INTRODUZIONE AI COOKIE

Transcript

1 1 INTRODUZIONE AI COOKIE Stefano Carli

2 La Privacy Policy è un documento che informa gli utenti di un sito web circa il trattamento dei loro dati personali. È obbligatoria quando: Il sito web raccoglie dati personali. L è un dato personale, ovviamente lo sono nome e cognome, ma è un dato personale anche un Cookie; I dati sono raccolti per fini non esclusivamente personali (e si può rientrare nella maglia dei fini esclusivamente personali solo se il titolare del trattamento è una persona fisica); Un soggetto terzo (es. Google, Facebook, etc) è coinvolto nel trattamento dei dati personali. La Privacy Policy deve informare gli utenti di un sito web circa: I dati personali raccolti Le modalità di raccolta Le finalità di raccolta Titolare, responsabili e rappresentante designato Altri soggetti coinvolti

3 Che cosa sono I COOKIE? I cookie sono stringhe di testo di piccole dimensioni che i siti visitati dall'utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente. 3 Vi vengono registrate alcune informazioni relative alla visita, possono inoltre essere usati come sistema per riconoscere l'utente anche in momenti successivi la prima visita; tale cookie, infatti, potrà non solo essere creato ma anche letto e modificato dallo stesso sito web che lo ha generato (Non da altri siti!).

4 Che cosa sono I COOKIE? 4

5 5 Che cosa sono I COOKIE? In pratica possiamo dire che i cookie sono una sorta di "memoria" attraverso la quale un sito web riesce a riconoscere uno specifico utente e ad associargli delle informazioni di varia natura e per differenti finalità.

6 Perché esistono I COOKIE? Uno dei problemi incontrati nei primi anni del web fu quello di creare siti che avessero memoria dei singoli utenti. 6 HTTP è il linguaggio con su cui lavora il tuo browser. HTTP, o Hyper Text Transport Protocol, venne ideato e creato come parte del progetto WWW iniziato da Tim Berners-Lee al CERN che venne poi dato in uso a diverse università, aziende e individui privati. HTTP è stato ideato per essere veloce ed efficiente. Il suo funzionamento è il seguente: Connessione a un sito web > download dell contenuto del sito > Disconnessione. Questo comportamento rendeva libero il sito di servire altri client, ma significava anche che non esisteva il concetto di sessione. Senza una sessione, ogni volta che un utente si muove da una pagina all altra, verrà considerato come se fosse un utente nuovo, senza possibilità di associare l utente alle azioni eseguite pochi attimi prima. L uso della memoria all interno di un sito web sono molteplici: carrelli per il commercio elettronico, contenuto personalizzato, possibilità di accesso con username e password e molter altre funzionalità iterative che diamo per scontate richiedono memoria. Il problema nel 1994 era la mancanza di un meccanismo che permettesse l individuazione degli utenti.

7 7 Dal film 50 volte il primo bacio

8 I cookie sono 8 VIRUS? I cookie sono file di testo che contengono stringhe di caratteri, non sono programmi. Non possono infettare il sistema operativo. NO I cookie sono uno strumento tecnico essenziale per il corretto funzionamento di quasi tutti i siti web esistenti. Senza cookie molti dei siti che visitiamo ogni giorno non potrebbero offrirci i servizi che utilizziamo. Proviamo a bloccare,attraverso le impostazioni del browser, tutti i cookie, dopodiché proviamo a navigare e ad utilizzare i nostri servizi on-line preferiti (webmail, social ecc)

9 PERÓ 9 La capacità dei cookie di identificare un utente e di associargli delle informazioni, infatti, è stata concepita per finalità tecniche importanti e non certo per poter tracciare un profilo della personalità e delle abitudini dell'utente di Internet Sebbene nato per altro scopo, però, alle volte i cookie possono essere utilizzati anche in questo modo. Non è un segreto che i cookie vengano utilizzati su larga scala per la pubblicità su internet da compagnie di marketing.

10 PERÓ 10

11 PERÓ 11

12 PERÓ 12

13 In pratica: i cookie Visualizza inspector web: Sviluppo > Mostra inspector web Seleziona Archivio In basso a sinistra dovresti vedere la scritta Cookie Accedi al sito Tenendo aperta la scheda di google, apri una nuova scheda ed accedi al sito duckduckgo.com 13 Esercizio 1. Il primo sito ha scaricato cookie sul tuo computer? 2. Quanti? 3. Il secondo sito ha scaricato cookie sul tuo computer? 4. Riesci a capire se e quando scadono? 5. Nota che duckduckgo.com di default effettua la ricerca per i siti italiani, basandosi sul tuo indirizzo ip. 6. Prova a cambiare regione. Cosa succede? 7. Prova a cambiare altre impostazioni.

14 In pratica: msn.com Apri il browser e cancella la cronologia esistente: Safari > Cancella cronologia Seleziona Tutta la cronologia Clicca su cancella cronologia Visualizza inspector web: Sviluppo > Mostra inspector web Seleziona Archivio In basso a sinistra dovresti vedere la scritta Cookie Accedi al sito msn.com 14 Esercizio 1. Il sito ha scaricato cookie sul tuo computer? 2. Quanti? 3. Da quale sito/siti vengono? Riesci a capire a quali domini fanno riferimento? 4. Riesci a capire se e quando scadono? 5. Clicca sul cookie Quante voci contiene? 6. Ricarica la pagina e riprendi il cookie Ora quante voci contiene? Cos è cambiato? Perchè? 7. Nota le 2 voci che iniziano con banner. Prima esistevano? A cosa si riferiscono? 8. Elimina le 2 voci che iniziano con banner (pulsante destro sulla voce selezionata > Elimina) 9. Ricarica la pagina. Cosa è cambiato? 10.Controlla l URL della pagina; se cambiato da torna alla pagina cancellando la parte di URL in eccedenza. 11.Nota il valore del cookie marketpref. 12.Cosa indica? Trova il modo di cambiare la lingua della pagina. Ricontrolla il valore di marketpref. Chiudi il browser e riaprilo. La modifica della lingua è rimasta? 13.Ora elimina la voce e torna alla home page di Quale lingua ha ora il sito?

15 In pratica: google translate Apri il browser e cancella la cronologia esistente: Safari > Cancella cronologia Seleziona Tutta la cronologia Clicca su cancella cronologia Visualizza inspector web: Sviluppo > Mostra inspector web Seleziona Archivio In basso a sinistra dovresti vedere la scritta Cookie Accedi al sito translate.googl e.com 15 Esercizio 1. Il sito ha scaricato cookie sul tuo computer? 2. Quanti? 3. Da quale sito/siti vengono? Riesci a capire a quali domini fanno riferimento? 4. Clicca sul cookie translate.google.com. Quante voci contiene? 5. Copia la voce NID ed incollala su un file di testo oppure sul sito 6. Il sito dovrebbe aver selezionato automaticamente la traduzione dall inglese all italiano. Cambia le lingue a tuo piacimento. NON effettuare una traduzione. Chiudi la scheda del browser in cui stai visualizzando google translate. 7. Apri di nuovo google translate. Le lingue scelte precedentemente sono state modificate? 8. Modifica di nuovo le lingue ed effettua una traduzione. Di nuovo chiudi e riapri la scheda. Ora le lingue di default sono cambiate? Se si, perchè adesso si e prima no? 9. Questa variazione è stata scritta nei cookie? 10.Riprendi il valore NID del cookie, comparalo con quello precedente. Se sono diversi, le impostazioni scelte sono state scritte qui, se sono uguali dove sono state scritte le informazioni? 11.Elimina il valore NID, chiudi e riapri la scheda. Il valore NID è cambiato? Le lingue di default sono rimaste le stesse?

16 In pratica: google translate Apri il browser e cancella la cronologia esistente: Safari > Cancella cronologia Seleziona Tutta la cronologia Clicca su cancella cronologia Visualizza inspector web: Sviluppo > Mostra inspector web Seleziona Archivio In basso a sinistra dovresti vedere la scritta Cookie Accedi al sito translate.googl e.com 16 Esercizio 1. Eliminare dal cookie della pagina il valore NID. 2. Andare nella console e incollare il seguente valore. 3. document.cookie="nid =81=E9qfqddvGHZGnKD8sg8L_OzVgpa9b94kWsZUXWFXqjw9TY6aq0Nqh31SzdIQAekn6miewoItObhvHn9lTCTL72Q5QqOT1ihZ0 X9Y5Px_diFpOjWddPFEfoKdAnLoyf6Y;domain=.google.com;path=/;expires=05 Oct :00:01 CEST ; 4. Le lingue sono cambiate o sono rimaste le stesse? Cosa è successo?

17 In pratica: session hijacking Apri il browser e cancella la cronologia esistente: Safari > Cancella cronologia Seleziona Tutta la cronologia Clicca su cancella cronologia Visualizza inspector web: Sviluppo > Mostra inspector web Seleziona Archivio In basso a sinistra dovresti vedere la scritta Cookie Accedi al sito 17 Esercizio 1. Creare un indirizzo temporaneo al sito 2. Creare un account sul sito utilizzando l temporanea. 4. document.cookie="aspsessionidxxxxxxx=pxxxxxxxxxxxxx;domain=

18 18 Posso controllare I COOKIE? Un sito Web può impostare un cookie sul browser dell'utente solo ed esclusivamente se le preferenze configurate per quest'ultimo lo consentono. Un browser, ad esempio, può consentire a un determinato sito Web di accedere solo ed esclusivamente ai cookie da esso impostati e non a quelli impostati da altri siti Web

19 19 COOKIE LAW Modalità semplificate per l informativa e l acquisizione del consenso per l uso dei cookie Pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014 Stefano Carli Vedi

20 COOKIE LAW Quando? L 8 maggio 2014, il Garante per la Privacy italiano ha reso noto il regolamento per individuare le modalità semplificate per l informativa e l acquisizione del consenso per l utilizzo dei cookie; tale documento è stato convertito in legge dello Stato, Cookie Law, il 3 giugno ENTRATA IN VIGORE La legge è entrata in vigore in Italia il 3 giugno Tempi di adeguamento. Come già evidenziato in precedenza, il Garante è consapevole dell'impatto, anche economico, che la disciplina sui cookie avrà sull'intero settore della società dei servizi dell'informazione e, quindi, del fatto che la realizzazione delle misure necessarie a dare attuazione al presente provvedimento richiederà un notevole impegno, anche in termini di tempo. In ragione di ciò, si ritiene pertanto congruo prevedere un periodo transitorio di un anno a decorrere dalla pubblicazione della presente decisione in Gazzetta Ufficiale per consentire ai soggetti interessati dal presente provvedimento di potersi avvalere delle modalità semplificate ivi individuate.

21 COOKIE LAW È un atto dovuto di adeguamento della normativa Italiana a quanto disposto in sede europea: la cookie law è un provvedimento comunitario (direttiva 2009/136/CE) 21 Perchè? VISTA la direttiva 2009/136/CE del 25 novembre 2009, del Parlamento europeo e del Consiglio, recante modifica della direttiva 2002/22/CE relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica, della direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità nazionali responsabili dell'esecuzione della normativa a tutela dei consumatori; MOTIVAZIONI La direttiva ha l'intento di arginare la diffusione dei cosiddetti cookie di profilazione e dei connessi rischi per la privacy degli utenti di Internet.

22 22

23 COOKIE 23 LAW Definizioni Vediamo alcune definizioni di base

24 L autorità Garante nazionale distingue i COOKIE in due tipologie 24 1 Cookie tecnici 2 Cookie di profilazione 1 Considerazioni preliminari, commi a, b

25 1 Cookie tecnici 25 Cookie normalmente trasmessi in prima persona dal gestore del sito per finalità strettamente connesse al corretto funzionamento del sito stesso a b c Cookie di sessione (o di navigazione) Garantiscono la normale navigazione e fruizione del servizio Sono utilizzati per la tracciatura di sessioni e memorizzazione di informazioni specifiche riguardanti gli utenti che accedono al sito. (Permettono, ad esempio, di realizzare un acquisto o autenticarsi per accedere ad aree riservate); Cookie di funzionalità Non sono essenziali Permettono all'utente la navigazione in funzione di una serie di criteri selezionati (ad esempio, la lingua, i prodotti selezionati per l'acquisto) al fine di migliorare il servizio; Cookie analitici (o statistici) Utilizzati per raccogliere informazioni, in forma aggregata e anonima, per finalità statistiche sul numero degli utenti e su come questi visitano il sito stesso. Se non raccolgono informazioni in modo aggregato non sono considerati cookie tecnici

26 2 Cookie di profilazione 26 Cookie volti a creare profili relativi all'utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell'ambito della navigazione in rete INFORMATIVA Mentre per i cookie tecnici NON è richiesto alcun consenso preventivo da parte dell utente, in ragione della particolare invasività che tali dispositivi possono avere nell'ambito della sfera privata degli utenti, la normativa europea e italiana prevede che l'utente debba essere adeguatamente informato sull'uso degli stessi ed esprimere così il proprio valido consenso. NOTIFICA L impiego di cookie di profilazione è assoggettato all obbligo di notifica preventiva al Garante, ai sensi dell art. 37, comma 1, lett. (d) del Codice Privacy

27 L autorità Garante nazionale distingue anche in base al soggetto che 27 trasmette il COOKIE 1 Cookie di prime parti 2 Cookie di terze parti

28 1 Cookie di prime parti 28 Sono quelli trasmessi direttamene dal gestore del sito web visitato. Possono essere sia tecnici (di sessione, analitici, di funzionalità) che di profilazione.

29 2 Cookie di terze parti 29 Cookie impostati da un sito web diverso da quello che si sta attualmente visitando. AD ESEMPIO Un sito che abbia integrato un sistema di statistiche come quello di Google Analytics o un plugin sociale come quello di Facebook (pulsante "Mi piace") trasmette cookie di terze parti ai propri utenti fungendo da tramite mediante le proprie pagine web. QUINDI? I cookie di terze parti sono quelli che suscitano le maggiori preoccupazioni perchè sono totalmente estranei alla gestione ed al controllo del titolare del sito che, spesso e volentieri, ne ignora le finalità se non addirittura l esistenza. La distinzione tra cookie di prime e terze parti assume particolare rilievo all'interno della cookie law.

30 COOKIE 30 LAW Come? Come deve comportarsi il titolare di un sito web che vuole mettersi a norma per non rischiare le pesanti sanzioni previste dalla legge?

31 COOKIE LAW Come? Con questa legge, il titolare/gestore del sito web ha l obbligo di acquisire il consenso preventivo e informato degli utenti all installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche. 31 Chiunque utilizzi cookie ha l'obbligo di informare l utente sull'uso di questi e sul tipo di finalità che si intendono perseguire tramite gli stessi. (informativa). L'articolo 122 del Codice della Privacy prevede infatti che le informazioni derivanti dalla tracciatura del profilo di un utente, possano essere utilizzate esclusivamente se tale utente ha manifestato espressamente la propria disponibilità ad utilizzare questi dati. (consenso, non necessario per cookie tecnici)

32 COOKIE LAW Come? 4. L'informativa con modalità semplificate e l'acquisizione del consenso online. 32 Ai fini della semplificazione dell'informativa, si ritiene che una soluzione efficace, che fa salvi i requisiti previsti dall'art. 13 del Codice (compresa la descrizione dei singoli cookie), sia quella di impostare la stessa su due livelli di approfondimento successivi.[ ] L informativa all utente deve avvenire in due fasi distinte 1 Informativa breve 2 Informativa estesa

33 1 Informativa breve L'informativa con modalità semplificate e l'acquisizione del consenso online. [ ] Nel momento in cui l'utente accede a un sito web, deve essergli presentata una prima informativa "breve", contenuta in un banner a comparsa immediata sulla home page (o altra pagina tramite la quale l'utente può accedere al sito) [ ] Informativa breve contenuta in un banner L'avviso deve essere implementato all'interno di tutte le pagine pubblicamente accessibili del sito 4.1. Il banner contenente informativa breve e richiesta di consenso. Più precisamente, nel momento in cui si accede alla home page (o ad altra pagina) di un sito web, deve immediatamente comparire in primo piano un banner di idonee dimensioni ossia di dimensioni tali da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web che si sta visitando [ ] Come deve essere il banner? Il banner deve essere visibile e non confondersi con gli altri contenuti del sito

34 1 Informativa breve Come deve essere il banner? Il banner deve essere visibile e non confondersi con gli altri contenuti del sito 34

35 1 Informativa breve Il banner contenente informativa breve e richiesta di consenso. [ ] banner [ ] contenente le seguenti indicazioni: a) che il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall'utente nell'ambito della navigazione in rete; b) che il sito consente anche l'invio di cookie "terze parti" (laddove ciò ovviamente accada); c) il link all'informativa estesa, ove vengono fornite indicazioni sull'uso dei cookie tecnici e analytics, viene data la possibilità di scegliere quali specifici cookie autorizzare; d) l'indicazione che alla pagina dell'informativa estesa è possibile negare il consenso all'installazione di qualunque cookie; e) l'indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un'immagine o di un link) comporta la prestazione del consenso all'uso dei cookie. Cosa deve contenere il banner? Un avviso circa l'utilizzo dei cookie di profilazione, precisando, qualora ciò accada, che tali cookie possono essere trasmessi anche da "terze parti"; Un link alla pagina contenente l'informativa estesa (la cosiddetta cookie policy); L'indicazione circa la facoltatività del consenso; L'indicazione che la prosecuzione della navigazione o l'interazione con la pagina (come l'esecuzione di un attività di scrolling dei contenuti o il click su un elemento) comporta la prestazione del consenso all'uso dei cookie.

36 1 Informativa breve Un avviso circa l'utilizzo dei cookie di profilazione, precisando, qualora ciò accada, che tali cookie possono essere trasmessi anche da "terze parti. Un link alla pagina contenente l'informativa estesa. 36 L'indicazione circa la facoltatività del consenso; L'indicazione che la prosecuzione della navigazione o l'interazione con la pagina comporta la prestazione del consenso all'uso dei cookie.

37 1 Informativa breve Il banner contenente informativa breve e richiesta di consenso. [ ] il superamento della presenza del banner al video deve essere possibile solo mediante un intervento attivo dell'utente (appunto attraverso la selezione di un elemento contenuto nella pagina sottostante il banner stesso). Intervento attivo dell utente Il banner può essere nascosto all'utente solo dopo che questi abbia espressamente manifestato il proprio consenso all'utilizzo dei cookie. Ad esempio è possibile integrare, all'interno del banner stesso, un bottone di conferma che, una volta premuto, comporta la scomparsa dell'informativa breve. E' consentito registrare tale consenso all'interno di un cookie tecnico in modo tale da non mostrare nuovamente l'informativa agli utenti che hanno già espresso la loro intenzione di acconsentire all'utilizzo dei cookie. Il consenso dell'utente può essere considerato valido anche se prestato mediante un comportamento concludente Ad esempio, la prosecuzione della navigazione su altre pagine del sito oppure mediante l'interazione con la stessa pagina (anche semplice scrolling della pagina equivale ad un comportamento concludente in tal senso: vedi chiarimenti 5 giugno 2015).

38 1 Informativa breve Il banner può essere nascosto all'utente solo dopo che questi abbia espressamente manifestato il proprio consenso all'utilizzo dei cookie.

39 1 Informativa breve E' consentito registrare tale consenso all'interno di un cookie tecnico in modo tale da non mostrare nuovamente l'informativa agli utenti che hanno già espresso la loro intenzione di acconsentire all'utilizzo dei cookie.

40 1 Informativa breve Il consenso dell'utente può essere considerato valido anche se prestato mediante un comportamento concludente

41 1 Informativa breve

42 Il tuo sito/blog installa cookie? Cosa devi fare 42 IMPORTANTE: per una corretta interpretazione degli adempimenti previsti, si raccomanda la consultazione del Provvedimento del Garante dell 8 maggio 2014 e dei «Chiarimenti in merito all attuazione della normativa in materia di cookie». I documenti sono disponibili su Segnalarli nell informativa Art.2, par. 5, Direttiva 2009/136/CE e art. 122, comma 1, Codice privacy Inserire il banner e richiedere il consenso ai visitatori Art.2, par. 5, Direttiva 2009/136/CE e art. 122, comma 1, Codice privacy Notificare al Garante Art. 37, comma 1, lett. d), Codice privacy CHE TIPO DI COOKIE INSTALLI? LEGENDA: adempimento previsto adempimento non previsto Nessun cookie Tecnici o analitici prima parte Analitici terze parti (se sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie» Analitici terze parti (se NON sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie» Di profilazione prima parte Di profilazione terze parti La notificazione è a carico del soggetto terza parte che svolge l attività di profilazione

43 2 Informativa estesa L'informativa con modalità semplificate e l'acquisizione del consenso online. [ ] Nel momento in cui l'utente accede a un sito web, deve essergli presentata una prima informativa "breve", contenuta in un banner a comparsa immediata sulla home page (o altra pagina tramite la quale l'utente può accedere al sito), integrata da un'informativa "estesa", alla quale si accede attraverso un link cliccabile dall utente. [ ] L informativa estesa Deve essere accessibile tramite un link nell informativa breve, nonché tramite un link in calce ad ogni pagina del sito aggiornata. L informativa estesa può essere una pagina a sé stante o una sezione della privacy policy del sito. Dall informativa breve deve sempre essere possibile accedere all informativa estesa del sito.

44 2 Informativa estesa L'informativa estesa. L'informativa estesa deve contenere tutti gli elementi previsti dall'art. 13 del Codice, descrivere in maniera specifica e analitica le caratteristiche e le finalità dei cookie installati dal sito e consentire all'utente di selezionare/deselezionare i singoli cookie. Deve essere raggiungibile mediante un link inserito nell'informativa breve, come pure attraverso un riferimento su ogni pagina del sito, collocato in calce alla medesima. [ ] Cosa deve contenere l informativa estesa? L informativa, oltre a contenere gli elementi comuni quali : le finalità del trattamento dei dati, le modalità di trattamento, l obbligatorietà del conferimento dei dati, gli estremi del titolare del trattamento e dei responsabili, la comunicazione e diffusione dei dati a soggetti diversi dal titolare del trattamento, le conseguenze di un eventuale rifiuto i diritti dell art. 7 del D.lgs. n. 196/2003

45 2 Informativa estesa L'informativa estesa. L'informativa estesa deve contenere tutti gli elementi previsti dall'art. 13 del Codice, descrivere in maniera specifica e analitica le caratteristiche e le finalità dei cookie installati dal sito e consentire all'utente di selezionare/deselezionare i singoli cookie. Deve essere raggiungibile mediante un link inserito nell'informativa breve, come pure attraverso un riferimento su ogni pagina del sito, collocato in calce alla medesima. [ ] Deve contenere anche: un indicazione di cosa sono i cookie, la descrizione delle caratteristiche e delle finalità di ciascuno. Qualora il sito trasmetta cookie di "terze parti" è necessario altresì che l'editore provveda ad integrare l'informativa aggiungendo i link alle informative delle società terze che materialmente trasmettono il cookie.

46 2 Informativa estesa Un indicazione di cosa sono i cookie,

47 2 Informativa estesa La descrizione delle caratteristiche e delle finalità di ciascuno

48 2 Informativa estesa Qualora il sito trasmetta cookie di "terze parti" è necessario altresì che l'editore provveda ad integrare l'informativa aggiungendo i link alle informative delle società terze che materialmente trasmettono il cookie. 48 Cookie di terze parti Visitando un sito web si possono ricevere cookie sia dal sito visitato ( proprietari ), sia da siti gestiti da altre organizzazioni ( terze parti ). Un esempio notevole è rappresentato dalla presenza dei social plugin per Facebook, Twitter, Google+ e LinkedIn. Si tratta di parti della pagina visitata generate direttamente dai suddetti siti ed integrati nella pagina del sito ospitante. L'utilizzo più comune dei social plugin è finalizzato alla condivisione dei contenuti sui social network. La presenza di questi plugin comporta la trasmissione di cookie da e verso tutti i siti gestiti da terze parti. La gestione delle informazioni raccolte da terze parti è disciplinata dalle relative informative cui si prega di fare riferimento. Per garantire una maggiore trasparenza e comodità, si riportano qui di seguito gli indirizzi web delle diverse informative e delle modalità per la gestione dei cookie. Facebook informativa: Facebook (configurazione): accedere al proprio account. Sezione privacy. Twitter informative: Twitter (configurazione): Linkedin informativa: Linkedin (configurazione): Google+ informativa: Google+ (configurazione):

49 2 Informativa estesa 49 Se non riesco ad individuare le terze parti? Se il titolare del trattamento non abbia contatti diretti con le terze parti, o nel caso in cui fosse particolarmente difficile individuare tutte le terze parti coinvolte, sarà sufficiente che il titolare del trattamento inserisca all interno dell informativa estesa un link al sito

50 2 Informativa estesa sarà sufficiente che il titolare del trattamento inserisca all interno dell informativa estesa un link al sito Come posso gestire i cookie? Ci sono diverse opzioni per gestire, disabilitare e cancellare i cookie: (A) Attraverso le impostazioni del browser [ ] (B) Con le modalità messe a disposizione dalle terze parti [ ] (C) Attraverso il sito Internet Your Online Choices è un sito Internet gestito dall'associazione non-profit European Interactive Digital Advertising Alliance (EDAA), la cui versione in lingua italiana è raggiungibile all'indirizzo che fornisce informazioni sulla pubblicità comportamentale basata sui cookie di profilazione ( e consente agli utenti di Internet di opporsi facilmente (opt-out) all'installazione dei principali cookie di profilazione installati dagli operatori pubblicitari ed utilizzati su siti Internet ( Prima di utilizzare questo strumento, ti consigliamo di leggere attentamente le condizioni generali di servizio del sito Your Online Choices ( le domande frequenti (FAQ) ( it/faqs) e la guida per l'utente ( N.B.: sebbene Your Online Choices riunisca molte delle più importanti società del mondo pubblicitario che utilizzano cookie, alcune delle terze parti che installano cookie attraverso il Sito potrebbero non aver aderito a Your Online Choices. Pertanto, l'utilizzo di Your Online Choices non garantisce che si riceveranno cookie di terze parti navigando sul Sito. Ricordati, inoltre, che eliminando tutti i cookie dal proprio browser, anche i cookie tecnici rilasciati da Your Online Choices per ricordare le tue scelte potrebbero essere eliminati, rendendo nuovamente attivi i cookie di terze parti.

51 2 Informativa estesa 51 All'interno dell'informativa estesa deve essere indicata la possibilità per l'utente di esprimere le proprie preferenze in merito ai cookie ed alla loro disattivazione Può essere fatto anche mediante la semplice indicazione delle procedure necessarie al blocco totale e/o selettivo dei cookie mediante le impostazioni del browser di navigazione. Può ritenersi sufficiente anche l'inserimento dei link alle relative pagine d'istruzioni fornite dai produttori dei software

52 2 Informativa estesa privacy-sistema-portale-ateneo 52 Come disabilitare i cookie Per disabilitare tutti i cookie È possibile negare il consenso all utilizzo dei cookie selezionando l'impostazione appropriata sul proprio browser: la navigazione non autenticata sui siti web del Sistema Portale sarà comunque disponibile in tutte le sue funzionalità. Si forniscono di seguito i link che spiegano come disabilitare i cookie per i browser più diffusi (per altri browser eventualmente utilizzati suggeriamo di cercare questa opzione nell help del software). Internet Explorer: Google Chrome: Mozilla Firefox: Opera: Apple Safari: Per disabilitare i cookie terze parti La disattivazione dei cookie di terze parti è inoltre possibile attraverso le modalità rese disponibili direttamente dalla società terza titolare per detto trattamento. Per disabilitare soltanto i cookie di Google Analytics è possibile utilizzare il componente aggiuntivo di opt-out fornito da Google per i browser principali. In questo modo sarà possibile utilizzare anche i servizi on-line dei siti del Sistema Portale. Per conoscere le norme sulla privacy di Google, si invita a vistare il sito Internet Per cancellare cookie già memorizzati sul terminale Anche se viene revocata l autorizzazione all utilizzo di cookie di terze parti, prima di tale revoca i cookie potrebbero essere stati memorizzati sul terminale dell utente. Per motivi tecnici non è possibile cancellare tali cookie, tuttavia il browser dell utente consente la loro eliminazione tra le impostazioni sulla privacy. Le opzioni del browser contengono infatti l opzione Cancella dati di navigazione che può essere utilizzata per eliminare i cookies, dati di siti e plug-in.

53 2 Informativa estesa Può ritenersi sufficiente anche l'inserimento dei link alle relative pagine d'istruzioni fornite dai produttori dei software 53 Come modificare le impostazioni sui cookie? Come scegliere quali cookie accettare? La maggior parte dei browser Internet accetta i cookie automaticamente, ma e' possibile modificare le impostazioni del browser per cancellare i cookie o impedirne l'accettazione automatica. Puoi anche rifiutare l'uso dei cookie ma in questo caso, la possibilita' di fornirti informazioni e servizi personalizzati sara' limitata, o alcune funzionalita' del sito potrebbero non funzionare correttamente ed alcuni dei servizi non essere disponibili. Di seguito una serie di link alle guide per le impostazioni relative ai cookie dei principali browser. Internet Explorer: Internet Explorer [windows mobile]: Chrome: Safari: Safari [versione mobile]: Firefox: Blackberries: Turn_off_cookies_in_the_browser_60_ _11.jsp Android: Opera:

54 Il tuo sito/blog installa cookie? Cosa devi fare 54 IMPORTANTE: per una corretta interpretazione degli adempimenti previsti, si raccomanda la consultazione del Provvedimento del Garante dell 8 maggio 2014 e dei «Chiarimenti in merito all attuazione della normativa in materia di cookie». I documenti sono disponibili su Segnalarli nell informativa Art.2, par. 5, Direttiva 2009/136/CE e art. 122, comma 1, Codice privacy Inserire il banner e richiedere il consenso ai visitatori Art.2, par. 5, Direttiva 2009/136/CE e art. 122, comma 1, Codice privacy Notificare al Garante Art. 37, comma 1, lett. d), Codice privacy CHE TIPO DI COOKIE INSTALLI? LEGENDA: adempimento previsto adempimento non previsto Nessun cookie Tecnici o analitici prima parte Analitici terze parti (se sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie» Analitici terze parti (se NON sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie» Di profilazione prima parte Di profilazione terze parti La notificazione è a carico del soggetto terza parte che svolge l attività di profilazione

55 Notificazione al garante 55 L impiego di cookie di profilazione è assoggettato all obbligo di notifica preventiva al Garante, ai sensi dell art. 37, comma 1, lett. (d) del Codice Privacy. La notificazione va effettuata telematicamente, una sola volta e prima che inizi il trattamento dei dati e attendere la relativa autorizzazione, tempi di attesa che mediamente si aggirano tra sessanta e novanta giorni. Deve essere accompagnata dal pagamento dei diritti di segreteria, il cui importo è fissato in 150,00. Puoi fare la notificazione da h_mnu=notificatelematica

56 Notificazione al garante 56 Sono esentati da tale adempimento tutti i siti che non facciano uso in maniera diretta di cookie per la profilazione dell'utenza Quindi sono esclusi dall'obbligo di notifica: I siti che trasmettono cookie di profilazione di "terze parti I siti che utilizzano direttamente cookie tecnici per i quali non è richiesto alcun adempimento.

57 Notificazione al garante 57 Devo fare la notifica se uso Google AdSense? Il titolare di un sito che integra Google AdSense ed usa solo cookie di profilazione di terze parti (a meno di uno specifico accordo con Google che lo renda contitolare del trattamento dei dati) non è gravato dall obbligo di notifica.

58 Notificazione al garante 58 Devo fare la notifica se uso Google Analytics? Se usate Google Analytics dovete effettuare la notifica al Garante e spendere i 150 euro. Ma non avere fretta Aspetta di vedere le altre slide

59 Il tuo sito/blog installa cookie? Cosa devi fare 59 IMPORTANTE: per una corretta interpretazione degli adempimenti previsti, si raccomanda la consultazione del Provvedimento del Garante dell 8 maggio 2014 e dei «Chiarimenti in merito all attuazione della normativa in materia di cookie». I documenti sono disponibili su Segnalarli nell informativa Art.2, par. 5, Direttiva 2009/136/CE e art. 122, comma 1, Codice privacy Inserire il banner e richiedere il consenso ai visitatori Art.2, par. 5, Direttiva 2009/136/CE e art. 122, comma 1, Codice privacy Notificare al Garante Art. 37, comma 1, lett. d), Codice privacy CHE TIPO DI COOKIE INSTALLI? LEGENDA: adempimento previsto adempimento non previsto Nessun cookie Tecnici o analitici prima parte Analitici terze parti (se sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie» Analitici terze parti (se NON sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie» Di profilazione prima parte Di profilazione terze parti La notificazione è a carico del soggetto terza parte che svolge l attività di profilazione

60 Chiarimenti del 5 giugno La normativa in materia di cookie si applica a tutti i siti che, a prescindere dalla presenza di una sede nel territorio dello Stato, installano cookie sui terminali degli utenti, utilizzando, quindi, per il trattamento strumenti situati sul territorio nazionale. I siti che non utilizzano cookie, non sono soggetti agli obblighi previsti dalla normativa Per i siti che utilizzando cookie esclusivamente tecnici è richiesto il solo rilascio dell informativa con le modalità ritenute più idonee (ad es. inserendo il riferimento nella privacy policy del sito) senza necessità di realizzare un apposito banner.

61 Chiarimenti del 5 giugno cookie analitici I cookie analitici (cioè quelli necessari per monitorare l uso del sito da parte degli utenti per finalità di ottimizzazione dello stesso per finalità statistiche su dati anonimi e aggregati) possono essere assimilati ai cookie tecnici se vengono realizzati e utilizzati direttamente dal sito senza l intervento di soggetti terzi e se il cookie analitico è di terze parti? Se viene utilizzato un cookie analitico di terza parte (es. Google Analytics), sebbene il gestore del sito internet acceda alle informazioni, per finalità statistiche, unicamente su base anonima e aggregata, ma la terza parte vi acceda in chiaro, dunque non in modalità anonima e aggregata, nonché li incroci e arricchisca con altri dati di cui risulta già in possesso, tale cookie non potrà invece essere assimilato ad un cookie tecnico. quindi?

62 Chiarimenti del 5 giugno cookie analitici quindi, qualora non si voglia o essere soggetti all obbligo di notificazione o incorrere nelle multe previste dalla Cookie Law, bisogna assicurarsi che il rilevamento degli indirizzi IP avvenga in forma anonima. e come faccio? All interno del pannello di controllo di Analytics è, però, possibile sia anonimizzare l IP che non condividere le proprie informazioni con Google e i propri partner

63 63 COOKIE LAW IN PRATICA Stefano Carli Vedi

64 Applichiamo la normativa Identifichiamo i cookie Il primo passo richiesto dalla normativa è indubbiamente l'individuazione dei cookie utilizzati dal proprio sito (categoria e finalità) Utilizzando 2 Utilizzando strumenti del browser strumenti di terze parti

65 Applichiamo la normativa Identifichiamo i cookie 1Utilizzando strumenti del browser Firefox: Firebug/Firecookie Web Developer segna tutti i cookie che utilizzi mediante la funzione di Web Developer:Strumenti >> Web Developer Extension >> Cookies >> View Cookie Information Chrome Console Javascript Editthiscookie Attaccat cookie audit tool Segna tutti i cookie che utilizzi premendo su Start Recording e poi su Stop Recording. Controlla il View Report per trovare i cookie usati dal tuo sito Safari Inspector web 65

66 Applichiamo la normativa Identifichiamo i cookie 2 Utilizzando strumenti di terze parti Sitebeam Usa questo servizio in versione trial (analizza solo 5 pagine) e scegli l opzione per controllare la conformità del tuo sito alla normativa UE Nibirumail: Versione gratuita. Oltre ad individuare i cookie del tuo sito web, genera automaticamente e in base ai cookie rilevati, la pagina della privacy policy. Cookie checker Web cookies scanner Online cookie audit 66

67 Applichiamo la normativa Approfondimento: Sito con social network Se sul sito ci sono link a siti terze parti (es. banner pubblicitari; collegamenti a social network) che non richiedono l'installazione di cookie di profilazione non c'è bisogno di informativa e consenso. 67 Secondo gli ultimi chiarimenti del Garante e come da infografica, i cookie installati dai social buttons (Facebook, Twitter, Google Plus, ecc ), i cookie installati dall implementazione degli iframe dei video Youtube ecc sono tutti di terze parti e pertanto richiedono sempre il rispetto del principio dell opt-in con tutti i conseguenti obblighi informativi che ne derivano. (Informativa + banner + richiesta consenso. Nessuna notifica.)

68 Applichiamo la normativa Approfondimento: Sito con google analytics 68 Entra in google analytics > Amministrazione Scegli codice di monitoraggio

69 Applichiamo la normativa Approfondimento: Sito con google analytics Questo è il tuo codice di monitoraggio, probabilmente lo hai già inserito nel tuo sito 69

70 Applichiamo la normativa Approfondimento: Sito con google analytics 70 Nel codice sorgente dello script di Google Analytics inserito nelle pagine web va aggiunta, sotto la riga con l ID di monitoraggio, la seguente stringa: ga( set, anonymizeip, true); <script> (function(i,s,o,g,r,a,m){i['googleanalyticsobject']=r;i[r]=i[r] function(){ (i[r].q=i[r].q []).push(arguments)},i[r].l=1*new Date();a=s.createElement(o), m=s.getelementsbytagname(o)[0];a.async=1;a.src=g;m.parentnode.insertbefore(a,m) })(window,document,'script',' ga('create', 'UA ', 'auto'); ga('send', pageview'); ga( set, anonymizeip, true); </script>

71 Applichiamo la normativa Approfondimento: Sito con google analytics 71 Nella sezione amministrazione è possibile, inoltre, modificare le impostazioni dell account

72 Applichiamo la normativa Approfondimento: Sito con google analytics 72 Alla voce impostazioni di condivisione dei dati occorre togliere la spunta a tutti i seguenti servizi: prodotti e servizi Google; assistenza tecnica; esperti dell account (entrambe le voci), etc

73 Applichiamo la normativa Approfondimento: Sito con google analytics 73

74 Applichiamo la normativa creiamo una cookie policy automaticamente Nibirumail: Versione gratuita. Oltre ad individuare i cookie del tuo sito web, genera automaticamente e in base ai cookie rilevati, la pagina della privacy policy. 74

75 Applichiamo la normativa creiamo banner e una cookie policy automaticamente Nibirumail cookie policy generator wordpress: Questo plugin, senza interventi manuali, genera automaticamente il banner informativo con il link alla privacy policy completa. 75

76 Applichiamo la normativa creiamo banner e una cookie policy automaticamente Cookie consent: è l evoluzione di Cookie consent ver. 1, molto più leggero, più personalizzabile e meno complesso del suo predecessore (ma senza blocco automatico dei cookie, la ver 1 permette il blocco dei cookie) 76

77 Applichiamo la normativa blocco preventivo Esiste un punto non chiaro all'interno della normativa: se il mio sito trasmette cookie di profilazione di terze parti sono obbligato a bloccarli in attesa del consenso dell utente? 77

78 Applichiamo la normativa generare banner preventivo EU cookie law: Disponibile per per WordPress, Drupal, Joomla e altri CMS (e non) PHP. Con il plugin EUCookieLaw puoi bloccare preventivamente tutti i domini (di terze parti) che tipicamente producono cookie, semplicemente inserendo nel campo Domini bloccati delle impostazioni del plugin, i domini relativi ai servizi che utilizzi nel tuo sito senza indicare il protocollo 78

79 Applichiamo la normativa generare banner normale Cookie law info: Plugin wordpress. Ha anche un modulo per il controllo dei cookie che vengono visualizzati in maniera ordinata in una tabella inserita nella pagina Privacy Policy. Script javascript: Se non volete usare un plugin, potete usare uno script di questo tipo 79

80 Applichiamo la normativa :\ 80