Stanco di leggere tutto e il contrario di tutto ho pensato di raccogliere qui note e spunti sulla Privacy, questo perchè sia in primis utile a me ma anche ai lettori del mio Blog.
Premessa
ATTENZIONE: Essendo che non sono un legale ma un tecnico, ogni sito è un caso a se, quanto segue non è vincolante per essere a norma ma solo info ordinate con le relative fonti. Sono fortemente convinto che la “vera privacy” è quella interna all’azienda e deve essere un modus operandi e non qualche flag qua e la, questo per capirci è quello che faccio io https://www.sermatica.it/privacy-policy/.
Il Plugin “Cookie Notice & Compliance for GDPR/CCPA” di Hu-manity.co che utilizzo da anni ha fatto questi aggiornamenti per mettersi in regola. Facendo partire dal Plugin il “Compliance check” permette di analizzare se si è in regola, purtroppo non mi piace il fatto che non ho la possibilità di personalizzare i vari testi mettendoli più piccoli o grandi per semplificare la scelta all’utente, per questo al momento ho scelto GDPR Cookie Consent di WebToffee (ma che in realtà è di CookieYes) ma anche Iubenda offre un ottimo servizio in merito. Segnalo anche https://www.cookiebot.com/it/ e https://it.wordpress.org/plugins/complianz-gdpr/ per completezza.
Iubenda permette dalla sua home di cliccare su “Inizia la generazione” e permette di sapere con precisione come mettersi in regola. Nel mio caso è uscito quanto segue
“Questo significa che devi avere una privacy policy valida, bloccare i cookie prima di aver ottenuto il consenso da parte degli utenti, dare loro modo di effettuare liberamente l’opt-in e delle attività di trattamento.” Ma vorrei aggiungere che non è tecnicamente possibile bloccare con un plugin tutte le funzioni che possono salvare dati degli utenti, trattare i loro dati o tracciare le attività degli utenti.
Ribadisco che solo con un attività fatta a mano e una forte etica è possibile mostrare rispetto per i propri utenti.
Aggiornamento 04/2024
Questo video racchiude bene il concetto di Privacy del 2023 e 2024.
Aggiornamento Google Analitycs 06/2022
A breve aggiornerò anche qui sotto ma questa è la situazione si GA.
Il Garante Italiano si è espresso (o https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9782874) in merito al fatto che GA3 non è legale in Italia.
Nel video Seguente comprendiamo come, salvo accordi politici tra Usa ed Europa, GA3 al 100% e forse anche GA4 (ma GA4 non rientra al momento nell’analisi del Garante) non siano utilizzabili e Legali in Italia/Europa.
Nel video seguente si capisce chiaramente che Google Analytics 3 non è legalmente utilizzabile ne in Italia ne in Europa e al momento l’unica soluzione è quella di usare alternative di aziende Europee. Il grosso problema è quello che togliendo GA dal sito se si fa Google Ads saltano parte delle campagne che non possono più fare ne remarketing ne fare test A/B o creare un pubblico che converta da portare sul sito.
Soluzioni per sostituire GA? matomo.org o Piwik.pro possono essere ottime soluzioni, ma anche Awstat o leggere i log del server possono esserlo.
Ma chi ha campagne Google Ads attive? Al momento possono migrare a GA4.
Sul Connect.GT potete vedere la cronologia di quanto successo.
Cosa hanno fatto alcuni big del settore?
- Shopify
- Analisi in corso
- Leroy Merlin
- Analisi in corso
- Decatlon
- Analisi in corso
Trovo che questo articolo di Iubenda sia ben fatto e spieghi del dettaglio come uscire da questo problema.
Qui la “risposta” di Google ai “problemi” di privacy https://blog.google/intl/it-it/notizie-aziendali/tecnologia/alcune-risposte-sulla-privacy-dei-dati-con-google-analytics/
Il “problema” è comunque molto più ampio, ora è toccato a GA3, ma che dire di GA4? E di Gmail? E Google Drive, Android, le Cdn e tutti i servizi che si appoggiano ad aziende americane?
Cosa Serve per la Privacy
Sotto alcune cose che non dovrebbero mai mancare, non tutte sono sempre obbligatarie ma averle da una buona impressione e permette di essere pronti di caso vengano richieste in futuro per cambiamenti legislativi o aggiornamenti del sito, es. implementazione di Google Ads o similari.
- Essere veramente a norma e non solo su carta, i dati degli utenti vanno veramente tenuti riservati.
- Tracciare in modo accurato tutti gli eventuali servizi esterni che abilitano la tracciatura, cookie di Terza parte. Solo a titolo di esempio
- Google Analytics 4 → Deve essere configurato per non inviare gli Ip a Google.
- Pixel di Facebook → Visto il problema di GA3 informarsi in merito al suo corretto utilizzo.
- Microsoft Clarity → Visto il problema di GA3 informarsi in merito al suo corretto utilizzo.
- Controllare con l’apposita funzione di Chrome i cookie che vengono installati in chi visita il sito.
- Avere il Banner dei Cookie
- Il Banner dei Cookie per la Privacy lo metterei a prescindere, 1° se non lo hai i tuoi visitatori penseranno male, 2° chi vigila sul rispetto della legge potrebbe multarti perchè non lo hai, poi vai a dimostrare che non dovevi metterlo (o che in quel momento sul tuo sito si erano attivati anche per sbaglio cookie di profilazione) e che i cookie che si abilitano lo stesso anche se li blocchi, come facebook ecc. ecc…., 3° averlo ti permette di avere un lavoro già fatto nel caso dovessi montare servizi che richiedono la barra.
- Questo deve permettere di Accettare o Rifiutare tutti i Cookie con un click
- A oggi Google.com ha solo il tasto Personalizza e Accetto 😳 e non Rifiuta.
- Siti che hanno la pubblicità con https://clickio.com/it/ hanno il tasto “Accetta e chiudi” normale e “Non accettare e chiudi” in grigio e piccolissimo in un angolo.
- Siti come https://esports.gazzetta.it/ hanno aggiunto “Continua senza accettare”, implementazione che condivido.
- Iubenda, punto di riferimento, per la privacy in Italia, ha i tasti Rifiuta e Accetta, oltre a “Scopri di più e personalizza” che ovviamente cliccheranno in pochi.
- Inserire nel Footer, di tutte le pagine del sito link a
- Privacy Policy
- Note legali
- Termini e condizioni
- Contratto di Fornitura
- Flag Accettazione “Policy Privacy” con link alla privacy sui Form, idem per le Newsletter.
- A oggi mi chiedo cosa cambi tra un form ed una email o chat WhatApp? Lo dico perchè li il flag non lo puoi mettere da nessuna parte e i dati vengono sempre trattati da me.
Google Analytics è illegale in Italia?
Update 28/11/2022
Segnalo questo articolo Google Analytics è illegale in Europa? Ecco cosa devi sapere di Iubenda.
Update 25/03/2022
Controversia risolta: “UE e Stati Uniti raggiungono un accordo per il trasferimento dei dati garantendo la privacy“
Io al momento sto aggiornando tutti i siti che gestisco bloccando a monte tutti i cookie tranne quelli tecnici, per il momento bloccherò anche GA, che fine faranno i tracciamenti di Google Ads? Ma il problema non è GA ma a questo punto anche chi ha l’hosting in America, tutti i servizi che hanno i server in America, le app sui cellulari che usano i Server di Google, gli stessi video su Youtube e non solo.
Oltre la Privacy in un ipotetico mondo Cookie Less
- Oltre la Privacy: anche disabilitando tutti i Cookie
- Per esempio su Cpanel esiste un servizio di Analitica, Awstats. Ma ne esistono altri molto più evoluti.
- Con i Log del server si può, con un po’ di impegno, avere un ottima tracciatura senza Cookie.
- Analizzando i log dei server riesci a creare l’impronta digitale del dispositivo dell’utente. Se sei “bravo” riesci anche a capire come si muove sul Web.
- Questo test, “Researchers use GPU fingerprinting to track users online“, mostra come il Finger Printing sia facilmente attuabile anche senza cookie.
Cookie Policy e Cookie Banner secondo Iubenda
Secondo questo documento di Iubenda si possono trarre le seguenti conclusioni.
- Cookie Policy Informativa Estesa
- Va fatta sempre e linkata nel Footer di tutte le pagine. (Nota SEO Mettere la pagina Index e linkatela con Nofollow)
- Cookie Banner Informativa Breve
- Non sempre necessario ma consiglio di metterlo sempre magari scrivendo che ci tenete alla privacy degli utenti e che utilizzare solo Cookie essenziali per far funzionare al meglio il sito.
- Consenso Preventivo Blocco Codici
- Bloccherei tutti i Cookie di servizi di profilazione come quelli di Google Ads o quelli pubblicitari. Se l’utente clicca su Rifiuta non verranno abilitati, se clicca su Accetta verranno abilitati, se sono di profilazione ovviamente va scritto nel banner che compare.
- Il banner deve comparire in basso e rimanere fino a che l’utente non clicca Accetta o Rifiuta
- Notifica al Garante
- Non più necessaria, almeno questo emerge dal documento Pdf di Iubenda.
I Big e la Privacy
Quando sotto non è una critica ai Big ma un dato di fatto, siamo in un periodo di transizione ma con regole non chiare. Quindi è normale che ci siano diverse implementazioni per tutelare la privacy degli utenti.
- Google
- Perchè https://www.google.com/ ha solo il tasto Accetto e Personalizza ma non quello rifiuta? Perchè anche cliccando su personalizza i cookie di DoubleClick e Youtube si abilitano lo stesso?
- Quindi se si fanno delle campagne Google Ads alla peggio ci sarà il tracciamento degli utenti visto che Google continua a tracciare se lo si usa ma non, alle paggio le conversioni, quindi tracciano le Serp ma non quello che accade sul sito se non si accettano i Cookie?
- Amazon
- Perchè https://www.amazon.it/ ha solo il tasto Accetta i Cookie e Personalizza i cookie ma non quello rifiuta? Perchè anche cliccando su Personalizza i cookie i cookie di Yahoo altri si abilitano lo stesso?
- Facebook
- Perchè https://www.facebook.com/ ha solo il tasto Consenti tutti i Cookie e Altre opzioni ma non quello rifiuta? In questo caso non si abilitano cookie esterni?
- Sendinblue
- Andando su https://it.sendinblue.com/ i Cookie, e quindi i servizi esterni, vengono attivati anche se si clicca su rifiuta tutti.
- Garanteprivacy
- Accedendo al sito https://www.garanteprivacy.it/ non appare nessun banner dei Cookie.
- In questa pagina https://www.garanteprivacy.it/home/stampa-comunicazione/newsletter è possibile iscriversi alla newsletter ma confermando la privacy cliccando su “Confermo di aver preso visione dell’informativa in questa pagina” non c’è il link alla pagina della Privacy
Altre info
Iubenda dice “Ciò significa che ora devi tenere traccia delle preferenze sui cookie espresse dai tuoi utenti quando visitano il tuo sito.” (Fonte).
E così ogni sito avrà un elenco specifico per tutti i visitatori del sito, per assurdo anche se rifiutate i cookie ne verrà tenuto traccia.
Ho trovato anche ben fatto questo articolo https://digitalsfera.it/cookie-linee-guida-garante-privacy-2021/ che tratta in modo “diverso” il discorso privacy e ve lo segnalo perchè trovo che completi in qualche modo il mio articolo.
Piccolo Aggiornamento: è possibile inserire nelle vostre Dem i clienti cha hanno comprato dal vostro Shop per proporre prodotti correlati all’acquisto (importante è che non abbiano mai visto una spunta per richiedere il consenso, altrimenti vale quello) – Art. 130 comma 4 196/2003.
Non mettete i Banner finti
Vedo che molti siti mettono il banner dei cookie con Accetta e Rifiuta ma entrambi i tasti sono completamente inutili. I cookie e il relativo tracciamento dell’utente si attivano appena entrate nel sito.
Approfondimenti
ConnectGt – Quale plugin per i cookie per essere in regola nel 2021? – https://connect.gt/topic/247643/google-analytics-%C3%A8-illegale-in-eu
Faq di gpdp – https://www.gpdp.it/faq/cookie
- Google Analytics non è un Cookie Tecnico neanche se anonimizzato (4 I cookie analytics sono cookie tecnici?)
- Il Banner dei Cookie deve contenere e informare l’utente: (8 Quali indicazioni e comandi deve contenere il banner?)
- Il sito utilizza cookie di profilazione?
- Link all’informativa estesa
- Comando per esprimere il proprio consenso accettando tutti i cookie. Se l’utente sceglie di chiudere il banner utilizzando il pulsante Rifiuta tutti o similare mantenere attivi solo i cookie tecnici
- Bisogna tenere traccia delle scelte dell’utente e dargli la possibilità con un tasto di modificare tale preferenza (9 In che modo può essere documentata l’acquisizione del consenso effettuata tramite l’uso del banner? e punto 10)
- Se l’utente rifiuta i Cookie il banner (cliccando su rifiuta o sulla X) non deve più comparire, questo implica che l’utente, o meglio il suo dispositivo, è stato tracciato dal sito. Tale consenso verrà mantenuto per 6 mesi.
- Il registro preferenze cookie è quindi obbligatorio?
- In sintesi No, per approfondimenti qui.
- Secondo il punto 14 i siti dovrebbero essere navigabili anche senza esprimere la preferenza dell’utente di accettare o rifiutare i Cookie. Questo però va in conflitto a quanto ho riportato nella sezione “I Big e la Privacy” riportata qui sopra.
Breve guida sintetica sulla Privacy in Pdf
Analisi Plugin e Servizi per WordPress
Piccola premessa: le versioni gratuite o a pagamento sono molto simili fra loro, come già detto l’analisi dei Cookie va fatta a mano, gli strumenti comunque aiutano. Alcune versioni gratuite bloccano solo i plug-in ma non il codice inserito a mano e quindi per es. non bloccano GA se si inserisce il codice nel tema. Altri non tengono traccia dell’accettazione e delle impostazioni della Privacy per ogni utente come richiesto dall’ultima normativa. Per questi motivo i profili a pagamento dei Plugin sono poi quelli più completi e versatili.
- CookieYes | GDPR Cookie Consent & Compliance Notice (CCPA Ready) Di WebToffee
- https://it.wordpress.org/plugins/cookie-law-info/
- Installazioni attive stimate: 1+ milione
- Recensioni 5 Stelle
- Versione Gratuita: la versione gratuita non permette di bloccare i Cookie installati nel tema ma utilizzando la soluzione è “di spostare gli script che impostano i Cookie (per esempio: il codice di tracciamento di Google Analytics) nel loro plugin all’interno della categoria dei Cookie non necessari e quindi consentire ai visitatori di controllarli dando il proprio consenso.“
- 69€ Anno la versione a pagamento.
- Consiglio la versione gratuita
Altri Plugin non testati
Al momento non ho analizzato i seguenti plugin ma li riporto qui sotto per completezza.
- Complianz | GDPR/CCPA Cookie Consent
- https://it.wordpress.org/plugins/complianz-gdpr/
- Installazioni attive stimate: 300.000+
- Recensioni 5 Stelle
- Versione Gratuita
- Iubenda – Cookie and Consent Solution for the GDPR & ePrivacy
- https://it.wordpress.org/plugins/iubenda-cookie-law-solution/
- Installazioni attive stimate: 90.000+
- Recensioni 5 Stelle
- Versione Gratuita
- Cookiebot | GDPR/CCPA Compliant Cookie Consent and Control
- https://wordpress.org/plugins/cookiebot/
- Installazioni attive stimate: 90,000+
- Recensioni 4,5 Stelle
- Versione Gratuita
