Passa ai contenuti principali

Siti internet e GDPR: che cambiamenti ci sono per i cookie?

Immagine
di


Il prossimo 25 maggio, tra meno di un mese, scatteranno le sanzioni per coloro che non sono in regola col nuovo regolamento europeo sui dati personali. Vediamo allora cosa dobbiamo fare per rendere i nostri siti internet conformi col GDPR e partiamo dai famigerati cookie.

Cosa è un cookie? Un cookie è un piccolo file che quando viene visitato un sito internet viene scaricato sul vostro dispositivo.

Il GDPR cita i cookie solo una volta in tutto il testo del regolamento e precisamente nel considerando 30 dove si stabilisce che: “Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, a marcatori temporanei (cookies) o a identificativi di altro tipo, come i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle”.

In pratica il GDPR ci dice che i cookie presenti sui siti internet possono identificare una persona fisica attraverso il proprio dispositivo e quindi siamo di fronte a dati personali veri e propri. Ovviamente non tutti i cookie sono in grado di identificare persone fisiche ma alcune categorie di cookie come quelli relativi alle statistiche (analytics) e advertising (banner) sono osservati speciali in questo senso.

Il GDPR sembrerebbe quindi inasprire la normativa sui cookie (eu cookie law):

  • il consenso implicito potrebbe non essere più sufficiente, come per esempio il semplice scroll del mouse per scorrere la pagina o cliccare su un qualsiasi elemento contenuto sulla pagina web.
  • per le stesse ragioni il consueto avviso posto in alto o in basso sul sito che informa che continuando a navigare sul sito si intendono accettate le policy sui cookies non va bene perché il regolamento specifica che il consenso deve essere esplicito.
  • se vi è un consenso esplicito allora deve esserne anche tenuto traccia in un file di log.
  • se si richiede il consenso prima di visitare la pagina allora dovrebbe esserci anche un meccanismo che preveda di poterlo revocare (opt-out).
La questione dei cookie è stata affrontata lo scorso ottobre alla conferenza di Londra sulla data protection "16th Annual Data Protection Compliance Conference", in quella sede era stato proposto di passare la palla della gestione dei cookie direttamente agli sviluppatori dei browser di navigazione, ma per adesso questa sollecitazione non ha sortito alcun effetto pratico.

Probabilmente un consenso richiesto previo esplicito atto del visitatore (opt-in) alla sua prima visita al sito prima del caricamento dei cookie potrebbe essere sufficiente, ma spesso questa non è una strada facile da percorrere per gli sviluppatori dei siti. Se è vero che i cookie raccolgono dati personali allora è essenziale che venga individuata una base legale per il loro trattamento ed il consenso non è l'unica base legale prevista dal regolamento.

Per maggiori informazioni su come rendere il proprio sito internet conforme al nuovo regolamento europeo sui dati personali (GDPR) scrivete un email a privacyofficer@bigazzi.it.


Alcuni link utili su questo argomento:






Labels:

Commenti

Posta un commento

Post popolari in questo blog

CISO e DPO: interazione e compatibilità tra due figure strategiche nella difesa dei dati

di
Col recepimento della NIS2 in attuazione della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di sicurezza informatica nell'Unione, sentiremo sempre più spesso parlare della figura professionale del CISO che è l'acronimo inglese di Chief Information Security Officer. In questo articolo esaminiamo il rapporto tra questa figura attinente alla sicurezza informatica e quella del Responsabile della protezione dei dati RPD conosciuto anche con l'acronimo di DPO (Data Protection Officer) come disciplinato dal Regolamento europeo sulla protezione dei dati personali (UE) 2016/679. Diciamo subito che entrambe sono figure che operano nell'ambito della sicurezza dei dati, con ruoli distinti ma complementari. Ecco una panoramica di ciascun ruolo e delle loro possibili interazioni. Ruolo del CISO: Il CISO è responsabile della sicurezza delle informazioni e dei sistemi aziendali. Si occupa della gestione dei rischi legati alla sicurezza informatica, della...
Posta un commento
Continua a leggere »

Chi ha paura dei log di navigazione internet?

di
Il GDPR, sulla base giuridica del legittimo interesse, consente al Titolare del trattamento di trattare dati personali relativi al traffico in misura strettamente necessaria e proporzionata per garantire la sicurezza delle reti e dell’informazione (Considerando 49) e per finalità di prevenzione delle frodi (Considerando 47). In questo contesto, è possibile conservare all’interno di apparati informatici di rete, come i firewall, i log generati dalle connessioni degli utenti a Internet: si tratta di file di testo che tracciano le attività digitali. Senza entrare troppo nei dettagli tecnici, tali log sono strumenti fondamentali per i tecnici informatici, ad esempio per ricostruire la dinamica di un attacco informatico oppure come strumento forense per individuare le cause e le responsabilità in caso di violazione dei dati personali ( data breach ). Inoltre, fatto non trascurabile, l'acquisizione forense di questi log è uno strumento di indagine essenziale per l'autorità giudiz...
Posta un commento
Continua a leggere »

La natura del dato genetico, cosa sappiamo del data breach di 23andMe

di
Ormai non passa giorno che non si abbia notizia dalla stampa di settore e perfino dalle cronache cittadine di nuovi data breach, notizia recente quella della vendita nel dark web di dati di un noto istituto di analisi fiorentino e fa certo scalpore che in queste violazioni siano coinvolte organizzazioni anche ben strutturate, ma certo il data breach di 23andMe , azienda leader del settore dei test genetici fai da te, lascia davvero stupefatti soprattutto per la facilità con la quale è stato perpetrato: l'attaccante non ha dovuto scrivere neanche una riga di codice! Cosa sappiamo? In una recente comunicazione agli iscritti è l'azienda stessa a fare luce sui fatti e a dare le prime indicazioni agli utenti, leggiamo insieme la traduzione in italiano del comunicato di 23andMe: Di recente abbiamo appreso che alcune informazioni del profilo, che un cliente crea e sceglie di condividere con i propri parenti genetici nella funzione DNA Relatives, sono state accessibili da singoli acco...
Posta un commento
Continua a leggere »