Premetto che su questi argomenti non c'è sempre concordanza di vedute. Quando ci saranno indirizzi giurisprudenziali consolidati il problema dovrebbe essere risolto.

Al momento la questione è in questi termini, se io tratto dati personali devo mettere l'informativa, che, come dice la parola stessa, informa l'utente che fine fanno i suoi dati, quali suoi dati vengono raccolti, a chi vengono eventualmente forniti, ecc.... E' obbligatoria in presenza di dati personali, come l'ip che è cosiderato tale a livello comunitario (la questione dell'ip dinamico si pose ma si è preferito una norma più restrittiva).

Sopra si parlava di piccoli blog, ebbene una norma specifica del codice privacy stabilisce che l'informativa non è dovuta quando i mezzi da utilizzare sono sproporzionati rispetto al diritto tutelato. In realtà non mi sovviene un caso simile, piuttosto c'è da dire che i piccoli blog generalmente sono inseriti in piattaforme specifiche (es. Blogger), dove il trattamento dei dati è realizzato dalla piattaforma, non dal gestore del blog, infatti l'informativa è presente sul sito della piattaforma. Questo in presenza di blog a semplice lettura (gli ip sono trattati dalla piattaforma), se invece si inserisce il form dei commenti con la possibilità di tracciare le mail allora necessita una specifica informativa per il blog, a carico del gestore.

Infine, per l'analisi del traffico (ip) non mi risulta sia da notificare nulla al garante, generalmente si tratta di analisi statistiche organizzate per dati cumulativi, che non consentono l'identificazione del singolo utente. In tali casi non necessita nulla, oltre l'informativa.

@bsaett said:

Infine, per l'analisi del traffico (ip) non mi risulta sia da notificare nulla al garante, generalmente si tratta di analisi statistiche organizzate per dati cumulativi, che non consentono l'identificazione del singolo utente. In tali casi non necessita nulla, oltre l'informativa.

Ciao
ti ringrazio per le tue precisazioni, molto esaustive.
Qui però ti devo contraddire, perchè non mi sembrano dati cumulativi, anche perchè si vede ogni singola azione, quindi interesse del visitatore.
Spesso le aziende hanno indirizzo IP fisso e in molti lo hanno intestato. Io ho un software normalissimo di statistiche, non italiano, dove visualizza il nome dell'azienda invece in quanto l'IP è di proprietà dell'azienda.

In rete esistono molti software simili, generalmente chiamati WHOIS per risalire al nome dell'azienda nel caso che l'indirizzo IP tracciato, diciamo, è acquistato.

Tu hai la possibilità di ricercare dal sito del garante i casi per cui è necessaria la notifica al garante ?

Grazie

Ciao Seven,

magari il Garante si preoccupasse di chiarire i dubbi dei semplici cittadini:(. Come dicevo stiamo nel campo delle ipotesi, per cui ti faccio la mia ipotesi.

Dunque, il tracciamento degli Ip, per quello che ne so io dal punto di vista tecnico, non consente l'identificazione fisica di una persona, al massimo si può giungere ad una strada, anche se in genere la **localizzazione **è molto approssimativa (io talvolta risulto al largo delle coste africane).
Per individuare il nome della persona fisica, invece, è necessario incrociare il dato (anzi i dati, ip e data + orario) con i dati del fornitore di accesso alla rete, e questi non li fornisce se non alla magistratura. Quindi, sotto questo profilo possiamo dire che l'ip da solo non serve nè a localizzare nè ad **identificare **una persona, pur essendo ritenuto un dato personale.
Ora, la normativa (art. 37 codice privacy) prevede la notifica al garante sia nel caso di geolocalizzazione, a meno che non si tratti di rilevazione non continuativa del passaggio o della presenza di persone (ad esempio la rilevazione da telecamere a circuito chiuso). La geolocalizzazione che prevede la notifica, quindi, si potrebbe senz'altro ritenere quella che si ottiene tramite un gps, purchè sia continuativa, credo che quella ottenuta tramite ip non sia assoggettabile ad obbligo di notifica.
Altro problema è quello della **profilazione **degli utenti, laddove per profilazione si intende l'incrocio tra dati al fine di realizzare un profilo del'utente preciso al punto da potergli inviare messaggi commerciali su misura, come accade per Adsense ad esempio.
La profilazione su un normale blog non è possibile, perchè generalmente i dati del blog, quand'anche fossero il più completi possibili, al massimo riguardano l'ip, le pagine visitate, quelle di entrata e quelle di uscita. Un po' poco. Comunque per evitare problemi in tal senso i software di statistica del traffico in genere tendono a non incrociare tali dati, in modo che non sia possibile nemmeno una profilazione minima.

Per quanto riguarda il caso degli ip fissi che consentono l'identificazione di un utente, credo che la cosa non cambi perchè l'identificaizone in realtà dipende da altro database in rete, non dal tracciamento del blog, ed io, quale titolare del blog devo occuparmi dei dati che tratto io non di quelli che trattano altri. Il problema, quindi, si sposta al database del Whois, che avrà chiesto l opportuno consenso al momento di pubblicare quei dati.

Si tratta ovviamente di 3 aspetti ancora da approfondire, e sui quali discutere ancora molto, ma il mio parere per il momento è nel senso sopra descritto.

Grazie ancora per la fantastica spiegazione.
Però non ho capito se io pubblicato Adsense sul mio sito, o forme di guadagno che utilizzino sistemi simili a quelli di Adsense sono costretto d'inviare una notifica al garante.

Secondo quanto hai scritto appena prima parrebbe di no perchè non sono io il responsabile degli annunci di Facebook, anche se ricordo che nella privacy policy ho messo qualcosa proprio inerente a google Adsense... dovrei vedere bene.

Grazie ancora

Nell'informativa dovrai specificare che usi AdSense o Analitics, o quello che è, indicando chiaramente che i dati vengono trasferiti a loro (si tratta anche di trasferimento al di fuori dell'Europa).

Grazie ancora
Ma se io dovessi fornire ai clienti un software, da me realizzato, dove do ai miei clienti, accedendo ad un area riservata, la possibilità di poter visualizzare i click ricevuti sui loro prodotti, presenti su un mio sito, dove vengono riportati:

• indirizzo IP
• prodotto clikkato
• ora dell'azione

dovrei quindi fare una notifica al garante ?

Stavo pensando che se la stessa domanda è da farsi se utilizzo un softare come Openx, per la gestione di campagne banner o se sul proprio server si installa un software di statistiche di terze parti.

Grazie ancora....

Ciao Seven,

in questo caso mi sembra una profilazione. Credo necessiti la notifica.

Permettetemi di tornare su un aspetto in particolare:

@bsaett said:

Mi spiego, se tu fai il sito e poi basta, allora non sei responsabile di nulla, ma se la gestione in qualche modo è anche di tua competenza (il cliente ti chiede di inserire un articolo...) allora sei (potresti essere) responsabile o corresponsabile.

PS Nell'informativa indichi quale titolare e responsabile della privacy il cliente, immagino!

Ho saputo da poco che il mio cliente per il quale - ribadisco - ho solo realizzato il sito web, in parte fatto di pagine statiche create da me, in parte composto da un piccolo CMS che permette loro di inserire delle news e degli articoli in modo autonomo... dicevo, il mio cliente ha effettivamente ricevuto la multa dalla GdF per l'assenza dell'informativa sulla privacy. Mi ha anche detto che ha fatto ricorso, ma a parte questo la cosa che mi dispiace di più è che sostiene che è colpa mia.

Ho fatto notare che, come minimo, sarei corresponsabile del mancato inserimento dell'informativa: anche loro non mi hanno mai chiesto se ci va o no, non si sono preoccupati per niente di questo aspetto.

Cosa ne pensate? Posso essere considerato corresponsabile di questa mancanza, anche se non sono il gestore di nessun contenuto presente nel sito? Sono forse obbligato (sottolineo: "obbligato", per legge) a conoscere tutta la materia legislativa che riguarda più o meno da vicino il mio lavoro di creazione di siti web?

Scusate la lungaggine, ma credo sia importante essere molto chiari.
Grazie naturalmente a BSaett e a chiunque vorrà rispondermi.

Ciao Tonino,

la risposta è no, non esiste alcun obbligo di legge in tal senso.

Ciao a tutti!
Considerando di inserire correttamente la pagina dedicata alla privacy, con una sezione che ne spiega correttamente l'informativa, una sezione che spiega delle statistiche di accesso di Google Analytics e una di Google AdSense e che ne rimanda ai relativi siti, in un normalissimo sito web che tratta di annunci immobiliari/auto/moto, di tipo gratuito per l'utente ma con inevitabile registrazione tramite nome, cognome, email e nome-utente è necessario inviare una notifica al garante della privacy? E redarre quindi un documento DPS in merito!? è veramente complicato capire bene in quali casi è obbligatorio e in quali non è necessario...
Leggendo l'articolo 37 del codice della privacy e le relative categorie escluse dall'obbligo di notifica parrebbe che fornendo beni o servizi (nel caso di quel sito, un servizio gratuito, direi...) non vi sia quest'obbligo ma solo quello di inserire un'informativa sulla privacy. Secondo voi?

Ciao Uelaa,

dagli elementi che fornisci credo non sia affatto necessaria una notifica al Garante del trattamento che fai. E' invece necessario che vi sia una informativa privacy completa e che sia accettata (consenso) dagli utenti al momento della registrazione al sito.
Il Dps va redatto in tutti i casi in cui sia realizzata il trattamento di dati personali con strumenti elettronici, per cui ritengo che sia il tuo caso.

Grazie bsaett per la risposta!
Dovrei chiedere ancora questo: se durante la registrazione al portale, venissero separate le tipologie di utenti in privati (nome,cognome,email) ed in professionisti(nome azienda,nome e cognome titolare,partita iva e sede legale), vale sempre il medesimo discorso? Nel senso, è sufficiente il DPS e l'informativa esaustiva? Ciao e grazie ancora.

Non vedo differenze. Giusto per essere precisi chiarisci nell'informativa le modalità di trattamento dei due tipi di dati.

Volevo aggiungere qualcosa , ieri una cliente mi ha chiesto di inserire l'informativa sulla privacy nel form, perchè il consulente gli ha chiesto di farlo. io suo contact form 7 su wordpress.

Ma ho usato joomla per tre anni e ho parecchi siti da sistemare , a questo punto attendo che mi chiamino o gli invio una mail avvisandoli ?

Doppio dubbio ....

Detto questo per un portale che ho realizzato mi sono appoggiato a IUBENDA.com , che genera un Informativa sempre aggiornata, la cosa assurda che lo stesso iubenda che pare risolva il problema dell'informativa fornisce una semplice pagina html che aggiorna e gestisce per ogni sito .

Se il server iubenda , è down, non avremo l'infomrativa visibile e aggiornata.
Oltretutto non è previsto un checkbox da splittare.

Eppure Iubenda sembra un ottima soluzione proprio perchè aggiorna le varie policy e i servizi che ogni sito raccoglie da analytics a facebook a twitter manlevando cosi il titolare dei dati personali da altri problemi .

La cosa che mi fa sorridere è questo scarica barile , continuo , il titolare del trattamento dei dati nomina google facebook discqus ecc dicendo che sono loro a raccogliere i dati , l'hosting fa lo stesso, il cms , wordpress o joomla , idem , praticamente , la responsablitià è sempre di altri .

La materia è veramente vasta.

Ora mi chiedo chi dovrebbe scrivere l'informativa della privacy ?
Il Webdesigner . il consulente sulla privacy ? o un avvocato ?
Perchè ogni volta che attivo un modulo su un CMS vedi analytics , o facebook o altro , l'informativa andrebbe aggiornata.

Praticamente è impossibile avere un informativa sempre perfetta, questo quello che penso , ammeno che uno non si rivolga a servizi come Iubenda che però gerano una semplce pagina html che andrebbe splittata o chekkata prima dell'inserimento dei dati in un form .

Qualcuno può consigliarmi un plug-in form su wordpress che risolva il problema e che prima dell'invio obblighi lo split-check di un pulsante per l'informativa?

Grazie , discussione cmq interessantissima .

Credo che il paragone ti vendo la macchina poi se la guidi ubriaco a 200 contromano non mi riguarda , sia la risposta giusta per ogni webdesigner.

Ciao Fpdesign,

sinceramente non ho capito quale è la domanda. Per le questioni tecniche (joomla, wordpress, plugin....) non è questo il forum giusto.
Per le questioni giuridiche l'informativa va in ogni sito che tratta dati personali altrui. Quello che definisci "scaricabarile" è un normale passaggio di dati. Se io mio sito utilizza Google Analytics io devo avvertire (nella mia informativa) che i dati salvati dal plugin del mio sito vengono poi passati a Google Analytics. In questa vicenda ci sono quindi 2 trattamenti, quello del mio sito (conservazione e passagio di dati) e quello di Google Analytics per il quale ovviamente risponde Google. Però i miei utenti devono sapere che i dati vengono da me passati a Google altrimenti l'informativa è carente e in violazione delle norme.
Un ultima cosa, il webdesigner fa il sito, quindi non tratta alcun dato, è il gestore del sito che deve l'informativa.

@bsaett said:

Un ultima cosa, il webdesigner fa il sito, quindi non tratta alcun dato, è il gestore del sito che deve l'informativa.

Buonasera.

Mi permetto di dissentire da quest'ultima affermazione poiché quando realizzo un sito, sia che presenti un modulo di registrazione sia un più tradizione modulo per la richiesta informazioni, mi sento in obbligo, se non legale almeno morale, di fornire un servizio conforme a quanto previsto dalle vigenti leggi.
Questo soprattutto perché in molti casi i clienti non hanno idea delle leggi che regolamentano la realizzazione di un sito e quindi mi sembra corretto, oltre che professionale, informarli sullo stato delle cose.
Proprio in questi giorni sto facendo opera di convincimento con un paio di clienti per fargli comprendere le normative relative all'avvio di una attività di commercio elettronico.
L'unico argomento convincente sembra rimanere il citare le sanzioni previste in caso di inadempienza.

Detto questo, dalle poche ricerche che ho potuto fare nel pomeriggio ho scoperto che le disposizioni relative all'invio dei propri dati attraverso un modulo in un sito sono abbastanza rigide: deve essere riportato per intero il testo relativo al trattamento dei dati (ed eventuali cessione a terzi o termini e condizioni d'uso in caso di modulo di registrazione) e non è sufficiente un link ad un'altra pagina, devono essere presenti due radio-button (accetto / non accetto) non preselezionati in modo che l'utente sia obbligato ad effettuare la scelta e poi non rammento cos'altro.
Mi giunge nuova l'informativa relativa all'uso di Analytics.
Insomma, qui si corre il rischio di trasformare un modulo per la richiesta informazioni in un interminabile tomo tale da far scappare il più paziente dei visitatori!

Penso proprio che a questo punto mi attiverò al fine di aggiornare i siti realizzati, perlomeno i più recenti, anche se devo ancora chiarire alcuni aspetti di questa faccenda.
Nello specifico, in questo momento tornerebbe utile un testo standard sull'informativa relativa all'uso di Analytics (o qualsiasi altro software per il tracciamento delle visite) in un sito.

Salve Eugene,

è meritorio il tuo modo di informare i tuoi clienti, però l'obbligo giuridico dell'informativa rimane sempre a carico di chi gestisce il sito, non di chi lo fa. In nessun caso il webdesigner potrà mai essere chiamato a rispondere dinanzi al Garante o ad un tribunale per non aver inserito l'informativa nel sito. E' compito del gestore del sito informarsi sulle leggi vigenti (come la concessionaria di auto non deve avvertire i suoi clienti che per portare una macchina ci vuole la patente), poi se il webdesigner lo avverte, è tutt'altro discorso.
Detto ciò, per il trasferimento dei dati su servizi di terzi, si può inserire una clausola come la seguente:

"I dati eventualmente raccolti o conservati dal sito, con le modalità sopra precisate, non vengono trasmessi a terzi, a parte i dati che vengono elaborati da Google Analytics, servizio di analisi web fornito da Google Inc. (?Google?),il quale utilizza dei cookies per il suo funzionamento, e le informazioni generate trasmesse a Google, e depositate presso i server di Google negli Stati Uniti.
Google utilizza queste informazioni allo scopo di tracciare ed esaminare l?utilizzo del sito web, compilare report sulle attività del sito web per gli operatori del sito web e fornire altri servizi relativi alle attività del sito web e all?utilizzo di Internet. Google può anche trasferire queste informazioni a terzi ove ciò sia imposto dalla legge o laddove tali terzi trattino le suddette informazioni per conto di Google. Google non assocerà l?indirizzo IP a nessun altro dato posseduto da Google. Potete rifiutarvi di usare i cookies selezionando l?impostazione appropriata sul vostro browser, ma ciò potrebbe impedirvi di utilizzare tutte le funzionalità di questo sito web. Utilizzando il presente sito web, voi acconsentite al trattamento dei Vostri dati da parte di Google per le modalità e i fini sopraindicati.
Per ulteriori informazioni sull?uso dei dati e sul loro trattamento da parte di Google si raccomanda di prendere visione delle informazioni al seguente indirizzo internet: http://www.google.it/privacypolicy.html"

Grazie Bruno (o avv. Saetta, come preferisce).
Come dicevo, il mio è più che altro un obbligo morale poiché mi rendo conto dell'ignoranza (intesa come "non conoscenza" e non in senso offensivo) che ancora alberga in buona parte dell'utenza che decide di commissionare la realizzazione di un sito internet (che si tratti di e-commerce oppure no).
Mi sento sollevato dal fatto di non avere, secondo la legge, obblighi in tal senso ma da quando lavoro in proprio ho decido di ricoprire anche il ruolo di consulente, limitatamente alle mie conoscenze, incoraggiato soprattutto dal fatto che esistono ancora parecchi "colleghi" che si limitano a realizzare il sitarello tralasciando tutti questi aspetti tecnici, burocratici e legali necessari ad offrire un buon servizio e, principalmente, a fare la differenza.
Per questo esistono ancora tanti siti con moduli di registrazione o richiesta informazioni non a norma e siti di pubbliche amministrazioni non accessibili.

Quindi, tornando a noi, per un sito con un normale modulo di richiesta informazioni (niente e -commerce o registrazione) è necessario riportare in chiaro (e non con un link ad un'altra pagina) il testo della legge sulla privacy al quale aggiungere, nel caso siano presenti applicazioni come Google Analytics, un testo informativo sullo stile di quello da lei suggerito.
Fin qui tutto corretto?

Nel caso di un sito di un hotel o simili ove sia presente un modulo per la prenotazione (ma non il pagamento, quindi non viene conclusa alcuna transazione) è necessario aggiungere altre clausole?

Grazie ancora per l'aiuto.

Nel caso di trattamento di dati sensibili occorre il consenso, per cui all'atto della registrazione al sito l'utente dovrà accettare l'informativa (va bene la spunta di una casella con link all'informativa su pagina interna). Per il resto è sufficiente inserire l'informativa in una pagina interna con link in home.

Cito il seguente testo trovato in un altro forum:

la normativa italiana prevede che nel form di registrazione e in tutti i moduli in cui vengono raccolti dati sensibili sia presente in modo integrale il testo della privacy, non essendo sufficiente la sola presenza del link alla pagina,

prevede inoltre che la scelta di autorizzare o meno il trattamento sia fornita mediante due radio botton, uno con la dicitura si l'altro con la dicitura no e che nessuno dei due deve essere marcato di default,al fine di non pregiudicarne la libera scelta,
inoltre va indicato con la stessa modalità il criterio di cessione dei dati a terzi , sempre con stessa modalità radiobotton, ec ecc idem per l'accettazione delle condizioni.

questo deve essere implementato anche per i moduli di richiesta informaxione, modulo per i resi, e ogni altro modulo del sito ove vengno richiesti dati sensibili!!!

La discussione prosegue portando come esempio il modulo d'acquisto di TopHost realizzato secondo quanto sopra riportato. Volendo verificare la veridicità del testo chiedo a bsaett se, per qual che gli risulta, quando sopra dichiarato corrisponda al vero.

Inoltre, rileggendo questo thread, mi sono reso conto che l'informativa sulla privacy debba essere inserita anche in presenza di programmi di affiliazione o annunci (AdSense e simili). Nel caso in cui in un sito vengano utilizzati differenti programmi di affiliazione è necessario specificarli tutti? La stessa cosa vale per piccoli siti non aziendali/commerciali?