@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

EDIT mi rispondo da solo, c'è la premessa (42) che recita "Where processing is based on the data subject's consent, the controller should be able to demonstrate that the data subject has given consent to the processing operation."

Nessuno ha detto che serve una CMP. Lo stai dicendo tu. Io ho solo detto che va registrato. E per registrarlo devi identificarlo in qualche modo...quindi torna la conclusione della mia prima risposta. Per rispettare il GDPR devi andare contro il GDPR. Fine.

@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Se l'utente ha il cookie sul dispositivo, allora ha dato il consenso.

Sta cippa.

@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Hai un link?
EDIT mi rispondo da solo, c'è la premessa (42) che recita "Where processing is based on the data subject's consent, the controller should be able to demonstrate that the data subject has given consent to the processing operation."

https://connect.gt/topic/247643/google-analytics-è-illegale-in-eu/44

@filtro ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

TCF non è un prodotto è un protocollo su cui puoi creare prodotti

E allora perché è stata multata IAB Europe per un "protocollo"?

Guarda che il punto contestato è proprio che IAB Europe sarebbe un Joint Controller.

Cito dal provvedimento:

In these proceedings, the Inspection Service focused its investigation exclusively on IAB

Europe, which the Inspection Service identified as the data controller for the TCF. The

Inspection Service supports this initial finding with the fact that IAB Europe developed the

TCF, with which IAB Europe imposes binding rules on participating organisations. According

to the Inspection Service, these binding rules relate in particular to the processing of

personal data in the context of the collection and processing of consent, as well as the

preferences of online users, regarding processing purposes and authorised adtech vendors.

The Inspection Service bases its report on two technical analyses related to the Open

Realtime Bidding API Specification of IAB Europe, as well as the different mechanisms

under the OpenMedia specification of IAB Tech Lab, including the Transparency and

Consent Framework developed by IAB Europe jointly with IAB Tech Lab22

With regard to the OpenRTB protocol, the Inspection Service concludes that IAB Tech Lab,

which developed this open technical standard and is based in New York (USA), merely acts

as a provider of the system with respect to participating organisations and therefore cannot

be considered a data controller. In contrast to the TCF, the OpenRTB allows the processing

of personal data in accordance with means and purposes entirely determined by the

participating organisations, but not by IAB Tech Lab.

Qua abbiamo un gestore tecnico in tutta la sua scintillante presenza. Non è solo un "protocollo". Altrimenti non gli avrebbero contestato il ruolo di jount controller.

@filtro ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Alcuni tuoi commenti sono sempre più da troll a mio parere che vere discussioni. Stai cancellando dettagli per perorare la tua idea.

Ma se sto linkando tutto con sovrabbondanza di fonti, dai!

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Per rispettare il GDPR devi andare contro il GDPR. Fine.

None, perché il cookie di accettazione del consenso è considerato cookie necessario. E nel cookie di accettazione tra l'altro non ci sono informazioni personali, è un semplice cookie booleano.

E se il cookie booleano è settato su "Yes" e tu eroghi i banner personalizzati solo se il cookie booleano è settato su "Yes", allora hai dimostrato esattamente quanto richiesto dalla legge.

@kal ma santo cielo. Se il consenso deve essere dimostrabile lo devi registrare quindi in quel cookie in qualche modo ci devi mettere un id che identifica l'apposizione di tale consenso.

Se quel cookie si chiama con un nome uguale per tutti e c'è solo yes tu non puoi proprio dimostrare niente in caso di contenzioso.

Fine.

Se non è così devono cambiare le condizioni per il consenso. Il solo fatto di dimostrare che il tuo applicativo il giorno del controllo si comporta bene non dimostra proprio niente. Ma non mi pare ci sia da discutere ulteriormente sulla cosa.

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Se quel cookie si chiama con un nome uguale per tutti e c'è solo yes tu non puoi proprio dimostrare niente in caso di contenzioso.

Puoi certamente dimostrare oltre ogni ragionevole dubbio che quel cookie era sul browser al momento della hit adv, assieme con il cookie identificativo associato al profilo utente.

Il cookie booleano alla fine è un pulsantino sì/no. Se il pulsantino è settato sul sì, hai già la piena legittimità, perché è settato sul client che in quel momento sta facendo la request all'adserver.

A me sembra che su sto argomento ci si voglia proprio complicare la vita...

@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

assieme con il cookie identificativo associato al profilo utente.

Attenzione tu potresti proprio non avere alcun profilo utente se il tuo sito non ha utenti registrati. Quindi stai ragionando partendo da uno scenario solamente. Che non è affatto la normalità per la maggior parte dei siti che non siano Google o Facebook.

Se ho tutti gli utenti registrati il problema non si pone. Ho già il database che mi ha registrato i suoi consensi e anche qui il cookie non basta, perché altrimenti a ogni login su ogni device dovrei sempre richiedergli le preferenze. E da un punto di vista di UX è impensabile.

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Attenzione tu potresti proprio non avere alcun profilo utente

C'è l'ID del cookie di terza parte, è equivalente. Anzi, è proprio il punto della questione.

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Se ho tutti gli utenti registrati il problema non si pone.

Sì, in questo caso sì. Ma lì il "registro" è perfettamente legittimo e anzi davvero necessario, perché li stai archiviando per permettergli di accedere alle funzionalità dell'area privata.

@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

C'è l'ID del cookie di terza parte, è equivalente. Anzi, è proprio il punto della questione.

Secondo me non ci capiamo. E' proprio quello che ti serve per tenere un consenso registrabile e dimostrabile, ma al netto che sia di prima o terza parte. Ti serve lo stesso. Quindi anche prima o dopo il consenso lo stai comunque tracciando.

Lo vuoi capire o no che è un gatto che si morde la coda?

@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Qua abbiamo un gestore tecnico in tutta la sua scintillante presenza. Non è solo un "protocollo". Altrimenti non gli avrebbero contestato il ruolo di jount controller.

TCF è un framework, gli stanno contestando una funzionalità del framework in cui vengono raccolti i dati in un unico punto.
Hai mai visto una Consent Management Platform sviluppata dalla IAB?
TCF è un framework che una Consent Management Platforom (prodotto) può utilizzare o meno.
E la stessa differenza che c'è tra OpenGL ed i videogiochi che usano OpenGL per funzionare.
Ma non puoi chiamare framework un prodotto. E tu dicevi che il consorzio doveva sviluppare un prodotto, il consorzio può sviluppare protocolli, framework, ma non prodotti.
Stai facendo la stessa confusione di quelli che chiamano la privacy sandobox di google il nuovo prodotto per la privacy di Google, ed invece è un insieme di proposte di protocolli e soluzioni. Il prodotto sarà nel caso google Chrome quando tali protocolli e framework verranno venduti.
@kal questo è italiano nulla di più, il comportamento da troll è quello di negare rigirando la frittata, poco cambia.

Hai anche dichiarato che lo IAB secondo te è in conflitto di interessi perché accoglie tra i soci gli esponenti della tecnologia, di cosa stiamo parlando.

Stai contestando anche @juanini come CTO di un publisher grande per il mercato italiano, membro di varie associazioni di settore ha sicuramente affrontato il tema GDPR e consenso in ambiti più complessi di quelli che hai affrontato tu e vuoi portare la tua visione come la visione assoluta, quando @juanin ti sta dicendo se ti chiedono di dimostrare che quell'utente ha il consenso lo devi registrare e tu rispondi basta che dimostro che il sistema funziona in generale facendo vedere che ho i flag.

Già in altri tread ti ha detto che in ambiti complessi dove ci sono audit tale visione non può funzionare perché non supererebbe la compliant, eppure insisti dicendo che è così ed attaccandoti alla tua visione di dimostrabile. Che oltretutto va al di là di tutte le piattaforme di Consent Management Platform più importanti sul mercato che tengono un registro dei consensi, quindi o siamo tutti deficienti o forse la tua visione non è applicabile ovunque

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Per gestire questo di fatto lo devi identificare in qualche modo.
Quindi di fatto la direttiva che ti impone le regole viola essa stessa il GDPR.
Questo è quanto. Punto. Sono finiti in un loop.

Questo riassume tutta la discussione.

Lo vuoi capire o no che è un gatto che si morde la coda?

Questa è la versione breve.

@filtro ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

TCF è un framework, gli stanno contestando una funzionalità del framework in cui vengono raccolti i dati in un unico punto.
Hai mai visto una Consent Management Platform sviluppata dalla IAB?
TCF è un framework che una Consent Management Platforom (prodotto) può utilizzare o meno.
E la stessa differenza che c'è tra OpenGL ed i videogiochi che usano OpenGL per funzionare.

E allora se è così non ci sono le basi per la contestazione come Joint Controller. Sul provvedimento leggo i riferimenti ad un'analisi tecnica che però non si trova. Vedremo che succede nel ricorso. Mi rimane il dubbio che se sia una cosa così banale, perché allora gliel'abbiano contestata.

(Anche se leggo commenti che sostanzialmente dicono "se il sistema l'hanno disegnato loro... ed il sistema è fallato in fase di progetto... allora sono responsabili perché la GDPR impone la Privacy by Design. Vedremo se è così...)

Ma non puoi chiamare framework un prodotto. E tu dicevi che il consorzio doveva sviluppare un prodotto, il consorzio può sviluppare protocolli, framework, ma non prodotti.

Un consorzio può fare qualunque cosa con il mandato degli associati. Se non sviluppa prodotti è perché non c'è la volontà politica di farlo. Chiaro che se hai al tuo interno fornitori di tecnologia questa cosa è politicamente impossibile. Ma andiamo oltre.

@filtro ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Già in altri tread ti ha detto che in ambiti complessi dove ci sono audit

Vogliamo parlare del fatto che IAB non può tecnicamente fare audit di nulla?

Il problema di fondo è che non c'è alcun interesse nel fare le cose con trasparenza.

Ma hai idea di quanto costa sviluppare tecnologia?

Hai idea di quanto costa fare audit seri?

Secondo te IAB ha i soldi per imbarcarsi in questa cosa? E' difficile mettere d'accordo le teste dentro un'azienda di 30 persone figurati in un consorzio con un sacco di differenti aziende dentro.

Ci vogliono soldi per fare queste cose. Soldi che dubito ci siano.

@sermatica è un loop solo perché si insiste nel gestire la cosa in modo illegale.

Qua qualche altro spunto: https://www.linkedin.com/pulse/problem-consent-management-platforms-unlawful-design-alexander/?trk=public_post-content_share-article

Il punto chiave:

This is the critical step - if the user does not consent to anything - DO NOT SET A COOKIE - setting a cookie saying the user hasn't consented is a breach of the ePrivacy Directive because (a) it is storage of information on the terminal equipment; and (b) it is not necessary. Why is it is not necessary? Because under the law the default is NO UNNECESSARY STORAGE which means if the user doesn't consent to anything there is no need to store anything - the absence of a preference cookie is enough to determine not to load any of these tracking technologies - only IF the end user consents to one or more of these technologies is a cookie needed.

E il relativo rovescio della medaglia:

If the user DOES consent to certain technologies - then feel free to set a preference cookie and then load the technologies which have been permitted - do not load any of those technologies until consent has been obtained.

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Ma hai idea di quanto costa sviluppare tecnologia?

Hai idea di quanto costa fare audit seri?

Secondo te IAB ha i soldi per imbarcarsi in questa cosa? E' difficile mettere d'accordo le teste dentro un'azienda di 30 persone figurati in un consorzio con un sacco di differenti aziende dentro.

Ci vogliono soldi per fare queste cose. Soldi che dubito ci siano.

Lo capisco e lo accetto.

Non è GA ma può essere relativo al discorso:

In Germania hanno multato un sito per l'uso improprio di Google font (Una multa simbolica), penso sia la prima multa di questo tipo di cui sento parlare.

(https://thehackernews.com/2022/01/german-court-rules-websites-embedding.html)

@eleclipse ne abbiamo già parlato qua https://connect.gt/topic/247793/usare-google-fonts-viola-il-gdpr

@kal ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

Qua qualche altro spunto: https://www.linkedin.com/pulse/problem-consent-management-platforms-unlawful-design-alexander/?trk=public_post-content_share-article

Allora torniamo al principio.

Questo è proprio quello che io dissi a @filtro al festival. Di fatto il cavallo di troia diventano quegli strumenti che servono proprio ad adempiere.

E fin qui siamo tutti d'accordo che se la vogliamo vedere da quel punto di vista potremmo anche essere d'accordo. Però il compito di queste CMP sempre in linea teorica non è quello di tracciare i cristiani, ma di fornire strumenti tecnici per la gestione degli aspetti appunto legali. Adempimenti richiesti dalla direttiva stessa.

Questo cookie che potremmo definire "Tecnico" perché di questo stiamo parlando. Le CMP non fanno profilazione (in teoria), non sparano ADV (in teoria), non fanno nulla di nulla di quello per cui qui c'è un capo di accusa. Ti informano solo sul consenso che quel browser (attenzione browser non persona) ha registrato.

In Italia almeno fino a qualche mese fa si poteva sì essere compliant anche senza registrare un cookie pre-azione, semplicemente perché la non scelta veniva considerata appunto come non scelta, e in assenza di scelta tu riproponevi il banner di informativa.

Da gennaio però questo non è possibile. Infatti la non scelta equivale a un rifiuta e di conseguenza io devo in qualche modo annotare che tu hai continuato la navigazione salvandomi l'informazione di rifiuto.

Come la giri e la svolti anche se uno rifiuta devi annotarti qualcosa. E per avere un valido consenso anche in caso di rifiuto te lo devi annotare. Fine. Altrimenti andresti contro la regola proponendo a oltranza il banner.

Se si guarda con attenzione non è difficile da capire.

Ma poi il punto lo sappiamo tutti che è facilmente raggirabile proxy passando tutto e facendo il modo che questo cookie sia un cookie tecnico di prima parte e il gioco è finito.

Ma siamo seri però. Perché fare un circo simile quando non avviene nella fattispecie alcuna violazione di privacy? E' questo che fa ridere.

L'intento vero è quello di tutelare la privacy oppure è quello di fare le pulci a tutti per vendersi come consulente come questo tipo di cui hai linkato il post?

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

L'intento vero è quello di tutelare la privacy oppure è quello di fare le pulci a tutti per vendersi come consulente come questo tipo di cui hai linkato il post?

c'è bisogno di farsi la domanda? Le aziende che seguo sono pedinata da avvocati per farsi pagare somme alte molto alte per fare cosa, per tutelare noi persone o semplicemente per avere un pezzo di carta per sperare che poi ti dicono vabbè almeno ci hai provato

@juanin ha detto in Il Garante Privacy del Belgio multa IAB Europa per 250.000€ a causa di TCF:

L'intento vero è quello di tutelare la privacy

Al netto di posizioni personali come quella del tizio o anche la mia, l'intento del legislatore è quello di limitare e regolamentare tecnologie e pratiche di spionaggio digitale di massa.

La scala del problema non è affatto secondaria nel giudizio complessivo.

Una piccola violazione della privacy se fatta a centinaia di milioni di persone diventa una violazione enorme.

Vedremo che succede ora, ma secondo me possiamo aspettarci molte altre situazioni simili.