Cookie Law e gli ultimi chiarimenti del Garante

image_gallery

Annunci

Web e privacy, dal 2 giugno nuove regole per i cookie

Un italiano su tre non legge le normative sulla privacy quando utilizza un servizio online, ritenendole troppo lunghe e complicate. Eppure, quello che esce dall’indagine Doxa Marketing Advice, svolta su un campione di 800 persone e commissionata dalle associazioni di categoria, è il ritratto di un cyberpopolo, quello italiano, sensibile al tema della privacy e più che sufficientemente attento.

Antonello Soro, Presidente dell’Autorità Garante per la Protezione dei Dati Personali, ha pensato il Provvedimento per l’“individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie” (229/2014) che entrerà in vigore il 2 giugno prossimo e che gode del pieno appoggio delle maggiori associazioni quali DMA Italia, Fedoweb, IAB Italia, UPA e Netcomm che hanno elaborato un prontuario su tutto quanto occorre sapere circa gli obblighi dei proprietari o amministratori di siti web e circa i cookies, suddivisi:

  • in “tecnici” e
  • “non tecnici”, ovvero quelli di profilazione pubblicitaria, di statistica o relativi alle interazioni con i social network.

Questo documento mette in condizione gli utenti di essere informati in modo chiaro e trasparente sulle caratteristiche e gli scopi dei cookie rilasciando così le necessarie autorizzazioni in modo più preciso e consapevole.

«La vera sfida di oggi è quella di rendere concreti i principi di protezione dei dati – ha chiosato il Garante per la Privacy Antonello Soro – effettiva la trasparenza dei trattamenti e agevole l’esercizio dei diritti degli utenti». Quello della privacy è un problema che gli italiani avvertono e che riescono a categorizzare per lo meno a grandi linee: dall’indagine emerge che gli ambiti in cui esigono la maggiore riservatezza sono quelli del denaro (transazioni online ed ebanking), della famiglia e della salute.

Il prontuario è utile sia per gli utenti sia per gli operatori attivi nei comparti a grande tasso di crescita quali l’online advertising che nel 2014 ha generato una cifra d’affari di due miliardi di euro con una crescita del 12,7% rispetto al 2013 e l’ecommerce che, secondo le previsioni, durante l’anno in corso sfonderà il tetto dei 15 miliardi di fatturato con una crescita del 15% rispetto al 2014, anno durante il quale un italiano su quattro ha acquistato online.

Il 41% degli utenti si dice molto attento alla privacy online, contro il 32% che dice di avere particolarmente a cuore la riservatezza anche nelle attività offline. Coloro che dichiarano un’attenzione pronunciata alla privacy appaiono più prudenti in senso generale (quindi anche offline) piuttosto che online (45% contro il 37%) mentre il 10% si dichiara noncurante in tutti e due gli insiemi. Anche in materia di consensi siamo ben preparati: il 64% degli utenti sa di potere richiedere ad un’azienda di visionare i dati che li riguardano (il 7% ne ha fatto richiesta) e il 72% è conscio di poterne ottenere la cancellazione (il 27% ha fatto uso di questa possibilità).

Molto interessante, in materia di condivisione dei dati personali, il grado di comprensione generale secondo cui, nell’era di internet, il concetto di privacy sta vivendo una continua trasmutazione, opinione che vede d’accordo 72 intervistati su 100.
Il riassunto che il Garante ha rilasciato a Il Sole 24 Ore.com valuta «il provvedimento sui cookies facilitativo per le imprese e per i cittadini, ed è l’applicazione di una legge già esistente. Abbiamo convenuto con gli operatori una modalità per il rispetto delle norme e abbiamo approntato un sistema di verifica».
5 maggio 2015

Stop al marketing invasivo, offerte a prova di privacy

mail contactMarketing 2.0: dal Far west a strategie commerciali «privacy compatibili»

  • Fonte:  Italia Oggi, 11 maggio 2015 – IusLetter
  • di Antonio Ciccia

Anche in questo caso ce lo chiede l’Europa. L’attività di trattamento dei dati personali del cliente, in un quadro di concorrenza regolata, deve rispettare i paletti della normativa sulla protezione dei dati personali, messi in fila dal garante con un vademecum ad hoc sul «marketing a prova di privacy» elaborato a fine aprile.

Sono paletti che attanagliano le imprese nel mercato globale e nella crisi economica o sono strumenti per selezionare la qualità dell’imprenditore?

L’ottica aziendale deve comunque fare i conti con la disciplina legale, che si basa su due capisaldi: la trasparenza e il consenso. Al cliente non bisogna nascondere che uso si fa delle informazioni che lo riguardano e il cliente deve dare il suo benestare alla circolazione dei suoi dati. Le due prescrizioni sono del tutto in linea (e anche ripetitive) dello schema della tutela del mercato attraverso la tutela del consumatore. Se tutte le imprese devono rispettare il consumatore, allora tutte concorrono sullo stesso piano. E non c’è un doping da cattiva data protection.

L’azienda, però, deve essere consapevole che il cliente, se lo vuole e se ha il tempo di farlo, può chiedere aiuto come utente esasperato dalle telefonate indesiderate e deve acconsentire ad essere monitorato nelle sue abitudini online.
Insomma, la politica di sviluppo aziendale deve fare i conti con la concreta possibilità che una promozione commerciale si trasformi in un boomerang per l’immagine di un’impresa.
A illustrare nel dettaglio tutti questi aspetti è il citato vademecum a cui, in tema di marketing e privacy, si sono aggiunte, nei giorni scorsi, le linee guida sulla profilazione online e il provvedimento sui cookies: una triade di interventi che il responsabile commerciale di una azienda deve conoscere a menadito.

Aziende in regola con la privacy

L’azienda deve partire dalla necessità di informare specificamente il cliente, i quale deve dare un consenso specifico e distinto per le varie finalità: uno per il marketing, uno per la profilazione o per la comunicazione dei dati ad altri soggetti.
Peraltro non serve il consenso per soddisfare la richiesta di un cliente, come le verifiche funzionali all’erogazione di servizi, ma non va bene un modulo per l’ordine di un prodotto con la casella per il consenso già contrassegnata.
Il vademecum ricorda anche alcuni tentativi di semplificazione operativa: ad esempio il consenso prestato per la ricezione di comunicazioni commerciali tramite modalità automatizzate (fax, sms, e-mail, mms, telefonate preregistrate) si estende anche alla posta cartacea e alle chiamate tramite operatore.
Quindi un consenso prestato per le operazioni di marketing più invasive vale anche per quelle di impatto inferiore.
È questa la ragione per cui non vale il contrario: se ho chiesto il consenso per il marketing cartaceo non posso, poi, fare chiamate telefoniche automatizzate.

Soft spam e ricerca di nuovi clienti

Il marketing ha un percorso preferenziale con i propri clienti.
Si parla di soft spam: non serve il consenso per inviare offerte promozionali, via posta tradizionale o e-mail, relative a prodotti o servizi analoghi a quelli forniti in precedenza.
Certo il marketing non serve solo a mantenere i clienti acquisiti, ma a cercarne di nuovi.
Una strada è quella di contattare le persone non iscritte nel registro pubblico delle opposizioni per chiedere il consenso a ricevere comunicazioni promozionali anche via e-mail o con altri mezzi automatizzati.
Si sfrutta il canale telefonico (basato sul principio per cui chi non dissente accetta di ricevere la chiamata), per acquisire il consenso a forme di marketing di marketing più raffinato.
Che le esigenze aziendali coincidano con la tutela del consumatore interessato è l’obiettivo del responsabile privacy aziendale, come per il responsabile per la sicurezza (quanto alla tutela dell’incolumità dei dipendenti) o della sicurezza del prodotto (per la incolumità del cliente).

Il presidente del garante privacy, Antonello Soro, ha dichiarato:

«Il rispetto del consumatore e il corretto uso dei suoi dati personali, a partire da quelli necessari per contattarlo fino alle informazioni più private, come gusti e preferenze, differenziano le imprese che vedono i propri clienti come semplice «preda», da quelle che scelgono di operare in modo trasparente, ponendo al centro della loro attività, oltre che la qualità dei prodotti e servizi offerti, anche e soprattutto la fiducia dei propri acquirenti».

Google si adeguerà alle misure richieste dal Garante a tutela della privacy

The headquarters of Google.Approvato dall’Autorità il protocollo di verifica

Google adotterà tutte le misure a tutela della privacy degli utenti italiani prescritte dal Garante per la protezione dei dati personali e, per la prima volta in Europa, dovrà assoggettarsi a verifiche periodiche che monitorino l’avanzamento dei lavori di adeguamento della propria piattaforma ad una normativa nazionale.

L’Autorità ha approvato [doc. web n. 3738244] il protocollo di verifica previsto nel provvedimento adottato nel luglio scorso [doc. web n.3283078] nei confronti di Mountain View. Si passa pertanto dalla fase delle prescrizioni impartite dal Garante a Google a quella della loro realizzazione pratica, che dovrà essere ultimata entro il 15 gennaio 2016.

Il documento prevede:

  • aggiornamenti trimestrali sullo stato di avanzamento dei lavori e
  • la possibilità per l’Autorità di effettuare presso la sede americana di Google verifiche di conformità alla disciplina italiana delle misure in via di implementazione.

In base al protocollo, l’Autorità potrà monitorare costantemente le modifiche che Google deve apportare ai trattamenti dei dati personali degli utenti che usufruiscono dei suoi servizi, tra cui il motore di ricerca, la posta elettronica, la diffusione di filmati (tramite YouTube) e il proprio social network.

Queste in sintesi le più importanti misure che Google dovrà implementare nel corso nel 2015:

Informativa privacy

La società dovrà migliorare la privacy policy,

  • rendendola chiara, accessibile e
  • differenziandola in base ai servizi offerti (ad esempio Gmail, Google Wallet, Chrome etc.).

L’informativa dovrà includere, tra l’altro, dettagli sulle finalità e modalità del trattamento dei dati degli utenti, inclusa la profilazione effettuata mediante l’incrocio dei dati tra diversi servizi, l’utilizzo dei cookie e di altri identificativi come il fingerprinting (un sistema che raccoglie informazioni sulle modalità di utilizzo del terminale da parte dell’utente e le archivia direttamente presso i server della società).

Dovrà inoltre predisporre un archivio con le precedenti versioni del testo dell’informativa, così da consentire agli utenti di verificare le modifiche via via apportate.

Consenso dell’utente

Se vorrà profilare chi utilizza i suoi servizi, Google dovrà prima ottenerne il consenso informato. Tale meccanismo dovrà essere implementato, anche se con differenti modalità, sia per i nuovi account, sia per quelli già esistenti.

Dovrà essere data piena attuazione anche al provvedimento generale adottato dal Garante nel maggio scorso sull’uso dei cookie e su altre modalità di tracciamento degli utenti, inclusi quelli che non si sono registrati presso i servizi della società.

A tutti gli interessati dovrà comunque essere garantito il diritto di opporsi al trattamento dei propri dati per finalità di profilazione.

Conservazione e cancellazione dei dati

La multinazionale statunitense dovrà ulteriormente migliorare le modalità di conservazione e di cancellazione dei dati personali degli utenti. In particolare, dovranno essere garantite tempistiche precise per la cancellazione dei dati, sia di quelli online sia di quelli archiviati su sistemi di back-up.

Dovranno essere revisionate le regole interne relative all’anonimizzazione, affinché la procedura adottata sia realmente efficace e conforme alle indicazioni già fornite dai Garanti europei.

Richieste di rimozione delle informazioni dai risultati di ricerca da parte degli utenti

Continuerà lo scambio di informazioni in merito alle richieste di rimozione che Google ha ricevuto da parte degli utenti italiani, così da poter monitorare le modalità di applicazione del cosiddetto diritto all’oblio.

Google Italia: arrivano i paletti del Garante privacy

google-logoMountain View dovrà assicurare maggiore trasparenza nel trattamento dei dati e garanzie per chi utilizza i suoi servizi

Gli utenti che useranno i servizi o il motore di ricerca di Google in Italia saranno più tutelati. Il Garante privacy ha stabilito che il colosso di Mountain View non potrà utilizzare i loro dati a fini di profilazione se non ne avrà prima ottenuto il consenso e dovrà dichiarare esplicitamente di svolgere questa attività a fini commerciali.

Si è conclusa con un provvedimento prescrittivo l’istruttoria avviata lo scorso anno dal Garante italiano a seguito dei cambiamenti apportati dalla società alla propria privacy policy. Si tratta del primo provvedimento in Europa che – nell’ambito di un’azione coordinata con le altre Autorità di protezione dei dati europee ed a seguito della pronuncia della Corte di Giustizia europea sul diritto all’oblio – non si limita a richiamare al rispetto dei principi della disciplina privacy, ma indica nel concreto le possibili misure che Google deve adottare per assicurare la conformità alla legge.

La società ha infatti unificato in un unico documento le diverse regole di gestione dei dati relative alle numerosissime funzionalità offerte – dalla posta elettronica (Gmail), al social network (GooglePlus), alla gestione dei pagamenti on line (Google Wallet), alla diffusione di filmati (YouTube), alle mappe on line (Street View), all’analisi statistica (Google Analytics) – procedendo pertanto all’integrazione e interoperabilità anche dei diversi prodotti e dunque all’incrocio dei dati degli utenti relativi all’utilizzo di più servizi.
Nel corso dell’istruttoria, caratterizzata anche da diverse audizioni con i suoi rappresentanti, Google ha adottato una serie di misure per rendere la propria privacy policy più conforme alle norme. Il Garante ha tuttavia rilevato il permanere di diversi profili critici relativi:

  • alla inadeguata informativa agli utenti,
  • alla mancata richiesta di consenso per finalità di profilazione,
  • agli incerti tempi di conservazione dei dati

e ha dettato una serie di regole, che si applicano all’insieme dei servizi offerti.

Informativa

Primo livello

L’Autorità ha prescritto a Google l’adozione di un sistema di informativa strutturato su più livelli, in modo da fornire in un primo livello generale le informazioni più rilevanti per l’utenza:

  • l’indicazione dei trattamenti e dei dati oggetto di trattamento (es. localizzazione terminali, indirizzi IP etc.),
  • l’indicazione dell’indirizzo presso il quale rivolgersi in lingua italiana per esercitare i propri diritti etc.;

Ma soprattutto Google dovrà spiegare chiaramente, nell’informativa generale:

  • che i dati personali degli utenti sono monitorati e utilizzati, tra l’altro, a fini di profilazione per pubblicità mirata e
  • che essi vengono raccolti anche con tecniche più sofisticate che non i semplici cookie, come ad esempio il fingerprinting (sistema che raccoglie informazioni sulle modalità di utilizzo del terminale da parte dell’utente e, a differenza dei cookie che vengono istallati sul pc o nello smartphone, le archivia direttamente presso i server della società).

Secondo livello

In un secondo livello, più di dettaglio, le specifiche informative relative ai singoli servizi offerti.

Consenso per fini di profilazione e pubblicità comportamentale

Per utilizzare a fini di profilazione e pubblicità comportamentale personalizzata i dati degli interessati – sia quelli relativi alle mail sia quelli raccolti incrociando le informazioni tra servizi diversi o utilizzando cookie e fingerprinting – Google dovrà acquisire il previo consenso degli utenti e non potrà più limitarsi a considerare il semplice utilizzo del servizio come accettazione incondizionata di regole che non lasciavano, fino ad oggi, alcun potere decisionale agli interessati sul trattamento dei propri dati personali.

In proposito, l’Autorità ha anche indicato una modalità innovativa e di facile impiego che, senza gravare eccessivamente sulla navigazione dell’utente, gli consenta di scegliere in modo attivo e consapevole se fornire o meno il proprio consenso alla profilazione, anche con riguardo ai singoli servizi utilizzati.

Conservazione

Google dovrà definire tempi certi di conservazione dei dati sulla base delle norme del Codice privacy, sia per quanto riguarda quelli mantenuti sui sistemi cosiddetti “attivi”, sia successivamente archiviati su sistemi di “back up”.

Cancellazione dati personali

Per quanto riguarda la cancellazione di dati personali, il Garante ha imposto a Google che richieste provenienti dagli utenti che dispongono di un account (e sono quindi facilmente identificabili) siano soddisfatte:

  • al massimo entro due mesi se i dati sono conservati sui sistemi “attivi”
  • entro sei mesi se i dati sono archiviati sui sistemi di back up.

Per quanto riguarda, invece, le richieste di cancellazione che interessano l’utilizzo del motore di ricerca, ha ritenuto opportuno attendere gli sviluppi applicativi della sentenza della Corte di giustizia dell’Unione europea sul diritto all’oblio.

Google avrà 18 mesi per adeguarsi alle prescrizioni del Garante.

In quest’arco temporale, l’Autorità monitorerà l’implementazione delle misure prescritte. La società dovrà infatti sottoporre al Garante, entro il 30 settembre 2014, un protocollo di verifica, che una volta sottoscritto diverrà vincolante, sulla base del quale verranno disciplinati tempi e modalità per l’attività di controllo che l’Autorità svolgerà nei confronti di Mountain View.

Internet: Garante privacy, no ai cookie per profilazione senza consenso

image_gallery (1)In un banner le informazioni all’utente e la possibilità di scegliere quali cookie autorizzare

Stop all’installazione dei cookie per finalità di profilazione e marketing da parte dei gestori dei siti senza aver prima informato gli utenti e aver ottenuto il loro consenso. Chi naviga on line potrà quindi decidere in maniera libera e consapevole se far usare o no le informazioni raccolte sui siti visitati per ricevere pubblicità mirata.

Lo ha stabilito il Garante privacy con un Provvedimento generale [doc. web n. 3118884] pubblicato sulla Gazzetta ufficiale, adottato al termine di una consultazione pubblica,  nel quale ha individuato modalità semplificate per rendere agli utenti l’informativa on line sull’uso dei cookie e ha fornito indicazioni per acquisire il consenso, quando richiesto dalla legge.

Cosa sono i cookie?

I cookie sono piccoli file di testo che i siti visitati inviano al terminale (computer, tablet, smartphone, notebook) dell’utente, dove vengono memorizzati, per poi essere ritrasmessi agli stessi siti alla visita successiva.

Sono usati per:

  • eseguire autenticazioni informatiche,
  • monitoraggio di sessioni e memorizzazione di informazioni sui siti  (senza l’uso dei cookie “tecnici” alcune operazioni risulterebbero molto complesse o impossibili da eseguire).

Ma attraverso i cookie si può anche monitorare la navigazione, raccogliere dati su gusti, abitudini, scelte personali che consentono la ricostruzione di dettagliati profili dei  consumatori.

“Con questo provvedimento, maturato anche attraverso la consultazione dei vari stakeholder, diventa più facile il rispetto degli obblighi previsti dalla normativa europea” – commenta Antonello Soro, presidente del Garante privacy. “La procedura semplificata consentirà agevolmente ai navigatori di manifestare un consenso davvero libero e consapevole”.

alert-icon-redNuovi obblighi di informazione

Per proteggere la privacy degli utenti e consentire loro scelte più consapevoli, il Garante ha dunque stabilito che, d’ora in poi  quando si accede alla home page o ad un’altra pagina di un sito web deve immediatamente comparire un banner ben visibile, in cui sia indicato chiaramente:

  1. che il sito utilizza cookie di profilazione per inviare messaggi pubblicitari mirati;
  2. che il sito consente anche l’invio di cookie di “terze parti”, ossia di cookie installati da un sito diverso tramite il sito che si sta visitando;
  3. un link a una informativa più ampia, con le  indicazioni sull’uso dei cookie inviati dal sito, dove è possibile negare il consenso alla loro installazione direttamente  o collegandosi ai vari siti nel caso dei cookie di “terze parti”;
  4. l’indicazione che proseguendo nella navigazione (ad es., accedendo ad un’altra area del sito o selezionando un’immagine o un link)  si presta il consenso all’uso dei cookie.

Per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l’informativa breve alla seconda visita dell’utente.

L’utente mantiene, comunque, la possibilità di modificare le proprie scelte sui cookie attraverso l’informativa estesa, che deve essere linkabile da ogni pagina del sito.

Il modello del banner

A mero titolo di esempio, il Garante ha predisposto il seguente modello di banner disponibile anche sul  sito del Garante

image_gallery

 

 

Internet: Garante privacy, presto più trasparenza sui cookie

google cookie monsterAvviata una consultazione, entro 90 giorni i contributi di gestori e consumatori su informativa per gli utenti.

Chi naviga on line potrà presto decidere in maniera libera e consapevole se far usare o no le informazioni sui siti visitati per ricevere pubblicità mirata. Lo aiuterà un’informativa semplice, chiara e di immediata comprensione sull’uso dei cookie che il Garante sta mettendo a punto.

Sulla base di quanto previsto dalla direttiva europea 2009/136, recepita di recente in Italia, l’Autorità ha infatti avviato una consultazione pubblica (Pubblicato sulla Gazzetta Ufficiale n. 295 del 19 dicembre 2012) diretta a tutti i gestori, grandi e piccoli, dei siti e alle associazioni maggiormente rappresentative dei consumatori allo scopo di acquisire contributi e suggerimenti.

Per fornire prime indicazioni sul tema e per agevolare l’elaborazione dei contributi e l’individuazione di una valida ed efficace informativa l’Autorità ha messo a punto, disponibile sul proprio sito, un documento contenente alcuni chiarimenti sulle principali questioni in materia di cookie.

cookie

Cosa sono i cookie

I cookie sono piccoli file di testo che i siti visitati inviano al terminale (computer, tablet, smartphone, notebook ecc.) dell’utente, dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla visita successiva.

Sono usati per eseguire:

  • autenticazioni informatiche
  • monitoraggio di sessioni
  • memorizzazione di informazioni riguardanti la navigazione on line (senza l’uso dei cookie “tecnici” alcune operazioni risulterebbero molto complesse o impossibili da eseguire)…

… ma sono molto spesso utilizzati dai siti per raccogliere importanti e delicate informazioni all’insaputa degli utenti sui loro gusti, sulle loro abitudini, sulle loro scelte.

Informativa e consenso: cookie “tecnici” e cookie “non tecnici”

Cookie tecnici: con le nuove regole europee i cookie “tecnici” possono essere utilizzati anche senza consenso, ma rimane naturalmente fermo per i gestori dei siti l’obbligo di informare gli utenti della loro presenza in maniera il più possibile semplice, chiara e comprensibile.

Cookie non tecnici: è obbligatorio invece il consenso preventivo e informato dell’utente per tutti i cookie “non tecnici”, quelli cioè che, monitorando i siti visitati, raccolgono dati personali che consentono la costruzione di un dettagliato profilo del consumatore, e che proprio per questo motivo presentano maggiori criticità per la privacy degli utenti.

I gestori dei siti non possono, dunque, installare cookie per finalità di profilazione e marketing sui terminali degli utenti senza averli prima:

  1. adeguatamente informati e
  2. aver acquisito un valido consenso.

La consultazione avviata dal Garante si concluderà entro 90 giorni dalla pubblicazione del provvedimento sulla Gazzetta Ufficiale. Le proposte relative all’informativa semplificata potranno essere inviate all’Autorità per posta o in via telematica alla e-mail consultazionecookie@gpdp.it.

Il Garante si è riservato di valutare anche eventuali proposte che potrebbero pervenire da università e centri di ricerca.