La direttiva europea sulla privacy si applica non solo alle informazioni raccolte attraverso cookies, ma anche attraverso i cosiddetti spywares, cioè quei software in grado di raccogliere informazioni su chi naviga in Internet a sua insaputa. Tali informazioni possono essere raccolte in occasione del dowloading di complessi software, anche musicali.
Il Gruppo che riunisce le autorità europee di protezione dati ha approvato lo scorso 30 maggio un documento di lavoro nel quale fa il punto sull'applicazione della direttiva europea sulla protezione dei dati (n. 95/46/CE) ai trattamenti effettuati da siti Web che siano situati in un Paese non appartenente all'UE (il documento è disponibile, in lingua inglese, al seguente indirizzo: http://www.europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp56_en.pdf - su InterLex qui, ndr).

Dopo avere sottolineato che la direttiva si applica a questi trattamenti purché il titolare del sito Web faccia ricorso ad uno strumento situato in un Paese membro, i Garanti hanno indicato alcuni esempi specifici dell'applicazione di questo principio (cookies, Javascript, spyware) e hanno ribadito l'intenzione di approfondire ed ampliare la riflessione su questi temi anche per la loro complessità tecnica.
Il documento nasce dall'esigenza di esaminare l'applicazione del principio - fissato nell'art. 4, primo comma, lettera c) della direttiva - secondo cui "Ciascuno Stato membro applica le disposizioni nazionali adottate per l'attuazione della presente direttiva al trattamento di dati personali (.) il cui responsabile [titolare, secondo la definizione italiana, ndr], non stabilito nel territorio della Comunità, ricorre, ai fini del trattamento di dati personali, a strumenti, automatizzati o non automatizzati, situati nel territorio di detto Stato membro, a meno che questi non siano utilizzati ai soli fini di transito nel territorio della Comunità europea."
La necessità di stabilire se il diritto interno di uno Stato si applichi a situazioni in cui sono coinvolti più Paesi stranieri nasce dall'esigenza di garantire la tutela dei cittadini di uno Stato (o dell'Unione) nei loro rapporti con soggetti non appartenenti a quello Stato (o all'Unione). Per quanto riguarda la tutela dei dati personali, il Parlamento ed il Consiglio europei hanno raggiunto questo obiettivo facendo riferimento (come previsto appunto dall'art. 4 della direttiva) al legame fisico fra attività e ordinamento giuridico - in pratica, il legislatore UE ha scelto la localizzazione geografica degli strumenti utilizzati per il trattamento. Dunque, il principio fondamentale è che la direttiva dell'UE sulla protezione dei dati personali si applica ai trattamenti di dati personali effettuati per scopi specifici da titolari extra-UE che utilizzino strumenti situati nel territorio di uno Stato membro.

Questo principio prescinde dalla cittadinanza della persona i cui dati sono oggetto di trattamento: quello che conta è il luogo geografico in cui sono situati gli strumenti che il titolare utilizza per trattare i dati personali dell'individuo considerato.
I Garanti hanno poi fornito alcuni esempi concreti dell'applicazione di questi principi: in particolare, sull'impiego dei cookies da parte di un sito Web e di applicazioni tipo JavaScript o altre similari.
I cookies sono file di testo che vengono memorizzati nel disco rigido del PC di un utente quando questi visita un sito Web che decida di farne uso. Il cookie permette al sito Web di identificare il PC dell'utente, attraverso le informazioni in esso memorizzate, ogniqualvolta si ha un nuovo contatto fra il PC e quel sito Web. Le informazioni possono essere di vario genere: le pagine visitate, gli annunci pubblicitari consultati, il numero identificativo dell'utente (GUI, Global Unique Identifier), ecc. In questo caso, il titolare del sito Web, situato in un Paese terzo, decide di utilizzare il PC dell'utente (lo strumento) situato nel territorio di un paese UE attraverso i cookies, che realizzano un trattamento di dati personali che sfugge al controllo dell'interessato nell'UE. Il titolare dunque dispone degli strumenti informatici dell'utente; pertanto, a questi trattamenti si applica la legge nazionale dello Stato Membro in cui è situato il PC dell'utente. Come già sottolineato in un documento elaborato dalla Internet Task Force nel 1999 (http://www.europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp17it.pdf), ciò significa che l'utente deve essere informato dal titolare del sito Web sul fatto che verranno utilizzati cookies, sulle informazioni che verranno memorizzate nei cookies e sulle finalità di tale memorizzazione; l'utente deve poter scegliere se accettare o rifiutare i cookies nel loro complesso, e stabilire quali informazioni debbano essere inserite nel cookie in rapporto, ad esempio, al periodo di validità del cookie stesso (esistono infatti anche i cosiddetti "cookie di sessione", la cui durata ha termine con l'uscita dell'utente dalla connessione in rete).