Grazie per le info (ora mi iscrivo anche io alla petizione)!

Comunque ragazzi, ci mancherebbe, io posso usare tutto il buon senso del mondo e mi scoccia non poco passare per l' antipatico di turno, però..qui purtroppo il buon senso da solo lascia il tempo che trova.
In più che avrò letto ormai una ventina di volte il testo del garante, preso appunti e analizzato ogni singola locuzione, e integrato il tutto con il suo "chiarimento" (è l' espressione meno idonea con cui chiamare questa sua comunicazione ufficiale), io tuttora non riesco a capire, se non *interpretando, *se l' obbligo di notifica spetta anche per chi ha cookie di profilazione di terze parti.
Anche io sono d' accordo con voi, so che è impensabile e assurdo, ma carta canta, e finché non c' è scritto chiaramente.. Magari voi siete più tranquilli e vi invidio, perché io no.
Non sono qui a dire che ho ragione, anzi tra tutti i presenti qui io sono quello che più spera di sbagliarsi, ma se leggo il testo senza alcuna libera interpretazione, non ho alcuna informazione diretta (se non, appunto, tramite eventuali deduzioni personali) riguardante questo obbligo di notifica.
Se ho preso un abbaglio mi scuso per il rumore che sto facendo per nulla, in tal caso chiedo solo gentilmente se mi si può evidenziare la parte di testo del Garante in cui si declina l' obbligo di notifica per un cookie profilante di terza parte o, se non presente, almeno i passaggi in cui si evinca tutto ciò con un ottimo margine di certezza.

Nel frattempo attendo una loro mail, ancora nulla da sabato ma tenendo conto che è appena lunedì paziento con im-pazienza.

Grazie mille, un saluto.

Simone

@chano said:

Grazie per la dritta ZioAlfredo!

Ora dovrei di aver trovato un plugin che blocca qualsiasi tipo di cookie, anche da iframe. Lo testo e se funziona penso di adottare quello, altrimenti cercherò di sistemare le cose con componenti che non emettono cookie..!

Ma che dite ragazzi? Che bisogno c'è di bloccare i cookie di terze parti? Basta sengalarli e inoltre è solo un'accortezza perchè tecnicamente i responsabili del trattamento sono i fornitori del serivizo (nel caso di google maps è Google )

@bsaett said:

In sintesi i cookie di terze parti vanno bloccati tutti, fino a consenso. Se non c'è consenso non vanno installati. Però il consenso è semplificato, cioè è sufficiente il banner (ben visibile, non deve essere enorme ma deve risaltare sul sito, se è "affogato" nel sito non va bene) che avverte della presenza di cookie di terze parti e che continuando la navigazione si accettano i cookie. L'utente che capita sul sito se non vuole i cookie se ne deve andare dal sito, se prosegue li accetta.

Vedo che sei avvocato e quindi immagino tu abbia studiato a fondo la normativa, però da quanto mi risulta, non solo non è necessario bloccare i cookie di terze parti (ma solo segnalarli), ma l'autore / editore non è nemmeno responsabile del trattamento e quindi di eventuali conseguenze legate (lo è infatti il fornitore di terza parte es.: google / facebook etc...)
Non sarebbe possibile bloccare cookie di terze parti in alcun modo, se non oscurando widget o social button fino alla conferma dell'informativa dato che i cookie vengono attiva non appena un utente visita la pagina.
Ritengo non sia questo quanto pensato dal garante, e in effetti nessuno si è comportato in questo modo.

@bsaett said:

Per i cookie di analytics, devono essere anonimi (mascheramento di IP e blocco incroncio dei dati con altri servizi) per poter essere non cookie di profilazione. Altrimenti non solo vanno bloccati, ma sono cookie di profilaizone e anche la prima parte deve notificare il trattamento al Garante (150 euro di costo). Questo perchè comunque vede (quindi tratta) almeno parte dei dati (a differenza dei social plugin per i quali il gestore non vede i dati quindi non deve notificare nulla).

Anche qui mi pare che le indicazioni siano tutt'altre. Per profilazione mi pare si faccia esplicito riferimento al remarketing e al trattamento dei dati per fini pubblicitari. Mi permetto di verificare ulteriormente, perchè a questo punto mi fai venire qualche dubbio.

Ciao Wolfango_amadeo,

ovviamente quella è la mia opinione. Ma per me è quello che ha detto il Garante. Qua non si tratta della normativa che è legge quadro (non ha dettaglio), ma di quello che dice il Garante (la direttiva rimanda espressamente alla regolamentazione di dettaglio del Garante. I Garanti europei si sono orientati per una normativa light (UK, Germania hanno opt out, Francia ha opt in ma a differenza del Garante italiano mette a disposizione strumenti, chiarimenti -chiari-, esercitazioni pratiche e tutto quello che occorre per mettere in regola il sito web).
Quindi IMHO:

• terze parti: blocco preventivo;
• G. Analytrics, blocco (è terza parte) e anonimizzazzione e blocco incrocio dati con altri servizi Google (ci sono istruzioni di Google per farlo), se no occorre notifica al Garante (lo dice il Garante quindi è profilazione).

Attenzione a non confondere. Tecnicamente (Convenzione 108) le prime parti sono destinatari terzi del trattamento, in tale senso hanno una responsabilità, e occorre una base legale per il trattamento. Il Resposanbile del trattamento (Google ad esempio) ha responsabilità distinte.
Qui sono d'accordo nella necessità di distinguere tra chi fa trattamento e chi no. Per i social plugin infatti io non vedo nulla, quindi non tratto. I dati li prende FB (ad esempio) e non da nulla a me. Per GA invece io vedo dati. Sono dati di quel trattamento complessivo, e quindi io rispondo di quel trattamento complessivo (come destinatario terzo, da non confondere con le terze parti -cioè Google-), anche se poi vedo solo una piccola parte dei dati.

La questione è complessa ma gli equivoci sorgono perchè molti leggono il provvedimento del Garante (e le FAQ) estrapolando singole frasi, senza tenere conto del quadro normativo generale.
Poi sono perfettamente d'accordo che l'attuazione del Garante italiano è la più restrittiva in Europa (notare che molti commentatori anche giuristi in questi giorni ci hanno raccontato -falsamente- che l'Italia in fondo si attiene alle istruzioni delll'Europa, ma non è vero). Ho già inviato al Garante una proposta per mitigare la sua regolamentazione ma non ho ottenuto risposta. La mia idea è di proseguire su questa linea. Nei prossimi giorni avvierà iniziative per mostrare come è la cookie law nel resto d'Europa (perchè in UK e Germania -che ha ottenuto la conformità dalla Commissione europea c'è l'opt out e solo da noi l'opt in?) e chiedere una modifica.
E poi, boh. Vedremo.

Grazie per il chiarimento Bsaett, in effetti specialmente per analytics è così (rileggeno l'ultimo chiarimento del garante - lo trovate sempre in questa discussione), ed è quindi necessario disattivare tutti i servizi aggiuntivi di analytics e anonimizzare l'IP (troncando l'ultima parte).

Pare basti aggiungere un parametro allo snippet analytics 'anonymizeIp' In ogni caso quello che sto vedendo è che per le attività che seguo (e parliamo anche di clienti finali molto importanti a livello nazionale), nessuno si sta adeguando in questo modo. Le agenzie non si preoccupano più di tanto quando sottopongo la gravità della questione e delle possibili sanzioni, la responsabilità viene ribaltata sugli studi legali.

Dal mio punto di vista vedo molto improbabile che il garante possa multare qualcuno perchè non maschera l'IP di analytics (intanto bisogna capire se c'è qualcuno atto a fare le dovute valutazioni che sappia ciò di cui parliamo, perchè mi pare che il garante stesso non sia tanto sul pezzo).

Ciò detto, per quanto mi riguarda, sui siti di mia proprietà sto aggiungendo ora il mascheramento (si sa come vanno le cose in Italia... se rubi una mela poi ti tocca il carcere )

Per i siti statici, senza form di iscrizione, pubblicità mirata od ecommerce... bisogna fare il banner per accettare i cookie?

@yabeforg said:

Per i siti statici, senza form di iscrizione, pubblicità mirata od ecommerce... bisogna fare il banner per accettare i cookie?

se non ci sono cookie no. Potrebbe esserci qualche cookie legato al dominio però, nel caso dovresti comunque indicarlo.

@wolgango_amadeo said:

se non ci sono cookie no. Potrebbe esserci qualche cookie legato al dominio però, nel caso dovresti comunque indicarlo.
come si capisce se ci sono dei cookies?

@yabeforg said:

come si capisce se ci sono dei cookies?

Trovi svariati metodi anche in questo thread. La soluzione migliore per me è quella di usare la console di chrome developer.chrome.com/devtools/docs/resources

oppure ancora meglio** firebug **su Firefox tab "Cookie" e *il comodissimo esporta tutti i cookie del sito in un file .txt *

Grazie mille!!

Ho trovato alcuni mie lavori che hanno dei cookie (pochissima roba)... non sapevo nemmeno.
Ma come posso eliminarli visto che non vorrei che ci fossero sui miei siti? Cioè come posso individuarli nel codice del template?

Se sono cookie di terze parti, l'unico modo è quello di rimuovere l'eventuale codice embed. Ci riferiamo in questo caso per esempio a social share button (esempio più comune I like facebook), oppure google maps o un video youtube embeddato. In questo caso se vuoi usare questi servizi non puoi fare a meno dei cookie.

Stesso discorso per cookie di dominio (alcuni registrant li utilizzano) : non puoi rimuoverli.

Se sono legati a funzionalità lato server invece, dovresti rimuovere queste funzionalità (p.e. login o altre funzionalità che registrano lo stato dell'utente).

Fondamentalmente però non ha senso rimuovere nessuno di questi, perchè inficierebbe il senso del sito web.
Ti conviene applicare la normativa e inserire un bel banner con relativa pagina informativa. Se invece proprio non vuoi / puoi ci sono diversi siti che offrono questo servizio (individuando tra l'altro tutti i cookie presenti), non ho idea di quali siano i costi. Se cerchi su google trovi sicuramente, io ne ho in mente uno (il più conosciuto), che però non cito perchè non mi va di fargli pubblicità gratuita

@ Bsaett, vorrei ringraziarti per il duro lavoro di divulgazione fatto in questi giorni.
Quando partiranno le nuove iniziative aggiornaci, visto che la situazione è ormai insostenibile.

Ormai credo di aver capito come adottare soluzioni tecniche (paranoiche quanto questa legge) per quasi tutti i problemi sollevati dalla Cookie Law italiana.
Il dubbio che mi resta (e la soluzione tecnica che mi manca) è nella documentabilità dell'avvenuto consenso.

Dobbiamo creare dei log dei consensi che recepiamo dagli utenti dei siti?
Come facciamo a dimostrare che abbiamo settato un cookie per l'acquisizione del consenso, a fronte di una segnalazione al Garante?
Grazie mille.

@Sideshow said:

Il dubbio che mi resta (e la soluzione tecnica che mi manca) è nella documentabilità dell'avvenuto consenso.

Dobbiamo creare dei log dei consensi che recepiamo dagli utenti dei siti?
Come facciamo a dimostrare che abbiamo settato un cookie per l'acquisizione del consenso, a fronte di una segnalazione al Garante?

Non credo serva, in quanto è replicabile in qualsiasi momento il processo di acquisizione del consenso.
Se c'è o ci sarà qualcuno preposto a controllare un sito, verificherà se i cookie verranno attivato o meno testando entrambe le modalità: assenso / rifiuto del trattamento. In base a questo dovrebbe decidere se multare o meno il meschino...

E' quanto inizialmente avevo capito anche io.

Il problema però è che a quel punto l'eventuale audit del Garante potrebbe accertare solo la sussistenza, nel momento in cui si tiene la verifica, di un corretto sistema di registrazione del consenso. Ma se la delazione dovesse essere riferita, chessò, a qualche mese prima rispetto alla data in cui l'Autorità commissiona la verifica, come dimostrare che (edit: il sito segnalato) era già in regola al momento dell'avvenuta violazione?

Ciao Slideshow, purtroppo la documentabilità dell'evento consenso è la novità dell'ultima intervista del funzionario del Garante. Ogni giorno si svegliano con una novità. Generalmente in sede giudiziaria si considera valido ai fini di prova la documentabilità del corretto funzionamento dello script. Se funziona si presume che abbia funzionato anche in quello specifico caso, fino a prova contraria.
In questo caso il Garante ha detto che occorre documentare l'evento. Come? Non lo ha detto.

@wolgango_amadeo said:

Se sono cookie di terze parti, l'unico modo è quello di rimuovere l'eventuale codice embed. Ci riferiamo in questo caso per esempio a social share button (esempio più comune I like facebook), oppure google maps o un video youtube embeddato. In questo caso se vuoi usare questi servizi non puoi fare a meno dei cookie.

Stesso discorso per cookie di dominio (alcuni registrant li utilizzano) : non puoi rimuoverli.

Se sono legati a funzionalità lato server invece, dovresti rimuovere queste funzionalità (p.e. login o altre funzionalità che registrano lo stato dell'utente).

Fondamentalmente però non ha senso rimuovere nessuno di questi, perchè inficierebbe il senso del sito web.
Ti conviene applicare la normativa e inserire un bel banner con relativa pagina informativa. Se invece proprio non vuoi / puoi ci sono diversi siti che offrono questo servizio (individuando tra l'altro tutti i cookie presenti), non ho idea di quali siano i costi. Se cerchi su google trovi sicuramente, io ne ho in mente uno (il più conosciuto), che però non cito perchè non mi va di fargli pubblicità gratuita

Wolgango GRAZIE! Sei stato molto chiaro e utile.

Mi resta ancora un dubbio: come posso dimostrare ad eventuali clienti che il loro sito andrebbe adeguato? Senza dover far installare addons o plugin... ci vorrebbe un sito che permette di inserire gli url, e premendo INVIO generi elenco di eventuali cookies utilizzati. Conoscete un servizio simile?

@yabeforg said:

Wolgango GRAZIE! Sei stato molto chiaro e utile.

Mi resta ancora un dubbio: come posso dimostrare ad eventuali clienti che il loro sito andrebbe adeguato? Senza dover far installare addons o plugin... ci vorrebbe un sito che permette di inserire gli url, e premendo INVIO generi elenco di eventuali cookies utilizzati. Conoscete un servizio simile?

sulla prima pagina se non erro sono stati indicati diversi servizi online (in questo momento sovraccarichi), cerca su google "cookie online checker" o qualcosa di simile.

Il mio consiglio personale è quello di non insistere con i clienti, ma di segnalare semplicemente la normativa direttamente sul sito del garante, comunicare l'obbligo di adattarsi ad essa ed eventualmente comunicare la propria disponibilità ad intervenire.

@wolgango_amadeo said:

Il mio consiglio personale è quello di non insistere con i clienti,

Quello certamente. Però oltre a contattarli per spiegare la situazione e "discolpandomi" dal fatto di usare cookies... vorrei anche dimostrare che effettivamente il loro sito ha dei cookies, provenienti da terze parti.

Scusatemi per questo piccolo OT, nei miei siti integro sempre [url=http://histats.com]histats.com come contatore delle visite... sapere dirmi se genera Cookie che devono essere segnalati? (L'ho usato [url=http://agadamedical.it]qui)

@bsaett said:

In questo caso il Garante ha detto che occorre documentare l'evento. Come? Non lo ha detto.

Abbastanza inquietante... e mooolto impattante.