Come tracciare i consensi

Ciao Marco,
dagli ultimi chiarimenti del Garante leggo:

*** generare un evento, registrabile e documentabile presso il server del gestore del sito (prima parte), che possa essere qualificato come azione positiva dell’utente.

Per come ho interpretato io questa frase, si intende il cookie impostato dal plugin che evita di riproporre l’informativa alla visita successiva.

Ora, di preciso il garante cosa ha precisato? In che termini può chiedere un utente traccia del suo consenso?

Ciao,

assieme ad un mio cliente ho approfondito la questione attraverso contatti telefonici informali con personale dell’Ufficio del Garante della Privacy per meglio chiarire alcuni aspetti marginali ma significativi sulla cookie policy, con particolare riferimento al provvedimento “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – 8 maggio 2014”; nel quale al punto 4.1 è stata ribadita l’assoluta necessità (dunque un obbligo e non una possibilità o una scelta dell’Editore) che “è necessario in ogni caso che dell’avvenuta prestazione del consenso dell’utente sia tenuta traccia da parte dell’editore, il quale potrebbe a tal fine avvalersi di un apposito cookie tecnico, sistema che non sembra particolarmente invasivo (in tal senso, si veda anche il considerando 25 della direttiva 2002/58/CE)”.

A tal fine, seppure il personale dell’Ufficio del Garante della Privacy non mi abbia saputo fornire esempi di eventuali plugin di cookie od implementazioni idonei al soddisfacimento di tale necessaria e vincolante azione per ottemperare al succitato Provvedimento, mi ha ribadito la necessità del tracciamento; devo poter, a richiesta di ogni singolo utente che ha avuto accesso al mio sito dalla home page, saper comunicare l’esistenza o meno di tali dati dell’utente (consenso) e, se richiesto, poterne disporre la cancellazione o la correzione (IP del richiedente dinamico o fisso).

Dunque il problema di cui si chiede soluzione è:

1) Come posso aver accesso a questi dati, essendo custoditi presso il server del web provider ma non direttamente visibili, e a renderli disponibili per capire se un utente ha dato il consenso? Basterebbe l’ ip, l’ora del consenso.

2) come posso, di fronte ad una richiesta leggittima dell’utente di far valere i propri diritti in termini di privacy, procedere alla sua cancellazione?

Basterebbe un bel pulsante riferito all’ ip per la cancellazione del consenso nel backend.

Nelle FAQ del Garante https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3585077 al punto 10, viene anche riferito che “In presenza di tale documentazione (tracciamento dell’editore del consenso, ndr), non è necessario che l’informativa breve sia riproposta alla seconda visita dell’utente sul sito, ferma restando la possibilità per quest’ultimo di negare il consenso e/o modificare, in ogni momento e in maniera agevole, le proprie opzioni, ad esempio tramite accesso all’informativa estesa, che deve essere quindi linkabile da ogni pagina del sito.”.

Dunque la possibile soluzione del bypassare il problema chiedendo ogni volta il consenso non è considerata soddisfacente la norma, perchè viene comunque richiesto il tracciamento. E’ stato ribadito anche il 4 giugno u.s. dal Garante (“Per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l’informativa breve alla seconda visita dell’utente.”) [fonte https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3167231%5D.

Di fronte ad un eventuale contestazione da parte del Nucleo Privacy della Guardia di Finanza, risulterebbe difficile addurre giustificazioni in tal senso, anche perchè il demandare eventuali responsabilità al server provider, non costituirebbe causa di giustificazione ad un’inosservanza, seppure di natura colposa, di quanto imposto, con conseguente irrogazione della sanzione amministrativa pecuniaria.

Resto in attesa di cortese di un tuo riscontro ed eventuale implementazione di idonea funzione atta al soddisfacimento dei requisiti minimi stabiliti dal Garante.

1. Come posso aver accesso a questi dati, essendo custoditi presso il server del web provider ma non direttamente visibili, e a renderli disponibili per capire se un utente ha dato il consenso? Basterebbe l’ ip, l’ora del consenso. I dati sono custoditi attraverso un cookie tecnico nel client (browser) dell’utente. Il proprietario del sito non conosce chi e quando ha dato il consenso.
2. Come posso, di fronte ad una richiesta leggittima dell’utente di far valere i propri diritti in termini di privacy, procedere alla sua cancellazione? Il plugin mette a disposizione lo shortcode [cookie-control] per permettere all’utente di revocare in modo autonomo il consenso dato ai cookie. Il proprietario del sito non conosce chi revoca il consenso e quando ha revocato il consenso

• Per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico – il plugin si avvale di un cookie tecnico, depositato sul client, per tracciare il consenso. Lo stesso cookie viene utilizzato per definire, di volta in volta, se l’utente ha dato o meno questo consenso.
• Di fronte ad un eventuale contestazione da parte del Nucleo Privacy della Guardia di Finanza, risulterebbe difficile addurre giustificazioni in tal senso – No, non hai la prova che un utente ha dato il consenso. Ma anche aggiungendo un sistema di log potresti al massimo avere l’IP dell’utente e l’ora. E’ la prima volta però che sento una considerazione simile. Tu presupponi che un utente possa contestare di avere ricevuto cookie senza dare il consenso. A questo punto però dovrebbero scattare i controlli sul tuo sito (se è a norma o meno nel momento del controllo) e non rispetto a un qualcosa avvenuto in passato. Quindi la contestazione dovrebbe essere “Il tuo sito produce cookie senza averli accettati” e non “Ti contesto che IO ho ricevuto cookie senza consenso”. Anche perché il secondo caso lo vedrei comunque abbastanza assurdo, visto che i cookie posso eliminarli quando voglio. Ergo le sanzioni dovrebbero, come già detto, essere fatte limitatamente alla correttezza o meno del sistema in sede di verifica da parte delle autorità

Ignorate il post Marco Milesi è stato più rapido di me nello scrivere

Ciao Marco (entrambi)
io non ho parlato con il garante ma ho visto molti script e nessuno prevede la registrazione del consenso su un db, tutti utilizzano un cookie tecnico. Anche perchè tenere traccia di un guest con ip dinamico è praticamente impossibile a mio avviso.

1. Il cookie tecnico viene salvato nel client e non nel server, quindi la parte del tracciare il consenso da parte dell’utente a mio avviso viene rispettata e grazie al cookie l’informativa breve non viene più presentata.

2. dare all’utente la possibilità di negare il consenso e/o modificare, in ogni momento e in maniera agevole, le proprie opzioni, anche in questo caso con lo shortcode cookie-control si da la possibilità all’utente di cancellare il proprio consenso in modo veloce.

Quindi da come la leggo io la normativa il plugin rispetta i requisiti minimi, se vogliamo fare una finezza Marco Milesi necessita registrare nel cookie anche tutti gli ip di accesso dell’utente, ma se questo utilizza un sistema di cancellazione cookie queste info verranno perse.
Si potrebbe anche far vedere nello shortcode il contenuto del cookie tecnico utilizzato per una maggiore trasparenza.

se vogliamo fare una finezza Marco Milesi necessita registrare nel cookie anche tutti gli ip di accesso dell’utente, ma se questo utilizza un sistema di cancellazione cookie queste info verranno perse.

Se introducessimo un sistema di Log questo va nel database di WordPress, non nel cookie, in modo che il webmaster abbia la lista di quello che succede:

0.0.0.0 - ACCEPT (click) - 27/08/2015 20:30
0.0.0.0 - REVOKE - 27/08/2015 20:32
0.0.0.1 - ACCEPT (navigation) - 27/08/2015 20:33
0.0.0.2 - ACCEPT (scroll) - 27/08/2015 20:34
0.0.0.3 - ACCEPT (click) - 27/08/2015 20:34
...

Però vorrei capire se un sistema simile serve effettivamente. In caso positivo, lo possiamo aggiungere come opzione attivabile…

(per chi non ci conosce) Christian ha realizzato una soluzione simile a questo plugin per il tema WordPress PASW2015 della comunità di pratica Porte Aperte sul Web, nella quale collaboro anche io. Abbiamo utilizzato gli stessi shortcode e le stesse funzioni quindi gli sviluppi li portiamo avanti in modo parallelo.

Marco ma come detto nel db serve a poco o almeno potrebbe servire per gli utenti in quanto si potrebbe mettere utente data e accept o revoke in questo modo si puo’ avere uno storico, ma per gli user guest è impossibile legare i vari ip dinamici con un user guest preciso.

Ciao,

grazie delle risposte.

Il nocciolo della questione secondo me è capire bene questa frase:

“è necessario in ogni caso che dell’avvenuta prestazione del consenso dell’utente sia tenuta traccia da parte dell’editore, il quale potrebbe a tal fine avvalersi di un apposito cookie tecnico, sistema che non sembra particolarmente invasivo”.

Quella tranciabilità (ipotizzo che in qualche modo l’ amministratore possa vedere dei log) che servirebbe nel caso in cui qualcuno mi chi chiedesse questo dato (garante o visitatore).

Qui il garante non è chiaro secondo me perchè non dice fedelmente che dati vorrebbe tracciare.

Io semplicemente lo interpreto così: tracciabilità = log dei consensi nel tempo.

Grazie

Puoi tracciare un utente registrato, non un utente non registrato, non ha proprio alcun senso.

Il cookie tecnico che viene rilasciato è esattamente il tracciamento ed è corretto proprio perché il sito NON ha nessun dato per poter riconoscere l’utente non registrato, quindi non c’è alcun trattamento.

Si arriverebbe all’assurdo di tracciare e profilare i comportamenti di un utente anonimo, con tutte le conseguenze del caso.

Ciao Marco,

grazie per l’ottimo lavoro.
Ho anch’io come blogger un sito con gli stessi problemi evidenziati da Marco Web e condivido in parte le osservazioni mosse da Paolo Valenti.
A giugno, con il problema della cookie policy, ho scritto direttamente all’URP del Garante per capire cosa intendessero “dell’avvenuto consenso dev’essere tenuta traccia tramite ad es. un apposito cookie tecnico non particolarmente invasivo.” per evitare di trovarmi la Guardia di Finanza che mi chieda spiegazioni del mio blog.
Dopo qualche mese ho ricevuto una risposta pressochè identica nel contenuto a quella di Marco Web.
Ho fatto allora alcune considerazioni:
1) nel mio blog ho previsto l’anominizzazione dell’IP e la non condivisione dei dati con Google Analytics per evitare qualsiasi forma di profilazione, per evitare dunque la notifica al Garante (piuttosto costosa tra l’altro …); dunque in teoria non ho accesso con Goolge Analytics a dati personali di chi visita la mia homepage (un IP è un dato che consente di risalire all’utente e quindi sarebbe classificato dato personale)
2) se deve essere tenuta traccia del consenso la responsabilità ricade solo su di me, perchè sono definito “Editore” anche se non sono che dati il sig. Tizio di fatto mi dia con il consenso, dunque quali dati si memorizzano sul server?
3) se Tizio mi chiede: ti ho dato il consenso, ora voglio applicare i diritti previsti dall’art. 13 del Codice Privacy e mi dici che dati hai su di me, io che faccio?
Se i dati sono anonimi semplicemente posso rispondere a Tizio che non ho trattato suoi dati personali (IP, …) e dunque il codice privacy non si applica, ma se non è così cosa rispondo ad un obbligo previsto dalla legge?
Altra questione: se dovessi tenere traccia dei dati personali (IP. …) di chi fornisce il consenso, di fatto farei un ulteriore trattamento di dati, quindi ricadrei nuovamente nel Codice Privacy come dice Paolo Valenti, ma il cookie tecnico è tale perchè non profila dati personali ma serve solo per ottimizzare il mio sito.
Dunque come interpretare “tenere una traccia”?
Serve solo per non riprorre l’informativa una seconda volta? Ho visto alcuni siti che addirittura a prescindere dal consenso che uno dà, ogni volta richiedono la conferma, non mi sembra la soluzione al problema e neppure il Garante è d’accordo in tal senso.
Avete qualche riferimento autorevole in materia?

Un attimo, se un utente dice: io ho negato il consenso e tu mi hai sparato fuori lo stesso i cookies e’ lui che deve provare che la cosa e’ avvenuta non tu che non e’ avvenuta. Cosa impossibile da provare perche’ si potrebbe contestare che prima li ha accettati e poi ha negato il consenso…in un secondo tempo.
Diciamo che e’ una questione piu’ “speculativa” che altro….ma come tutte le altre …date dall’ignoranza di gente che legifera non sapendo i disastri che combina.