@juanin ha detto in Google Analytics è illegale in EU?:

@robertosantoli ha detto in Google Analytics è illegale in EU?:

Il registro dei consensi è una invenzione di Iubenda che non trova nessun riscontro nei regolamenti gdpr aggiornati.

Il GDPR dice questo e lo dice da sempre quindi non capisco perché voi dite che non sta da nessuna parte.

Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.

Quindi questo ha tutta l'aria di essere quello che Iubenda chiama registro dei consensi. I chiarimenti del garante italiano hanno poi confermato questa cosa a livello abbastanza definitivo ed è stato pure reinvigorito nelle ultime linee guida che delineano con chiarezza che il consenso debba essere "adeguatamente registrato" per dimostrarne la validità.

Poi per carità. Ognuno è libero di interpretare questa cosa a modo suo, ma non vi auguro di avere un contenzioso se non avete un minimo straccio di traccia dei consensi raccolti.

Diciamo che è un po' la stessa logica con cui uno fa una assicurazione contro le grandinate o sulla vita. E' un costo finché non ti capita niente. Siamo allo stesso livello.

Certo. Sui miei siti l'ho attivato avendolo nell'abbonamento lifetime ma covo ancora dei dubbi se sia effettivamente una soluzione valida.

@robertosantoli che sia valida o meno è un altro discorso però.

Non discuto la validità dell'implementazione, ma discuto il fatto che si neghi su tutta la linea la necessità che il consenso vada registrato. Un po' forte come affermazione se andiamo a leggere le scartoffie reali.

Poi uno può farselo tranquillamente in casa. Ma te lo devi fare e te lo devi gestire

Quindi bisogna valutare se conviene pagare qualche spicciolo o svilupparselo.

Anche perché dal GDPR è chiaramente scritto che perché un consenso sia valido è conditio sine qua non la sua dimostrabilità. Poi io non sono un legale, ma almeno da quello che leggo non mi pare un punto discutibile. C'è scritto.

@juanin ha detto in Google Analytics è illegale in EU?:

Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.

Quindi questo ha tutta l'aria di essere quello che Iubenda chiama registro dei consensi.

A me sembra scritto in modo talmente generico, che qualunque soluzione tecnica che ti permetta di dimostrarlo va bene.

Anche perché, detto tra noi... le CMP comunque per salvare la preferenza in corrispondenza del client si basano su cookie. Quindi alla fine sempre lì torniamo: ad un cookie salvato sul browser dell'utente.

E se il client cancella i cookie, tu sulla tua CMP hai un bel record che non corrisponde più a nulla... e tanti saluti alla dimostrazione di alcunché.

Ah, visto che siamo a tema, bonus: https://www.technologylawdispatch.com/2021/12/privacy-data-protection/german-court-prohibits-u-s-data-transfers-in-cookiebot-decision-why-this-decision-is-special-and-should-alert-but-not-upset-your-organization/

@kal eh no mio caro non sono d'accordo

Mi dispiace. Se uno ti fa un esposto perché ritiene che il consenso verso di lui non sia stato rispettato nei casi in cui non ci sia registrazione utente allora è in capo a lui portare le prove e dunque il suo cookie dove lui in tale data ha rifiutato, ma io lo profilo lo stesso. E per farlo dovrà mostrare il suo cookie id, con i data purpose che lui ha accettato/rifiutato e quindi devi portare evidenza di quello specifico cookie che io nel mentre ho registrato con tutte le annesse e connesse.

Generico. Vero. Ma dire che il tuo meccanismo funziona correttamente non è una prova perché nella data in cui la persona dimostra che non è così se tu non hai un registro archiviato non puoi assolutamente confutare l'accusa.

@kal ha detto in Google Analytics è illegale in EU?:

Ah, visto che siamo a tema, bonus: https://www.technologylawdispatch.com/2021/12/privacy-data-protection/german-court-prohibits-u-s-data-transfers-in-cookiebot-decision-why-this-decision-is-special-and-should-alert-but-not-upset-your-organization/

ecco questa è interessante. Come dicevo sopra...come la mettiamo con le CDN? Questo sarà un bel nodo da sciogliere.

@juanin ha detto in Google Analytics è illegale in EU?:

Mi dispiace. Se uno ti fa un esposto perché ritiene che il consenso verso di lui non sia stato rispettato nei casi in cui non ci sia registrazione utente allora è in capo a lui portare le prove e dunque il suo cookie dove lui in tale data ha rifiutato, ma io lo profilo lo stesso. E per farlo dovrà mostrare il suo cookie id, con i data purpose che lui ha accettato/rifiutato e quindi devi portare evidenza di quello specifico cookie che io nel mentre ho registrato con tutte le annesse e connesse.

Ma sì, appunto come dicevo sopra: è solo un sistema difensivo per pararsi il culo davanti a contestazioni.

@juanin ha detto in Google Analytics è illegale in EU?:

Come dicevo sopra...come la mettiamo con le CDN? Questo sarà un bel nodo da sciogliere.

Io la vedo "semplice". La questione si risolve in modo definitivo solo se:

1. gli USA cambiano legislazione (molto difficile)
2. i vari fornitori USA per salvare il soldo non trovano il modo di dislocarsi fisicamente in EU come azienda separata non soggetta al diritto USA (anche questa molto difficile ma più probabile)

Altre soluzioni saranno inevitabilmente un cimitero di sentenze e provvedimenti nei prossimi anni.

(a margine: ma che figo assoluto è Schrems? Addirittura gli hanno intestato le sentenze, ha combinato un casino allucinante...!)

@kal ha detto in Google Analytics è illegale in EU?:

(a margine: ma che figo assoluto è Schrems? Addirittura gli hanno intestato le sentenze, ha combinato un casino allucinante...!)

Aggiornamento, sul Blog di Google oggi se ne escono con una perla:

It’s time for a new EU-US data transfer framework
If you rely on an open, global internet, you’ll want the European Union and the U.S. government to agree soon on a new data framework to keep the services you use up and running.
https://blog.google/around-the-globe/google-europe/its-time-for-a-new-eu-us-data-transfer-framework/

Hmmm...

Dopo due anni passati a non fare letteralmente nulla, ora che i nodi arrivano al pettine... ha un po' il suono di una resa.

Dato che il problema è sia economico che politico-diplomatico, il gigante incapace di agire invoca l'intervento della politica.

Che è come dire: noi non abbiamo intenzione di cambiare infrastruttura o modificare la raccolta dei dati. Che si mettano d'accordo le autorità regolatorie. Tanto non è solo un problema nostro, muoia Sansone con tutti i Filistei.

Ora, le autorità regolatorie EU sono elefantiache e non muoveranno certamente un dito (vi ricordate Brexit?). Le sentenze ci sono ed è chiaro a tutti che stanno per partire sanzioni a raffica, in più paesi europei. Più passa il tempo e più il rischio si alza. Per tutti.

Le autorità USA che faranno? Staranno anche loro a guardare, credo. Alla fine è un problema dei privati...

Io vedo all'orizzonte:

1. sempre più sanzioni che metteranno al bando GA per i siti dell'EU
2. sempre più clienti ci contatteranno per liberarsi di GA, sull'onda delle suddette sanzioni

Piaccia o no, credo che questo sarà quello che dovremo aspettarci nel corso dei prossimi 12-18 mesi.

Ah, esiste il rischio concreto che le stesse sentenze si estendano a tools adiacenti come le conversioni/remarketing di Google Ads, il Pixel di Facebook... e potenzialmente (mi rendo conto che sarebbe un'apocalisse vera, ma la possibilità c'è) anche lo stesso Google Tag Manager (che comunque raccoglie l'indirizzo IP degli utenti che scaricano la libreria... anche se questo può essere probabilmente risolto proxandola lato server).

Io la vedo grigia.

Probabilmente anche i business model basati sulla pubblicità saranno fortemente a rischio se questa roba passa veramente.

Diventa tutto illegale in sostanza.

Non so se veramente ci guadagnerà qualcuno da questa cosa. Credo proprio di no.

@juanin il punto è che questa roba è già passata. La sentenza Schrems II è del luglio 2020, ormai quasi due anni fa.

La vera domanda è: perché finora non abbiamo fatto nulla di nulla?

Forse Google e l'autorità legislativa USA pensavano davvero che era tutta una finta?

E soprattutto: noi ce la siamo davvero bevuta così?

@juanin ha detto in Google Analytics è illegale in EU?:

Non so se veramente ci guadagnerà qualcuno da questa cosa. Credo proprio di no.

L'atteggiamento di Google è chiaramente "muoia Sansone con tutti i Filistei". Abusa (tanto per cambiare) della sua posizione dominante per minacciare velatamente di tirare giù tutto il mercato dietro di lui.

A me sinceramente questa arroganza da un po' fastidio ed onestamente sono molto curioso di vedere che succede.

La storia recente (non ho citato Brexit per caso) insegna che non puoi davvero pensare di ingaggiare una battaglia muscolare con le istituzioni europee.

Sarai anche un leone con le zanne aguzze, ma l'elefante che vorresti aggredire pesa tonnellate.

@juanin ha detto in Google Analytics è illegale in EU?:

Io la vedo grigia.

Lo è.

@kal al momento non sono sentenze sono provvedimenti quindi non hanno alcun valore legale. Ora dovranno andare in causa e vedere se le osservazioni verranno accolte.

Quindi per ora di sanzioni e di cambiamenti alla normativa non ce ne sono.

Soprattuto facciamo attenzione che tutti parlano di sanzioni a google, ma in realtà la GDPR punisce l’esportatore, non l’importatore. Google in questo caso è importatore mentre il proprietario del sito è l’esportatore

@filtro verissimo, non per nulla sopra scrivevo:

Io vedo all'orizzonte:

1. sempre più sanzioni che metteranno al bando GA per i siti dell'EU
2. sempre più clienti ci contatteranno per liberarsi di GA, sull'onda delle suddette sanzioni

Scenario realistico.

@kal vediamo se è quando arriveranno le sanzioni sono diversi gradi di giudizio e diversi anni di tribunale

@filtro per arrivare sul mercato reale e gettare scompiglio bastano un po' di provvedimenti a pioggia. E le basi giuridiche per questi provvedimenti abbiamo visto che ci sono.

E a rischio di suonare noioso: non c'è solo GA. Di tracker basati su cloud USA che ne sono uno strafotto.

Io non sono ottimista sinceramente.

Domanda da ignorante: questa cosa può avere ripercussioni anche su tutti i servizi che appoggiano dati europei su server US? Tipo Dropbox, mailchimp, ecc..?

@jabba la risposta breve è "sì".

Ad esempio, su MailChimp c'è questa recentissima: https://edpb.europa.eu/news/national-news/2021/bavarian-dpa-baylda-calls-german-company-cease-use-mailchimp-tool_en

Sarebbe veramente l'apocalisse... vediamo che salta fuori

@jabba ha detto in Google Analytics è illegale in EU?:

Sarebbe veramente l'apocalisse... vediamo che salta fuori

La parte buffa di tutta sta faccenda è che l'apocalisse c'è già stata... un anno e mezzo fa. Sembra che caschiamo tutti dal pero, ma la sentenza Schrems II è di luglio 2020!

@kal ma non è questione di essere ottimista o meno e che parliamo di lana caprina in alcuni casi è quando si va a processo conta la capacità dei vari avvocati.

Facciamo un esempio il garante austriaco ritiene che l’anonimozzazione che fa google del
Ip non sia sufficiente perché google avendo visto l’ip potrebbe avere una facile mappa di decodifica, però google dichiara di cancellare le ultime 4 cifre quindi puoi avere la mappa di decodifica che vuoi e ti sfido a ricostruire l’ip originale.

Se ci sarà un processo i tempi saranno lunghi. Aspettiamo e vediamo. È un precedente ma di cose ne possono ancora capitare

@filtro la sentenza austriaca sostanzialmente prende in considerazione l'indirizzo IP solo come una delle componenti della digital fingerprint, in associazione con i cookie client ID e l'user agent.

Sai bene quanto me che per Google fare cookie reconciliation tecnicamente è un gioco da ragazzi. Controlla da solo il 70% degli User Agent sia mobile che desktop... (e nel caso del mobile, l'utente è permanentemente loggato sull'account Google).

Saran bravi quanto vuoi sti avvocati, ma il materiale fondato tecnicamente c'è eccome.