Passa ai contenuti principali

Siti internet e GDPR: che cambiamenti ci sono per i cookie?



Il prossimo 25 maggio, tra meno di un mese, scatteranno le sanzioni per coloro che non sono in regola col nuovo regolamento europeo sui dati personali. Vediamo allora cosa dobbiamo fare per rendere i nostri siti internet conformi col GDPR e partiamo dai famigerati cookie.

Cosa è un cookie? Un cookie è un piccolo file che quando viene visitato un sito internet viene scaricato sul vostro dispositivo.

Il GDPR cita i cookie solo una volta in tutto il testo del regolamento e precisamente nel considerando 30 dove si stabilisce che: “Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, a marcatori temporanei (cookies) o a identificativi di altro tipo, come i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle”.

In pratica il GDPR ci dice che i cookie presenti sui siti internet possono identificare una persona fisica attraverso il proprio dispositivo e quindi siamo di fronte a dati personali veri e propri. Ovviamente non tutti i cookie sono in grado di identificare persone fisiche ma alcune categorie di cookie come quelli relativi alle statistiche (analytics) e advertising (banner) sono osservati speciali in questo senso.

Il GDPR sembrerebbe quindi inasprire la normativa sui cookie (eu cookie law):

  • il consenso implicito potrebbe non essere più sufficiente, come per esempio il semplice scroll del mouse per scorrere la pagina o cliccare su un qualsiasi elemento contenuto sulla pagina web.
  • per le stesse ragioni il consueto avviso posto in alto o in basso sul sito che informa che continuando a navigare sul sito si intendono accettate le policy sui cookies non va bene perché il regolamento specifica che il consenso deve essere esplicito.
  • se vi è un consenso esplicito allora deve esserne anche tenuto traccia in un file di log.
  • se si richiede il consenso prima di visitare la pagina allora dovrebbe esserci anche un meccanismo che preveda di poterlo revocare (opt-out).
La questione dei cookie è stata affrontata lo scorso ottobre alla conferenza di Londra sulla data protection "16th Annual Data Protection Compliance Conference", in quella sede era stato proposto di passare la palla della gestione dei cookie direttamente agli sviluppatori dei browser di navigazione, ma per adesso questa sollecitazione non ha sortito alcun effetto pratico.

Probabilmente un consenso richiesto previo esplicito atto del visitatore (opt-in) alla sua prima visita al sito prima del caricamento dei cookie potrebbe essere sufficiente, ma spesso questa non è una strada facile da percorrere per gli sviluppatori dei siti. Se è vero che i cookie raccolgono dati personali allora è essenziale che venga individuata una base legale per il loro trattamento ed il consenso non è l'unica base legale prevista dal regolamento.

Per maggiori informazioni su come rendere il proprio sito internet conforme al nuovo regolamento europeo sui dati personali (GDPR) scrivete un email a privacyofficer@bigazzi.it.


Alcuni link utili su questo argomento:






Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian

L'arte del camuffamento: come ingannare gli algoritmi di riconoscimento facciale

La società nella quale viviamo è purtroppo diventata anche una società del controllo e della sorveglianza. Per proteggere la nostra privacy è opportuno adottare un modello di autodifesa digitale (privacy threat model) adeguato al nostro profilo di rischio. Se sei arrivato su questa pagina e stai leggendo questo blog allora hai già fatto il primo passo: puoi far parte anche tu del nostro gruppo di #gentesicura . Per sviluppare un modello di autodifesa digitale occorre farsi alcune domande: che tipo di informazioni voglio proteggere? Da chi le voglio nascondere? Quale sarebbe l'impatto sulla mia vita se queste informazioni venissero scoperte? Oggi una delle minacce più gravi è certamente rappresentata dai sistemi di videosorveglianza e dai loro algoritmi di riconoscimento facciale. Probabilmente in qualche banca dati digitale è già presente una vostra foto collegata al vostro nome e cognome. Anche se non è detto che questo database sia pubblico, è sempre buona norma fare una ricerca