie di autenticazione sono solitamente cookie di sessione. È anche possibile l’uso di cookie persistenti, ma non devono essere considerati identici, come discusso di seguito.
Riconosce la necessità di cookie di autenticazione (notare, non cookie tecnici denominati). Afferma esplicitamente che la durata di questi cookie, cioè sessione vs persistente, implica che debbano essere trattati in modo diverso.
Quando un utente accede, richiede esplicitamente l’accesso al contenuto o alla funzionalità a cui è autorizzato. Senza l’uso di un token di autenticazione memorizzato in un cookie, l’utente dovrebbe fornire nome utente/password ad ogni richiesta di pagina. Pertanto, questa funzionalità di autenticazione è una parte essenziale del servizio della società dell’informazione che sta esplicitamente richiedendo. Come tali, questi cookie sono esentati ai sensi del CRITERIO B.
Tuttavia, è importante notare che l’utente ha richiesto solo l’accesso al sito e a funzionalità specifiche per eseguire il compito richiesto. L’atto di autenticazione non deve essere preso come un’opportunità per utilizzare il cookie per altri scopi secondari come il monitoraggio comportamentale o la pubblicità senza consenso.
Accedere significa che l’utente ha dato il consenso per essere loggato, non per altri tipi di utilizzo dei dati tramite eventuali cookie di autenticazione impostati.
I cookie di accesso persistenti che memorizzano un token di autenticazione tra le sessioni del browser non sono esentati ai sensi del CRITERIO B. Questa è una distinzione importante perché l’utente potrebbe non essere immediatamente consapevole del fatto che la chiusura del browser non cancellerà le sue impostazioni di autenticazione. Potrebbe tornare sul sito web presumendo di essere anonimo, mentre in realtà è ancora loggato al servizio. Il metodo comunemente visto di utilizzare una casella di controllo e una semplice nota informativa come “ricordami (utilizza cookie)” accanto al modulo di invio sarebbe un mezzo appropriato per ottenere il consenso, negando così la necessità di applicare un’esenzione in questo caso.
Il CRITERIO B è:
il cookie è “strettamente necessario affinché il fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente fornisca il servizio”.
Quindi l’utente deve fornire il consenso prima che i cookie di autenticazione persistenti possano essere impostati. Motivo: non ci si può aspettare che un utente conosca le implicazioni dell’autenticazione persistente per impostazione predefinita.
Sì, la legislazione è diffusa e complessa, con molti aggiornamenti diversi nel corso di quasi due decenni. E anche i siti ufficiali dell’UE che ho consultato sembrano molto disordinati per quanto riguarda la gestione dei cookie e le loro politiche dichiarate.