Cosa sono i software GDPR?
Negli ultimi anni le leggi sulla privacy si sono moltiplicate in tutto il mondo, dal GDPR europeo al CCPA della California fino alla LGPD brasiliana: un aspetto comune è che la responsabilità legale del trattamento dei dati ricade in gran parte su chi gestisce siti e piattaforme online. I software GDPR sono le applicazioni progettate per aiutare a garantire questa conformità, con funzionalità come:
- Mappatura e analisi dei dati personali trattati dall’organizzazione;
- Creazione e aggiornamento del registro dei trattamenti, delle informative e dei consensi;
- Supporto alla nomina e alla formazione del DPO;
- Valutazione e gestione dei rischi e delle violazioni dei dati;
- Gestione delle richieste dei titolari dei dati (accesso, rettifica, cancellazione, opposizione, portabilità, limitazione);
- Generazione di report e documenti di accountability.
Perché servono software dedicati alla gestione dei cookie?
Un sito nell’UE, o che tratta dati di cittadini UE, deve rispettare le condizioni di trattamento stabilite dall’art. 5 del GDPR: il consenso è la prima condizione, e richiede un permesso chiaro e inconfondibile prima di qualsiasi raccolta o elaborazione dei dati. I cookie sono lo strumento più comune con cui i siti trattano dati personali, e garantirne la conformità è più complesso di quanto sembri: uno studio del 2020 sulla dinamica dei cookie di terze parti (“Beyond the Front Page: Measuring Third Party Dynamics in the Field”, Urban et al.) ha rilevato che includere un solo fornitore terzo può generare richieste a catena verso fino a otto servizi aggiuntivi, e che metà dei “rami” di queste catene di cookie cambia da una visita all’altra dello stesso sito.
In altre parole: i cookie realmente attivi su un sito raramente restano gli stessi nel tempo, ed è complicato tenerne traccia manualmente. Fonte: Urban, Degeling, Holz, Pohlmann, “Beyond the Front Page: Measuring Third Party Dynamics in the Field”, Web Conference 2020.
Per questo, chi gestisce un sito ha bisogno di una piattaforma di gestione del consenso che monitori cookie e tracker che trattano dati personali, rispettando il requisito di consenso del GDPR in modo continuativo, non solo al momento della pubblicazione del sito.
Cosa prevedono le Linee guida EDPB sul consenso valido?
Il Comitato Europeo per la Protezione dei Dati (EDPB) è l’autorità di riferimento per l’applicazione coerente del GDPR nell’UE. Le sue Linee guida sul consenso, adottate nella versione definitiva il 4 maggio 2020, chiariscono cosa costituisce un consenso valido:
- I dati personali possono essere trattati solo dopo aver ottenuto un consenso chiaro e informato.
- Le caselle preselezionate nei banner dei cookie non sono valide.
- La navigazione continuata sul sito non può essere considerata un consenso valido.
- Non è permesso l’uso dei cookie wall, che rendono il consenso una condizione obbligata per accedere al sito.
Come Avacy risponde a questi requisiti?
Avacy è una piattaforma di gestione del consenso pensata per la conformità al GDPR, alla Direttiva ePrivacy e alle altre normative sulla privacy, installabile e gestita direttamente dal cloud. Il suo scanner identifica cookie e tracker con scansioni periodiche, per aggiornare la dichiarazione dei cookie senza doverlo fare manualmente, e blocca automaticamente tutti i cookie non tecnici fino al consenso dell’utente, tramite un banner personalizzabile.
Le funzionalità principali includono:
- Scanner per rilevare cookie e tracker;
- Blocco automatico di tutti i cookie non tecnici fino al consenso;
- Consenso granulare per una scelta libera e informata;
- Banner di consenso per gestire il permesso degli utenti;
- Documentazione del consenso;
- Richiesta periodica di rinnovo del consenso.
La responsabilità della privacy non è (solo) degli utenti
Il web offre strumenti che aiutano gli utenti a proteggere la propria privacy, come browser specializzati, VPN e ad blocker. Sono però misure temporanee, non una soluzione definitiva: non sostituiscono la necessità per i siti di conformarsi al GDPR con misure specifiche e organizzate.
Il GDPR introduce il principio di privacy by design, che obbliga le aziende a integrare la privacy fin dalla fase di progettazione dei propri servizi, richiedendo agli utenti di dare un consenso esplicito all’uso di cookie di marketing e altre forme di tracciamento. Scaricare sugli utenti il compito di disattivare queste opzioni (un approccio “opt-out” invece che “opt-in”) va contro questo principio: la responsabilità di partire da impostazioni che tutelano la privacy resta, per legge, di chi gestisce il sito, non di chi lo visita.
