Nuova ordinanza del garante sui cookie

Pagine → 1 2

13/06/2014 15:52:38

Ovviamente concordo che ignorare la normativa sarebbe contro il concetto di PEL, però non volevo essere pesantone :P
Comunque credo che il sito stesso debba occuparsi, se incorpora youtube, di comunicare che usa cookie di terze parti che profilano i gusti e le preferenze (Esattamente come se fosse adsense o altri circuiti pubblicitari).

Hero Wars ↗
Costruisci la tua squadra di eroi leggendari e domina il campo di battaglia! Strategia, tattica e potenza si scontrano in questo RPG ricco di azione!

quota

quartz

SCRIVI

13/06/2014 17:51:33

Specifico meglio il mio suggerimento che era troppo sintetico.

Una precedente querelle Siae - Youtube è già finita in pernacchie e in un mio precedente GDR abbiamo prima tremato, poi discusso, poi riso per l'esito in bolla di sapone.

Però la curiosità mi ha reso ancora più efficiente :-)
Qui http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3167231 ↗ c'è il testo completo.
Nel testo completo c'è scritto anche che si ritiene pertanto che, anche in ragione delle motivazioni sopra indicate, non si possa obbligare l'editore ad inserire sull'home page del proprio sito anche il testo delle informative relative ai cookie installati per il suo tramite dalle terze parti. (per capirci, l'editore è il GDR e la terza parte youtube).
Inoltre, un po' prima, c'è scritto che i cookie per i quali chiedere il consenso sono solo quelli installati per profilazione commerciale, che difficilmente vengono usati dai GDR.

Il succo: se non fai profilazione commerciale non devi avvertire dei cookies; e, comunque, non devi avvertire dei cookies di terze parti.

Problema risolto: benvoletemi! 😅

Quartz è così antipatico che la gente gli si avvicina e gli chiede: "Quartz, ma davvero la gente ti si avvicina?" (Quartz, Daniele Luttazzi, Emo Philips)

Sphinx of black quartz, judge my vow

Always waiting for Turbosfigometro

11/10/2014 10:14:38 e modificato da il doge il 11/10/2014 10:22:45

Temo che le cose siano più complicate.

Il provvedimento del Garante è vasto e articolato e, così come si legge nel "riassunto" pubblicato sul sito http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3167231 ↗, viene specificato:

[...]
Per proteggere la privacy degli utenti e consentire loro scelte più consapevoli, il Garante ha dunque stabilito che, d'ora in poi quando si accede alla home page o ad un'altra pagina di un sito web deve immediatamente comparire un banner ben visibile, in cui sia indicato chiaramente:

1) che il sito utilizza cookie di profilazione per inviare messaggi pubblicitari mirati;

2) che il sito consente anche l'invio di cookie di "terze parti", ossia di cookie installati da un sito diverso tramite il sito che si sta visitando;

3) un link a una informativa più ampia, con le indicazioni sull'uso dei cookie inviati dal sito, dove è possibile negare il consenso alla loro installazione direttamente o collegandosi ai vari siti nel caso dei cookie di "terze parti";

4) l'indicazione che proseguendo nella navigazione (ad es., accedendo ad un'altra area del sito o selezionando un'immagine o un link) si presta il consenso all'uso dei cookie.

Per quanto riguarda l'obbligo di tener traccia del consenso dell'utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l'informativa breve alla seconda visita dell'utente.

L'utente mantiene, comunque, la possibilità di modificare le proprie scelte sui cookie attraverso l'informativa estesa, che deve essere linkabile da ogni pagina del sito.
[...]

Riporto qui alcune considerazioni fatte in sede di approfondimenti specialistici (chiaramente in un contesto lavorativo) con il supporto di studi legali che hanno seguito direttamente cause civili fra cittadini italiani e Google, proprio in tema privacy:

1) il provvedimento riguarda tutti i siti
2) l'informativa è dovuta sempre, anche nel caso in cui vi è la sola presenza di cookie tecnici, prima che inizi il trattamento.
3) il consenso per i cookie "non tecnici", deve essere richiesto prima dell'invio del cookie stessi da parte del sito
4) il consenso deve essere specifico (quindi uno per la profilazione, uno per le analisi statistiche, ecc.)

Tradotto per il contesto di un gdr medio:

a) il cookie utilizzato per la sessione è un cookie tecnico. Viene emesso dal sito e quindi rende automaticamente obbligatoria l'informativa
b) l'informativa deve essere la prima cosa che vede l'utente
c) è consentito l'uso di uno speciale cookie che tracci se l'utente ha già detto ok in precedenza (e quindi l'informativa/consenso può non interrompere la navigazione)

Se poi il sito ospita pubblicità di Google - si noti, tutto questo nasce proprio da questa fattispecie - allora le cose si complicano perché Google presenta la pubblicità proprio grazie ai cookie. Secondo una interpretazione "stretta" bisognerebbe quindi chiedere all'utente se vuole vedere la pubblicità e - a rigore "rigorosissimo" - in assenza di questo consenso l'utente avrebbe il diritto di giocare lo stesso senza mai vedere un filo di pubblicità.

Infine, se qualcuno ha aggiunto Google Analytics o similari, deve informare l'utente e probabilmente ricevere anche il consenso. Questi cookie, infatti sono sì finalizzati ad analisi statistiche ma trattati da Google non solo per questa finalità.

Da mettersi le mani nei capelli?

Tutto sommato no... solo che bisogna mettere mano al codice. A ognuno poi la scelta se perderci ore per gli introiti che effettivamente arrivano da Google Adsense o eliminare la pubblicità :)

Io comunque valuterei una rimodulazione delle bandierine del "Progetto Sicurezza", almeno da quando il provvedimento sarà obbligatorio (giugno 2014) (come è stato già proposto)

R.
P.S. temo che la questione sia molto simile anche per i siti come gdr-online...
P.P.S. fino a ora non ho visto nessun sito conforme al 100% al provvedimento del garante. In particolare non sono conformi nessuno dei siti esteri (Google compreso). Il bannerino che mettono, infatti, non "interrompe" la navigazione...

Roberto, ovvero il Doge, quando può

quota

storm_ed

SCRIVI

02/11/2015 12:11:32 e modificato da storm_ed il 02/11/2015 12:25:08

Anche noi in ufficio abbiamo lavorato sui cookie dopo la visita della Guardia di Finanza nucleo speciale privacy.... che neanche sapevamo esistesse.
Sono più o meno d'accordo con quanto scritto da il doge con alcune obiezioni/chiarimenti:

Link di riferimento
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4006878

Termini:
Informativa breve: banner che compare all'apertura di una qualsiasi pagina del sito.

Informativa estesa: pagina dove vengono chiariti, appunto per esteso, i modi in cui un sito utilizza i cookie.

Privacy Policy: è l'informativa obbligatoria sul trattamento dati che dovrebbe essere già presente su tutti i Gdr, resa anche ai sensi dell'art. 13 del d.lg. n. 196/2003 - Codice in materia di protezione dei dati personali

Cookie Tecnici: "Sono i cookie che servono a effettuare la navigazione o a fornire un servizio richiesto dall'utente. Non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare del sito web."
Per capirci tipo i cookie di sessione quando un utente fa il log-in.

Cookie di Profilazione: "Sono i cookie utilizzati per tracciare la navigazione dell'utente in rete e creare profili sui suoi gusti, abitudini, scelte, ecc. Con questi cookie possono essere trasmessi al terminale dell'utente messaggi pubblicitari in linea con le preferenze già manifestate dallo stesso utente nella navigazione online."
Per capirci sono quelli che ti installa Adsense.

1) il provvedimento riguarda tutti i siti

Il provvedimento riguarda tutti che utilizzano strumenti situati su territorio italiano (punto 6 del link citato). Il banner è obbligatorio solo per coloro che utilizzano cookie di profilazione.

2) l'informativa è dovuta sempre, anche nel caso in cui vi è la sola presenza di cookie tecnici, prima che inizi il trattamento.

No, nel senso che non necessita del banner ma solo di un "chiarimento", cito "Per l'utilizzo di cookie tecnici è richiesta la sola informativa”. Per capirci la “Privacy Policy” non serve l'informativa "estesa" che tratta dei cookie di profilazione (punto 1 del link citato, e sunto "IN PARTICOLARE EVIDENZA" primo e secondo comma.)

3) il consenso per i cookie "non tecnici", deve essere richiesto prima dell'invio del cookie stessi da parte del sito.

Concordo in pieno e nessun sito, tra cui anche quelli grandi, mi carica i cookie post approvazione (noi su Genesis lo abbiamo fatto ma ci torno dopo).

4) il consenso deve essere specifico (quindi uno per la profilazione, uno per le analisi statistiche, ecc.)

Non esattamente, i cookie per le statistiche sono assimilati ai cookie tecnici anche se caricati da parte terzi "qualora vengano adottati strumenti idonei a ridurre il potere identificativo dei cookie analitici che utilizzano (ad esempio, mediante il mascheramento di porzioni significative dell'indirizzo IP)".
Il consenso va richiesto solo per la profilazione e può riguardare diversi tipi di categoria "Al riguardo, si coglie l'occasione per ribadire che le richieste di consenso presenti all'interno dell'informativa estesa del sito prima parte ovvero nei siti predisposti dalle terze parti, non dovranno necessariamente fare riferimento ai singoli cookie installati, ma potranno riguardare categorie più ampie o specifici produttori o mediatori con cui il sito prima parte ha stabilito rapporti commerciali." (punto 4)

Tradotto per il contesto di un gdr medio:

a) il cookie utilizzato per la sessione è un cookie tecnico. Viene emesso dal sito e quindi rende automaticamente obbligatoria l'informativa.

Si ma come detto prima, è obbligatorio citarlo nella policy privacy non necessita dell’informativa breve (il banner iniziale) se si usano solo cookie tecnici.

b) l'informativa deve essere la prima cosa che vede l'utente

L'informativa breve deve essere la prima cosa che vede l'utente se si fa uso di file di profilazione, altrimenti non ce n'è bisogno.

c) è consentito l'uso di uno speciale cookie che tracci se l'utente ha già detto ok in precedenza (e quindi l'informativa/consenso può non interrompere la navigazione)

Si ok, questo è definito come cookie tecnico, noi per essere proprio precisi ma non rompiscatole lo facciamo scadere ogni 180 giorni, quindi trascorso questo tempo ti chiede nuovamente l’accettazione.

Vi riporto qui i principali link al sito del garante della privacy che secondo me chiariscono tutto (o quasi), da leggere proprio con questa sequenza:

Internet: Garante privacy, no ai cookie per profilazione senza consenso
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3167231 ↗

Chiarimenti in merito all'attuazione della normativa in materia di cookie
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4006878 ↗

Informativa e consenso per l'uso dei cookie - Domande più frequenti
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3585077 ↗

Quest’ultimo link, le FAQ, secondo me, è il più chiaro di tutti.

Veniamo ora a un questione che vorrei sottoporre a tutti voi che magari conoscete meglio di me Google.
Abbiamo rifatto la home del gdr di Star Trek Genesis e, proprio per evitare problemi, abbiamo deciso di far caricare tutti i cookie parte terzi anche quelli di Google Analytics solo dopo il rilascio del consenso.
Abbiamo deciso di inserire anche quelli di Analytics dopo l’approvazione del consenso perché non sono sicura di mascherare l’ip e di come non far incrociare i dati con quelli già in possesso di Google (punto due del “Chiarimenti in merito all'attuazione della normativa in materia di cookie”)
Mi spiego meglio, dopo varie ricerche, sembra che per mascherare l’ip a google sia necessario inserire questa stringa nello script di Analytics

ga('set', 'anonymizeIp', true);

anche se, a dire il vero, io gli ip nei rapporti di analytics non li ho mai visti.
E per non fare incrociare i dati, sembra sia necessario disattivare, dal pannello di controllo di analytics la “Raccolta dati per le funzioni pubblicitarie” che comprendono il "Remarketing” e le “Funzioni di generazione di rapporti sulla pubblicità” e ovviamente scollegare i vari adsense, adwords ecc.

Qualcuno lo può confermare?

Star Trek Genesis
http://www.startrekgenesis.it/ ↗

quota

darkside of breakfast

SCRIVI

03/11/2015 02:59:58

Credo ti convenga aprire un topic più recente per parlare dell'argomento, in verità quando ho scritto questo thread il provvedimento del garante non era pervasivo come lo è stato il più recente...