@kal ha detto in Google Analytics è illegale in EU?:

Questo perché ti sei un po' fatto fregare secondo me

sicuramente, ma più cerco di capirci qualcosa e meno ci capisco...

È complicato, ma per fare una sintesi bisogna domandarsi: chi è il proprietario dei dati personali?

Il titolare del servizio hosting può accedere liberamente ai tuoi dati da contratto?

Se li hai salvati su un database a cui hai accesso e sei libero di copiarli, cancellarli etc... Allora sei a posto. Ovviamente sei responsabile di quello che succede ai dati raccolti, davanti a chi quei dati te li ha forniti.

Il proprietario dei dati (più che altro direi "responsabile") sarei io e ho accesso a tutti i files e database o email presenti sul mio account, tramite Plesk.
Se il servizio hosting possa accedere liberamente non me lo sono mai chiesto, ma potrei verificare. Il punto è che non hanno alcun interesse (è una piccola azienda, del titolare mi fido abbastanza anche se non lo conosco di persona) secondo me, ma mi rendo conto che il problema è legale, non "chi vuole fare cosa"

@kal ha detto in Google Analytics è illegale in EU?:

Iubenda fa parte di quella caratteristica di servizi che ti creano il problema e ti vendono la soluzione.

Ma è un'opinione personale.
@juanin ha detto in Google Analytics è illegale in EU?:
@kal nessuno ha fregato nessuno.

La nuova normativa prevede il registro dei consensi. Una cosa assurda che da gestire costa. E pure tanto purtroppo.
@robertosantoli ha detto in Google Analytics è illegale in EU?:
Il registro dei consensi è una invenzione di Iubenda che non trova nessun riscontro nei regolamenti gdpr aggiornati.

Ecco, ora sono più confuso di prima
Quindi ha senso o no pagare 'sto abbonamento mensile?
Alternative, cosa consigliate? Vedo iubenda dappertutto nel 90% dei siti che frequento!

@juanin ha detto in Google Analytics è illegale in EU?:

Poi tutti si preoccupano di sito, banner etc, ma quanti veramente segmentano tutto anche a livello di newsletter o mail dove ad esempio le statistiche di letture e click sono ad personam?
[...]
Quanti collegano CMP con CRM e piattaforme varie?

Esatto, è questo che intendevo

@marco-m ha detto in Google Analytics è illegale in EU?:

Quindi ha senso o no pagare 'sto abbonamento mensile?
Alternative, cosa consigliate?

La consulenza di un legale in carne ed ossa

È un una tantum e vale per tutti i siti con caratteristiche simili.

@marco-m per me basta l'abbonamento da 19 euro l'anno su Iubenda. Si deve configurare in modo certosino però

@juanin ha detto in Google Analytics è illegale in EU?:

Il garante non ha idea dell'impatto che tutte queste cose hanno in termini economici. A lui giustamente non interessa, ma è oggetti un problema anche perché vorrei capire quando e se mai farà dei controlli sensati e oggettivi visto che alla fine altrimenti vinceranno i furbetti e gli altri avranno solo buttato via soldi.

Giusto per la cronaca a tema furbetti ieri Telepass mi comunica via mail che, senza il mio consenso, mi ha iscritto a un programma che monitora i miei spostamenti e i loro tempi. a cui hanno allegato un cashback per ritardi, il loro testo, in fondo ad una lunga mail:

"Clicca qui se non desideri ricevere i cashback e non vuoi che i tuoi dati personali siano utilizzati da Telepass per il calcolo dei tuoi tempi di percorrenza delle tratte autostradali effettuato con modalità automatizzate in funzione del riconoscimento del cashback"

Perfettamente a norma proprio.

@kal l'ho letto anch'io qualche giorno fa e mi sono subito chiesto se non stia accadendo la stessa cosa che era accaduta ai tempi del GDPR. In fondo, credo che tutto questo sia dettato dalla necessità in Unione Europea di garantire maggiore privacy per i dati personali dell'utente, quindi questo aspetto deve essere regolamentato in qualche modo. Non sono un avvocato esperto in materia né un Chief Protection Officer, questa è solo la mia idea.
A mio avviso, Google dovrebbe rivedere le sue policy riguardanti la privacy per non correre il rischio di essere soppiantata da qualche nuova soluzione sul mercato. Cosa ne pensate?

@mgastaldi non è un problema di policy, ma di ordinamento legislativo USA.

In breve: in USA il Governo può spiare legalmente, con motivazioni vaghe e senza un mandato giudiziario i dati personali dei cittadini, su larga scala. E questo vale sia per i cittadini USA, che per gli stranieri.

Il punto problematico è qui.

Siamo nel territorio dei rapporti politici internazionali e difficilmente si troverà una soluzione che non coinvolga la politica ad alto livello.

@eleclipse ha detto in Google Analytics è illegale in EU?:

a a tema furbetti ieri Telepass mi comunica via mail che, senza il mio consenso, mi ha iscritto a un programma che monitora i miei spostamenti e i loro tempi. a cui hanno allegato un cashback per ritardi, il loro testo, in fondo ad una lunga mai

però è in UE

@luca ha detto in Google Analytics è illegale in EU?:

@eleclipse ha detto in Google Analytics è illegale in EU?:

a a tema furbetti ieri Telepass mi comunica via mail che, senza il mio consenso, mi ha iscritto a un programma che monitora i miei spostamenti e i loro tempi. a cui hanno allegato un cashback per ritardi, il loro testo, in fondo ad una lunga mai

però è in UE

Effettivamente sotto la giurisdizione del Garante italiano. E le segnalazioni sono gratis. Se è un'azienda grossa come Telepass, secondo me le prendono pure in debita considerazione.

Le preferenze per legge vanno registrate perché devono essere dimostrato in caso di esposto.

Quindi seppure una cosa assurda è teoricamente necessaria. Almeno per gli ultimi chiarimenti.
Poi per alcuni siti dove è necessario anche adeguarsi al TCF2 non si scappa se non passando per CMP certificate oppure te la fai in casa, ma non è una buona idea fare una cosa che non è il tuo mestiere visto che le regole cambiano ogni 10 giorni.

A ognuno il suo lavoro. Che sia poi un terzo a fare da garante secondo me è una cosa sensata.

@juanin ha detto in Google Analytics è illegale in EU?:

Le preferenze per legge vanno registrate perché devono essere dimostrato in caso di esposto.

Discutibile. In caso di esposto io ti dimostro che il meccanismo è basato sul dispositivo dell'utente e che se l'utente ha il cookie corretto il mio sistema lo recepisce come previsto.

Tenere un registro serve per gabbare l'utente finale che si lamenta "eh ma tu ci hai rilasciato il consenso in data tal dei tali, vedi? Risulta dal registro.".

Poi chissà se è vero.

Segnalo velocemente un post su LinkedIn di Kolja Siegmund (Lead Web Analyst a Just Eat), che riassume per me abbastanza bene i termini della questione:

https://www.linkedin.com/posts/koljasiegmund_standarderledigung-bescheid-activity-6888059899163529216-KGLO

@kal ciao
Io credo che si debba cercare la domanda prima della risposta.
A chi interessa il dato del singolo e i dati quando diventano vecchi?
Io penso che il controllo dei dati del singolo interessi ai governi che per la prima volta hanno un accesso "legale"a cosa fa e pensa il cittadino. Quando la politica usa quei dati gli effetti li abbiamo visti con la Cambridge analitica.

@infermieri-attivi ha detto in Google Analytics è illegale in EU?:

Io penso che il controllo dei dati del singolo interessi ai governi

Assolutamente sì ed infatti è proprio questo il punto contestato: il Governo USA si arroga il diritto di accedere legalmente ai dati dei cittadini. E non solo ai suoi cittadini... ma anche quelli di uno stato estero.

La sentenza Schrems II dice chiaramente che questa cosa è illegittima e strumenti di raccolta identificativi personali basati su cloud USA non possono operare liberamente in EU.

Vedremo che succede ora, perché come detto questa secondo me è solo la prima scossa di un vero terremoto...

@kal e chi esclude che io a random non faccia un meccanismo che cambia logica in quel caso?

E' proprio per questo che serve una terza parte per registrarlo altrimenti tu puoi manipolare qualsiasi cosa.

@juanin è chi installa lo script che decide.

Se io configuro lo script in modo che "qualunque cosa faccia l'utente, tu registra comunque il consenso", la terza parte riceve il consenso e lo mantiene.

Poi da lì hai voglia a dimostrare la gestione fraudolenta.

Oppure per farla ancora peggio, usi le API della CMP per validare il consenso in un momento successivo e totalmente lato server, in totale ignoranza dell'utente finale.

Il punto è: inserire una terza parte a gestire il registro dei consensi...

1. non è affatto una cosa a miglior tutela della privacy (anzi, è contrario al principio generale di "privacy by design") e
2. non valida alcunché (perché può essere comunque liberamente manipolata dalla prima parte)

Che sia utile utilizzarla in determinati contesti (grosso editore con molto programmatic da sfangare) lo capisco, ma non è affatto una cosa obbligatoria. Altre soluzioni sono permesse e restano comunque valide.

@kal eh no spe.

Durante la fase di registro viene memorizzata l'azione espressa come e dove con tanto di screenshot e registrazione per ogni azione.

Non puoi manipolarla affatto altrimenti saremmo tutti dei babbuini.

Non soffermarti al sito dove è agevole modificare le cose anche al volo, ma anche ad app native o simile dove se esci con una cosa manipolata e illegale devi fare nuovi rilasci e fai presto ad essere sgamato.

Insomma il fatto che ci sia una terza parte non è contrario a nessun principio. Basta farle per bene le cose. Una terza parte che consente la manipolazione andando contro proprio allo scopo che si prefigge farebbe di fatto decadere ogni minima credibilità su di essa. Sarebbe come dire ok autodistruzione.

Inoltre un conto è manipolare una cosa di prima parte.

Un conto è manipolare una cosa di terza parte dove in caso di contenzioso probabilmente rientrerebbe in audit e dunque poi se viene fuori che tu hai agito con dolo in manipolazione la questione si aggrava.

In generale avere un terzo certificatore o comunque che fa degli audit di corretta instrumentazione è prassi ed è normale per avere ulteriori garanzie di correttezza. Ti posso dire con certezza che su cose di cui non posso parlare dove è intervenuta agcom senza un auditor esterno delle realtà anche importanti avrebbero chiuso baracca e burattini non potendo essere considerata attendibile una autocertificazione di corretta implementazione.

@kal in effetti è come per tick rock. Però conoscere i gusti commerciali e usarli per fini politici quello dovrebbe essere illecito.
La domanda, qual è il confine di un uso lecito?
Poi la sentenza su GA si applica anche ai social che come vediamo sono usati anche a scopo politico? E i social hanno dati personali non solo su click di pagine viste, ma di opinioni personali e intime?

@juanin ha detto in Google Analytics è illegale in EU?:

Insomma il fatto che ci sia una terza parte non è contrario a nessun principio. Basta farle per bene le cose.

Per farle bene, aumenta il grado di complessità.

Ed in generale, in linea di principio, fornire dati personali a terze parti è in contraddizione con il principio di "privacy by design" in quanto lo stesso principio dice "se puoi, non condividerli". Vedi qua, in particolare il dettaglio:

In particular, such measures shall ensure that by default personal data are not made accessible without the individual's intervention to an indefinite number of natural persons.

E direi che i listoni di gestione del consenso affidati ad una terza parte non ricadono molto in questa casistica.

Poi che possa essere comodo e/o necessario lo capisco. Concordo anche al 100% con le osservazioni che fai sull'auditing e sul valore della presenza di un certificatore terzo (certificatore che dovrebbe essere indipendente e senza conflitti di interesse... ma qua divaghiamo troppo).

Ma, detto questo, non significa che il registro dei consensi sia per forza di cose obbligatorio (come i venditori del servizio vorrebbero far credere).

Senza contare poi che la sentenza del Garante austriaco di cui si parla in topic non impatta la questione del consenso... perché il trasferimento di dati EU -> USA rimane illegittimo a meno che non sia fatto in deroga secondo quanto espresso nell'articolo 49 della GDPR "Derogations for specific situations".

Questo articolo nomina sì la raccolta del consenso... ma per gestire delle eccezioni strettamente necessarie (es. un tour operator che fornisce i dati di prenotazione del suo cliente ad un hotel negli USA). Il tracciamento indiscriminato degli utenti verso cloud USA resterebbe illegittimo, consenso o meno.

@infermieri-attivi ha detto in Google Analytics è illegale in EU?:

Poi la sentenza su GA si applica anche ai social

La sentenza si applica a GA in quanto tecnologia di tracciamento, non riguarda i social... ma possiamo sicuramente generalizzare a qualunque tecnologia di tracciamento con le stesse caratteristiche (ovvero basata su cloud USA).

@kal ma infatti qui il consenso non centra però è stato tirato fuori quindi era giusto e doveroso evitare fraintendimenti.

A casa mia cmq una cosa è fintanto che non ti ritrovi nella cacca non è necessaria né obbligatoria. Poi quando ti ci ritrovi poi scopri che ti sarebbe servita. Perché per quanto il garante cerchi la buona fede, se la buona fede è dimostrata poi da fatti e certificatori è meglio.

Sul resto invece è ovviamente una situazione paradossale. Di fatto si dovrebbe davvero chiudere tutto e ciao lato servizi di terze parti. Volendo oltre agli approcci server side esistono pure approcci edge side per evitare totalmente la presenza di questi all'interno del sito e spostando la logica server side in edge.

Insomma fatta la legge trovato l'inganno.

Per me è solo politica per ora.

@juanin ha detto in Google Analytics è illegale in EU?:

Per me è solo politica per ora.

Sì, sicuramente c'è una dose largamente prevalente di politica.

Ma secondo me, tempo che le autorità garanti di varie nazioni EU iniziano a far fioccare sentenze simili, le cose potrebbero precipitare molto in fretta. E le sentenze arriveranno, perché come detto la sentenza Schrems II su cui quest'ultima del Garante austriaco si basa è veramente limpida nella sua sintesi.

A noi ci sembra tutto "business as usual" perché le piattaforme lo hanno preso in quel modo, ritoccando le privacy policy e facendo orecchie da mercante, sperando che assicurazioni commissionate ad astuti azzeccagarbugli bastassero allo scopo. Ma più leggo in giro e più mi convinco che sia un giochino dalle gambe corte.

Di fatto si dovrebbe davvero chiudere tutto e ciao lato servizi di terze parti.

Solo se questi stanno in USA, perché il problema è tutto lì.

Poi, certo, praticamente tutti i maggiori servizi di tracking e advertising stanno in USA... e noi ci siamo abituati bene perché "è gratis" (e del resto lo sappiamo che "quando qualcosa è gratis, il prodotto sei tu").

Ma che non fosse una situazione tanto sana era evidente secondo me.

Comunque sì, secondo me bisogna prepararsi a fornire delle alternative. Non saranno gratis, certo. Nemmeno il nostro tempo come professionisti è gratis. Ma chi si prepara prima, si troverà meglio poi.