Probabilmente non ci capiamo su una cosa.

Quando io acconsento al tracciamento, io acconsento con il sito che sto visitando. Il sito ha il mio permesso per condividere le informazioni con una terza parte.

Se la terza parte poi rivende ulteriormente il dato senza il mio permesso... il responsabile è comunque il sito che gliel'ha passato. Perché io sono il proprietario del dato e con il sito ho fatto un contratto (sì, il consenso è un contratto).

Nel caso di TCF, il Garante belga contesta a IAB Europe la corresponsabilità per aver progettato un sistema che permette alle terze parti di rivendere ulteriormente il dato (è dimostrabile e dimostrato) senza alcuna reale capacità di controllo sul processo (la capacità di auditing di IAB si ferma al client).

A me pare assolutamente sensato e davvero non capisco l'incredulità o tutti questi paralleli strani.

(poi ci sarebbe da toccare il tasto legale di quanto sia effettivamente da considerare legittimo per un sito richiedere il consenso e prendersi la responsabilità in vece dei vendor che poi fanno quello che gli pare... e questa cosa la dicevo ancora in tempi non sospetti eh...)

Ma forse non capisci l'assurdità di quello che si sostiene.

Un conto se punisco IAB perché è data controller e non ha in piedi un sistema di data processing agreement con le sotto parti con cui condivide i dati (e poi tutti i vendor in realtà sono listati con relativo accetta/rifiuta a livello atomico).

Un conto è che punisco l'uso errato che viene fatto di un Framework.

Attenzione perché sono cose parecchio, ma parecchio diverse.

Ora, potrei essermi perso dei pezzi anche perché ho letto soprattutto commenti ed il provvedimento non è sempre decifrabile, ma... il Garante ha punito e sanzionato chi quel sistema lo ha progettato.

Gli viene contestato il ruolo di Joint Controller, perché è IAB Europe che ha determinato lo standard. Questo vuol dire che chi aderisce a TCF è solo in parte responsabile, perché s'è trovato 'na roba prendere o lasciare.

Ma evidentemente è proprio lo standard a non essere compliant.

Sul perché o il percome lascio il lavoro ad altri.

@kal e infatti il problema è il ruolo di IAB nella vicenda. Non il framework. Almeno spero. Perché altrimenti sarebbe assurdo. Ogni sistema può essere utilizzato in modo che violi la legge. Non si scappa. Qualsiasi cosa che raccoglie un dato. Basti pensare alla storia che mette al bando gli IP. Abbastanza eloquente. Ma il problema non è l'IP mi pare chiaro.

@juanin il dato può essere raccolto legittimamente dalla prima parte, sempre.

I problemi nascono quando parte la catena della rivendita a terzi.

@kal però il concetto di prima parte è molto labile legalmente.

se io nel mio contratto scrivo che accettando quel contratto accetto anche i termini e condizioni dei vendor A, B, C

e quindi nel momento in cui vendo il dato ad A che nei suoi termini e condizioni c'è scritto che lo può vendere a sua volta, il problema diventa legale non di audit, ma di quando sono bravi i legali a scrivere i contratti.

poi siamo sempre lì se riteniamo personale un cookie od un ip perché in modo truffaldino una terza parte potrebbe far fare login alle persone ed arrivare a nome, cognome, indirizzo ecc. ecc. stiamo mettendo ad una pezza al fatto che il legislatore non riesce a fare controlli.

Ma proprio per quest'ultimo motivo le truffe continueranno ad esserci perché chi vuole fare la truffa un modo lo trova.

Comunque è certo che dobbiamo aspettarci il peggio. I vari Garanti Europei pare che si siano accordati per svolgere azioni congiunte e dunque distribuirsi tematiche per stato.

Pare che quello Belga si sia preso a cuore questa storia del Programmatic. Il problema poi sembra anche essere che i Garanti sono sotto l'occhio attento dei vari attivisti in cerca di attenzione quindi sono molto strict.

@juanin mi chiedo se siano loro ad aver scelto ho Shremps mandando i diversi casi. Sono 101 casi, ne sono uscita 3/4 ad oggi. Sarà divertente nelle prossime settimane

@filtro non credo che questo del Garante belga dipenda dai reclami di NOYB, comunque sì ci sono anche quelli che bollono in pentola e verranno tutti fuori nei prossimi mesi.

La lista sta qui: https://noyb.eu/en/eu-us-transfers-complaint-overview

Ruotano tutti o quasi attorno all'esportazione di dati in USA, questo caso di IAB Europe / TCF è differente.

@filtro ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

se io nel mio contratto scrivo che accettando quel contratto accetto anche i termini e condizioni dei vendor A, B, C
e quindi nel momento in cui vendo il dato ad A che nei suoi termini e condizioni c'è scritto che lo può vendere a sua volta, il problema diventa legale non di audit, ma di quando sono bravi i legali a scrivere i contratti.

O di quanto sono brave le Autorità Garanti a stracciare i contratti scritti dai suddetti avvocati

Perché a occhio, visti i principi fondativi della GDPR, una terza parte non può tanto legittimamente rivendere oltre senza il consenso diretto (libero, informato, inambiguo, etc.) del proprietario dei dati personali.

@kal è che il dato lo puoi anche vendere, è il consenso che non vendi. Nei fatti i dati, se lo specifichi nei termini, possono essere ceduti (a meno che non siano sensibili), ma poi chi li riceve, diventando titolare del trattamento, deve ottenere il consenso ex-novo, sottoponendo all'utente i termini del trattamento, le policy etc.

@juanin concordo con la poca chiarezza nella "forma" di implementazione di diverse scelte del GDPR, ad esempio quella relativa a come registrare il consenso.

Di fatto stiamo ancora aspettando a breve la eDirective che dovrebbe chiarire diversi aspetti.

In ogni caso la mia interpretazione della questione "come registrare il consenso", è, per analogia con i cookie tecnici:
tutto ciò che serva per far funzionare il sito web o per tenere fede al motivo legale sono costretto a renderlo indispensabile e quindi di conseguenza registrabile.

Ci sono però due cose molto "sottili" da notare.

1- il Garante italiano ha precisato in una delle FAQ sui cookie, che il cookie tecnico sia una modalità necessaria e sufficiente come prova del consenso (anche se lascia sott'inteso che il titolare non è obbligato a questa sola modalità tecnologica).

2- nel GDPR si precisa che in caso di utilizzo di dati personali come l'ip, si debba separare certe informazioni e renderle anonimizzate a sufficienza, e dimostrare di aver evitato di ricondurle a sistemi che possano profilare o comunque associare l'informazione personale al profilo di comportamento (in caso di assenza di consenso in tal senso) sopratutto se girate a terze parti.

Quindi la conseguenza è che è da evitare l'utilizzo di esportazione dati fuori EU, (cosa che avviene con i cloud americani), senza seguire le 48 pagine di Raccomandazioni di giugno 2021 dei Garanti europei (EDPB), o in assenza di specifiche deroghe (come il privacy US shield prima della sua invalidazione il 16 luglio 2020), ed evitare il trasferimento dati personali a terze parti (diverse da chi informa, richiede il consenso, e gestisce il consenso dietro le quinte, a meno di avere dei meccanismi per supervisionare cosa si fa con i dati) in modi che possano essere riconducibili alle persone e associabili ad altre informazioni connesse (es. comportamenti, dati finanziari, sanitari, ecc. insomma anche dati sensibili o di profilazione).

Ti dò però ragione sul fatto che il GDPR dica che la PROVA del consenso, comunque sia a carico del titolare del trattamento.

Quindi, è ragionevole chiedersi se non sia il caso di registrare una prova lato server, di quel cookie tecnico, come prova del consenso (in caso ci sia qualche problema con il cookie del browser...).

Il gatto SI MORDE LA CODA, come dici tu.

Non è chiaro, ma la mia interpretazione quando una cosa non è chiara è il "buon senso" e trovare una spiegazione ragionevole in caso di ispezione che precisi le scelte compiute e per quale ragione (principio di accountability).

Chissà se sarà il caso di iniziare a montarsi un ad server in casa

Sarebbe interessante iniziare a fare un bell'elenco. Il successore di OpenX è questo https://www.revive-adserver.com/

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Chissà se sarà il caso di iniziare a montarsi un ad server in casa

Secondo me anche in questo caso, come nell'altro di GA, è utile iniziare a pensarci.

Saranno sicuramente soluzioni legnose e certamente sub-par da un punto di vista tecnico... ma il giorno in cui diventeranno l'unica alternativa legalmente applicabile per me è all'orizzonte.

@kal si certo e come mi collego alle altre DSP in open market visto che sono illegali perché il 95% esporrà dati in US?

@filtro la risposta è non mi ci collego

Se si paventa quello scenario l'unica è che tutti si mettono a vendere in autonomia oppure che nasce una sorta di associazione che fa da commerciale per N siti (oppure lo fa la concessionaria).

E' uno scenario sicuramente apocalittico! Ah ah ah.

@juanin vedo prospettive grandiose per l’Europa che crea il firewall cinese senza aver foraggiato l’industria interna per creare alternative.

Torniamo agli anni 90 del web, Mediaset e Rai faranno da padrone

@juanin infatti noi, per esempio, abbiamo evitato cloud stranieri da sempre.

In particolare usiamo cloud proprietari solo sul territorio Nazionale Italiano.

Se senti le dichiarazioni del Ministro Brunetta, la voglia è quella di seguire il modello francese che chiede alle imprese di usare cloud solo francesi.

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Chissà se sarà il caso di iniziare a montarsi un ad server in casa

Questo commenta tutto

Interessante documento qua https://techreg.org/article/view/11594/13212