Guida pratica all individuazione dei cookies di un sito internet e alla loro corretta indicazione in una Privacy (cookie) policy

Transcript

1 Guida pratica all individuazione dei cookies di un sito internet e alla loro corretta indicazione in una Privacy (cookie) policy Versione 1.0 1

2 Sommario Premessa... 3 SEZIONE 1 - INDIVIDUARE I COOKIE UTILIZZATI DAL TUO SITO UTILIZZANDO LA CONSOLE DEGLI SVILUPPATORI DI CHROME Indicazioni operative... 4 SEZIONE 2 - INDICARE I COOKIE INDIVIDUATI IN UNA PRIVACY (COOKIE) POLICY Indicazioni operative Cookie tecnici e di sessione (siti web dinamici e CMS) da indicare nella Privacy (cookie) policy Cookie di analisi (indicazioni valide per siti web dinamici, CMS e siti web statici) Cookie di terze parti (indicazioni valide per siti web dinamici, CMS e siti web statici)

3 Premessa La presente guida pratica nasce allo scopo di agevolare il responsabile di un sito internet di Ateneo nella pubblicazione sul web della corrispondente informativa Privacy e cookie: informativa che, per essere conforme alle vigenti disposizioni normative in materia di trattamento di dati personali, deve obbligatoriamente riportare un riferimento ai cookie utilizzati da un portale internet sufficientemente dettagliato. Per ulteriori approfondimenti in merito alla definizione, alle tipologie di cookie, alle implicazioni in materia di Privacy degli utenti connessi ad un sito internet che faccia uso di cookie, oltre che per approfondire la conoscenza di alcune delle tecniche che è possibile attuare per limitare il potere di profilazione dei cookie maggiormente utilizzati, consulta le linee guida di Ateneo Siti web di Ateneo: adempimenti necessari in materia di gestione dei cookie, di cui il presente documento costituisce allegato. Avvertenza! Oltre a tecniche differenti rispetto a quelle descritte nella presente guida, esistono innumerevoli estensioni per web browser in grado di agevolare gli interessati nell attività di individuazione dei cookie utilizzati dal proprio sito web. Non ne consigliamo l utilizzo, non essendo sempre possibile determinare con certezza se la loro installazione su un web browser possa o meno causare malfunzionamenti dei dispositivi in uso o il download di malware. 3

4 SEZIONE 1 - INDIVIDUARE I COOKIE UTILIZZATI DAL TUO SITO UTILIZZANDO LA CONSOLE DEGLI SVILUPPATORI DI CHROME 1.Indicazioni operative Per capire "quali" cookie vengono utilizzati da un sito web è necessario compiere le operazioni di lettura di seguito descritte: 1) Pulisci in maniera approfondita la cache del browser che stai utilizzando. Attenzione! La cancellazione della cronologia di navigazione del browser determinerà la disconnessione da tutti i servizi a cui si è loggati, ma causerà anche l eliminazione della lista di tutte le pagine web che hai visitato nel corso del tempo. Salva i link di tuo interesse tra i preferiti prima di procedere! Utilizzando Goolge Chrome: Click su Impostazioni (simbolo con tre pallini in alto a destra); Click su Cronologia -> Cancella dati di navigazione -> Avanzate -> Click su Tab Tutto (verificare che, tra le altre, la voce Cookie e altri dati dei siti sia spuntata). 2) Verifica di non essere loggato ad altri servizi web (es. CAS di Ateneo). 3) Se il tuo sito web è di tipo dinamico (es CMS WordPress oppure realizzato in casa con PHP), effettua il login ad esso inserendo le credenziali di accesso di cui disponi. Se il tuo sito web è statico (estensione pagine.htm,.html) salta questo punto. 4) Apri la home page del tuo sito verificando che altre pagine web (del tuo o di altri siti internet) non siano aperte. 5) Partendo dalla home, fai click sul tasto F12: si aprirà la console di sviluppo del browser utilizzato. Nella console di sviluppo così aperta individua il tab "Application". Sul lato sinistro dello schermo noterai la presenza della la voce "Cookies". Cliccaci sopra per individuarli: 4

5 6) Visita tutte le restanti pagine del sito web (aprile una ad una) e ripeti l operazione descritta al punto 5. Non è necessario chiudere le e finestre del browser che di volta in volta si sono aperte se non hai navigato su siti diversi dal tuo. 7) Prendi nota dei cookie a cui si fa riferimento nella console di sviluppo di Chrome, tenendo almeno conto: di tre delle possibili tipologie di cookie: Cookie tecnici e di sessione, Cookie analitici, Cookie di terze parti del nome del cookie del dominio di origine del cookie della funzionalità / tipi di dati raccolti della durata / scadenza del cookie e riportali in una tabella analoga alla seguente (che incollerai dove indicato nella Sezione n.2 del seguente documento): Nome Origine Funzione / dati raccolti Scadenza _cookie n.1 Utilizzato per raccogliere mesi _cookie n.2 Utilizzato per raccogliere 10 minuti Attenzione! La funzionalità dei cookie individuati e i tipi di dati raccolti tramite essi non è indicata, ad oggi, nella console di sviluppo di Google Chrome. Per comprendere a cosa servono e quali dati personali vengono raccolti tramite cookie è necessario visitare le pagine web Privacy e cookie delle aziende titolari dei servizi veicolati da un sito web (es. Google per Google Analytics) o che hanno prodotto le tecnologie da te implementate sul sito (es. il pulsante Like di Facebook) e/o recuperare la lista delle tecnologie utilizzate (es. esempio lista dei plugin di WordPress) che ti aiuti a capire quali sono le Privacy e cookie policy delle aziende ad esse riferite e quindi, a recuperare informazioni. Ad esempio, puoi trovare un riferimento dettagliato ai cookie Google su: (Generale) (Google Analytics) 8) Indica nel dettaglio almeno il nome, il dominio di origine, la funzionalità (tipi di dati raccolti) e la durata dei cookie nella tua Privacy (cookie) policy seguendo la procedura descritta nella sezione n.2 del documento. 5

6 SEZIONE 2 - INDICARE I COOKIE INDIVIDUATI IN UNA PRIVACY (COOKIE) POLICY 1. Indicazioni operative 1.1 Cookie tecnici e di sessione (siti web dinamici e CMS) da indicare nella Privacy (cookie) policy a) Se usi il CMS WordPress Seguendo le indicazioni operative fornite nella Sezione 1 del presente documento, verifica che non vengano utilizzati cookie tecnici e di sessione ulteriori rispetto a quelli già indicati nella tua Privacy (cookie) policy, altrimenti indicali fornendo almeno nome, origine/ dominio origine, funzione (tipi dati raccolti), durata. A tal proposito, potrebbe essere necessario consultare in aggiunta l apposita documentazione tecnica visitando i siti web del CMS utilizzato (es. WordPress, Joomla, Drupal) e/o rivolgersi al proprio webmaster. Esempio (valido per CMS WordPress): 6. Utilizzo di cookie I cookie sono file di testo che vengono depositati sui computer degli utenti web per consentire l esplorazione sicura ed efficiente del sito e monitorarne l utilizzo. Il sito utilizza tre tipi di cookie: cookie tecnici e di sessione, cookie di monitoraggio (Google Analytics) e cookie di terze parti. Potrebbero essere utilizzati / Non vengono utilizzati ulteriori cookie con finalità promozionali o pubblicitari. 6.1 Cookie tecnici e di sessione di prima parte (indispensabili per l utilizzo dei servizi on line e per l accesso alle aree riservate del portale) ll sito utilizza diversi cookie http di sessione per gestire l autenticazione ai servizi on-line e alle aree riservate. L uso di cookie di sessione (che non vengono memorizzati in modo persistente sul computer dell utente e si eliminano con la chiusura del browser) è strettamente limitato alla trasmissione di identificativi di sessione (costituiti da numeri casuali generati dal server) necessari per consentire l esplorazione sicura ed efficiente del sito. Questi cookie non memorizzano alcun tipo di informazione di identificazione personale. La disabilitazione dei cookie di sessione non consente di fruire in modo completo le risorse mese a disposizione del sito. Cookie tecnici utilizzati da (potrebbe essere necessaria integrazione): Nome Origine Funzione / dati raccolti Scadenza wordpress_*, wordpress_logged_in_*, wordpress_sec_*, wordpress_test_*, wordpress_test_cookie, _wp_session Migliorare i servizi per gli utenti del sito, consentire o facilitare la navigazione (es: utenticare gli utenti registrati, memorizzare le preferenze, impostare la lingua e tenere traccia delle pagine visitate). Sessione Wp-settings-*, wp-settings-time-* 1 anno b) Se non usi il CMS WordPress (es. sito realizzato in casa con PHP o basato su altro CMS, es. Drupal o Joomla) Indica i cookie tecnici e di sessione utilizzati dal sito fornendo almeno nome, dominio di origine, funzione (tipi di dati raccolti) e scadenza / durata. 6

7 Attenzione! Potrebbe essere necessario consultare in aggiunta l apposita documentazione tecnica fornita dal proprio webmaster. Esempio: Nome Origine Funzione / dati raccolti Scadenza JSESSIONID Collega la sessione utente lato server con la sessione utente nel browser in uso; Sessione 1.2 Cookie analitici (indicazioni valide per siti web dinamici, CMS e siti web statici) Generalmente il servizio di analisi dei dati raccolti tramite un sito internet viene svolto attraverso Google Analytics, anche se non necessariamente. Ricordati che il servizio Google Analytics andrebbe sempre utilizzato anonimizzando gli IP dei client connessi al tuo portale web, come ampiamente descritto in: Siti web di Ateneo: adempimenti necessari in materia di gestione dei cookie disponibile su ( Sicurezza informatica e protezione dei dati personali -> Regolamenti e linee guida ). In ogni caso, se utilizzi Google Analytics, nella Privacy (cookie) policy del sito, in corrispondenza del paragafo 3. Tipi di dati trattati : 1) riporta un riferimento al servizio nella Privacy (Cookie) policy. Esempio: 3. Tipi di dati trattati I Dati Personali sono raccolti per le seguenti finalità ed utilizzando i seguenti servizi. I sistemi informatici e le procedure applicative preposte al funzionamento del sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell uso dei protocolli di comunicazione sulla Internet. Per l utilizzo di servizi on-line che prevedono l autenticazione, la registrazione o l invio di sono utilizzati dati personali forniti liberamente dagli utenti secondo diverse modalità. L'invio facoltativo, esplicito e volontario di posta elettronica agli indirizzi indicati sul sito comporta la successiva acquisizione dell'indirizzo del mittente, necessario per rispondere alle richieste, nonché degli eventuali altri dati personali inseriti nella missiva. Il sito web si avvale dei seguenti servizi: Analisi del traffico dati tramite Google Analytics (con anonimizzazione IP) 2) individua, all interno della Privacy (cookie) policy, il paragrafo in un si fa riferimento a 6.2 Cookie di monitoraggio e inserisci il link alla Privacy policy dell azienda (Google) e alla procedura di opt out. 7

8 Esempio: 6.2 Cookie di monitoraggio Descrizione del servizio Il sito si avvale del servizio Google Analytics della società Google, Inc. (di seguito "Google") per la generazione di statistiche sull'utilizzo del portale web; Google Analytics utilizza cookie (non di terze parti) che non memorizzano dati personali. Le informazioni ricavabili dai cookie sull utilizzo del sito web da Utilizzando il sito, si acconsente al trattamento dei propri dati da parte di Google per le modalità e i fini sopra indicati e nelle modalità dichiarate dal fornitore del servizio. Google Analytics (con anonimizzazione IP) Privacy policy (Link a Privacy Policy Google) Opt out Nome Origine Funzione / dati raccolti Scadenza _ga Google Utilizzato per raccogliere dati anonimi sulle statistiche di accesso al sito _gat Google Utilizzato per raccogliere dati anonimi sulle statistiche di accesso al sito Google 24 mesi (2 anni): la data di scadenza viene rinnovata ad ogni hit 10 minuti 3) segui la procedura descritta nella sezione 1 del presente documento e integra le informazioni riportate nella tabella riportata di sopra con un riferimento dettagliato (nome, origine, funzione /dati raccolti, scandenza /durata) ai cookie analitici di Google Analytics ulteriori (es. _utma,_utmz). Puoi trovare un riferimento dettagliato ad ulteriori cookie di Google Analytics su: Procedi in analogia se utilizzi un altro tipo di servizio di analisi del traffico dati. 1.3 Cookie di terze parti (indicazioni valide per siti web dinamici, CMS e siti web statici) L indicazione all interno della Privacy (cookie) policy di cookie di terze parti comporta la necessità preliminare di prendere nota di tutte le tecnologie e dei servizi veicolati dal sito web poiché l attivazione di alcuni servizi di terze parti, che spesso avviene tramite l installazione di appositi plugin / estensioni, può (ma non è detto!) portare all utilizzo di cookies in grado di profilare gli utenti del portale. In linea generale, ricordati che i servizi offerti da Google (oltre ad Analytics senza anonimizzazione degli IP, Google Maps, YouTube ), il click sui pulsanti Like di Facebook o Twitter, la condivisione di articoli sui social tramite l utilizzo di appositi plugin ( click sui bottoni social di AddThis, ShareThis ) determina l installazione di cookie di terze parti in grado di tracciare un profilo l utente, sempre che non si adottino apposite strategie mitigatorie. 8

9 Per ulteriori informazioni, cfr. Siti web di Ateneo: adempimenti necessari in materia di gestione dei cookie disponibile su ( Sicurezza informatica e protezione dei dati personali -> Regolamenti e linee guida ). 1) Recupera la lista delle tecnologie e dei servizi utilizzati dal sito direttamente o tramite plugin installati (es. Lista dei plugin di WordPress -> compare quello usato per incorporare un video di YouTube). 2) Verifica, visitando le pagine web privacy e cookie delle aziende /software house produttrici, se il loro utilizzo implichi il rilascio di cookie di terze parti (Es: Cosa significa embeddare un video da YouTube?). 3) Modifica il paragrafo 3. Tipi di dati trattati della tua Privacy (cookie) policy (dove è evidenziato) eliminando il riferimento ai servizi non utilizzati (es. Pulsante like di Facebook) e aggiungendo gli utilizzati comprensivi (YouTube): Esempio: 3. Tipi di dati trattati I Dati Personali sono raccolti per le seguenti finalità ed utilizzando i seguenti servizi. I sistemi informatici e le procedure applicative preposte al funzionamento del sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell uso dei protocolli di comunicazione sulla Internet. Il sito web si avvale dei seguenti servizi: Incorporamento di video di YouTube 4) Analizza il tuo sito web seguendo la procedura descritta nella prima sezione di questo documento al fine di comprendere se e quali Cookie di terze parti vengono rilasciati dal tuo sito, annotali e fornisci indicazioni di maggior dettaglio rispetto a quelle offerte nel paragrafo 3 della tua Privacy (cookie) policy inserendole nel paragrafo 6.3 Cookie di terze parti (a cui il paragrafo 3 rimanda). Ricordati di inserire una breve descrione del servizio, link alla Privacy policy dell azienda e ad un eventuale procedura di opt out! Il risultato finale somiglierà a quanto segue: 6.3 Cookie di terze parti Questo sito utilizza alcune funzionalità fornite da altre organizzazioni ( Terze parti ) per migliorare l esperienza di navigazione quali ad esempio l'inclusione di video. Le informazioni raccolte da terze parti non sono accessibili alla proprietà di questo sito e la loro gestione è disciplinata dalle relative informative cui si prega di fare riferimento. YouTube Breve descrizione del servizio Privacy policy (Link a privacy policy YouTube - Google) Nome Origine Funzione / dati raccolti Durata VISITOR_INFO1_LIVE 9

10 PREF 5) Ripeti l operazione per tutti gli altri servizi da te utilizzati (es. Google Maps). 3. Tipi di dati trattati I Dati Personali sono raccolti per le seguenti finalità ed utilizzando i seguenti servizi. I sistemi informatici e le procedure applicative preposte al funzionamento del sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell uso dei protocolli di comunicazione sulla Internet. Il sito web si avvale dei seguenti servizi: Incorporamento di video di YouTube Incorporamento di mappe stradali di Google Maps 4., 5., Cookie di terze parti Questo sito utilizza alcune funzionalità fornite da altre organizzazioni ( Terze parti ) per migliorare l esperienza di navigazione quali ad esempio l'inclusione di video. Le informazioni raccolte da terze parti non sono accessibili alla proprietà di questo sito e la loro gestione è disciplinata dalle relative informative cui si prega di fare riferimento. YouTube Breve descrizione del servizio Privacy policy (Link a privacy policy YouTube - Google) Nome Origine Funzione / dati raccolti Durata VISITOR_INFO1_LIVE PREF Google Maps Breve descrizione del servizio Privacy policy (link a Privacy policy Google) 10

11 Nome Origine Funzione / dati raccolti Durata NID 6) Verifica che il banner di notifica di utilizzo dei cookies sia conforme ai requisiti di Legge. Se non hai inibito il potere di profilazione degli utenti da parte di aziende esterne come indicato in Siti web di Ateneo: adempimenti necessari in materia di gestione dei cookie (es. utilizzo di Google Analytics con anonimizzazione ip, embedding di video di YouTube utilizzando come dominio di origine youtube-nocookie.com al posto di youtube.com ecc.) sei tenuto ad installare un banner visibile su ogni pagina web del tuo sito che: o indichi chiaramente che la navigazione sul sito, implica o potrebbe implicare anche la profilazione di utenti a causa dell utilizzo sul sito web di cookie analitici e di terze parti (in conseguenza dell utilizzo sul sito di plugin / servizi particolari, come il pulsante like di Facebook) o che sia prodotto da un plugin / script in grado di bloccare realmente e prima dell approvazione dell utente all installazione (non a prescindere da un ok!) i cookie di profilazione 11