E-commerce e privacy

Le normative sulla privacy sono fondamentali per regolamentare il business, soprattutto online, dove l’accesso sempre e ovunque e la facilità dello scambio di informazioni da una parte garantiscono servizi e interazioni sempre più semplici e veloci, ma d’altro canto hanno giustamente bisogno di essere regolamentate a dovere.

Il nostro partner Smart Flow ha recentemente preso come esempio un caso diventato virale per ricordarci perché la privacy e il consenso informato sono un binomio inscindibile.

No consenso, no DEM

L’imprenditoria italiana contemporanea è costellata di casi di successo che, ognuno col suo stile e tono di voce, hanno saputo raggiungere una vasta community online, spopolando sui social.  Tuttavia, la costruzione di una fanbase affiatata passa anche attraverso mirate strategie promozionali, giveaways, scontistiche dedicate, spesso indirizzate agli utenti attraverso DEM (Direct Email Marketing). Il mantra che è importante ripetersi sempre è: semplice: senza un consenso diretto e autorizzato, non è possibile effettuare l’invio.

Regole uguali per tutti

Non importa, infatti, se si tratti di piccole o grandi aziende, di colossi dell’e-commerce online o di chi è ancora agli inizi della propria attività, tutti coloro che fanno business online, e-commerce o anche semplici servizi di informazioni sono tenuti, per poter inviare comunicazioni dirette, a dover ottenere per prima cosa il consenso del destinatario. Non è certo un caso se quando ci iscriviamo anche solo a una newsletter ci viene direttamente chiesto di acconsentire alla ricezione delle comunicazioni, senza il nostro consenso un’azienda che invia comunque comunicazioni dirette sta infrangendo la legge!

Più sicuri, più consapevoli, più serviti

La protezione dei dati personali degli utenti è importante, essenziale e imprescindibile, ma, attenzione, concedere il proprio consenso è quindi un beneficio anche per l’utente stesso, che così ha la possibilità di scegliere cosa e quali comunicazioni vuole veramente ricevere e come.

Marketing e tecnologia = compliance e privacy

Al giorno d’oggi, il rapporto azienda-cliente deve obbligatoriamente essere sempre trasparente, chiaro e soprattutto sicuro. Una sicurezza che deve partire dall’azienda per arrivare fino al cliente: la fiducia, nel business, passa anche da qui.

Sai sempre a quali clienti puoi inviare comunicazioni di carattere commerciale e a quali invece no? Smart Flow, per tutti i clienti di Synesthesia, offre una consulenza gratuita per analizzare i consensi e la privacy della tua azienda.

RICHIEDI UNA CONSULENZA GRATUITA

Quali sono gli obblighi della Direttiva NIS2?

Con la prima NIS e ora con la direttiva NIS2, l’UE si propone di implementare un sistema che a livello continentale sia in grado di garantire elevati standard di sicurezza informatica, con misure unificate per monitorare e gestire al meglio tutti i sistemi digitali, instaurando anche un vero e proprio network europeo dedicato alla cybersecurity che prevede e incoraggia la trasparenza e la cooperazione tra i diversi stati membri dell’Unione.

Non solo, infatti, vengono previste policy condivise e best practice adottabili suggerite, ma le diverse nazioni sono inoltre tenute a segnalazioni e condivisioni di informazioni su eventuali incidenti informatici o attacchi, per poter dare vita a risposte tempestive e coordinate su tutto il territorio europeo a qualsiasi minaccia alla cybersecurity.

A chi si rivolge la Direttiva NIS2?

La Direttiva NIS2 si rivolge a tutte le aziende e i fornitori di servizi che sono parte del sistema nazionale, con una distinzione in tre fasce di interesse, dalle quali vengono generalmente escluse le piccole e le micro imprese:

NIS2: come e su cosa adeguarsi?

La Direttiva NIS2 comprende molteplici punti specifici su regolamentazioni e obblighi, che si basano su:

Questo elenco, naturalmente, offre solo una panoramica generale. Per un’analisi approfondita vi rimandiamo nuovamente all’articolo di Smart Flow. È evidente, però, che la Direttiva NIS2 non si limita a migliorare l’approccio alla sicurezza informatica, ma punta a stabilire un nuovo standard europeo, più uniforme e conforme, per affrontare le sfide della cybersicurezza in modo coordinato su tutto il territorio dell’Unione Europea.

Un futuro informatico più coeso e responsabile

È arrivato il momento per tutte le aziende italiane di adottare un approccio responsabile verso un sistema digitale più sicuro, coeso e affidabile. Noi siamo pronti a fare la nostra parte. E tu?

Smart Flow, per i lettori del nostro blog, offre una consulenza gratuita a prova di compliance. Per saperne di più, clicca qui.

Il nuovo regolamento sui mercati digitali: che cosa sta succedendo in Europa?

Il 5 luglio 2022 è stato approvato dal Parlamento Europeo il nuovo regolamento sui mercati digitali e il regolamento sui servizi digitali, rispettivamente il Digital Markers act e il Digital Services Package, che andranno a sostituire l’approccio ex post delle regole antitrust, con l’obiettivo quindi di frenare il potere delle Big Tech.

Il Digital Markers Act è entrato in vigore a novembre 2022, e il 6 settembre scorso la Commissione Europea ha pubblicato una lista di gatekeeper, l’elenco di imprese che dovranno attuare nelle loro piattaforma la normativa, selezionate secondo parametri specifici e misurabili.

In queste settimane Microsoft e Apple hanno però tentato di opporsi alla decisione della Commissione Europea su due delle loro piattaforme: Bing per Microsoft e iMessage per Apple. Secondo i due colossi tecnologici queste piattaforme non supererebbero la soglia prevista per essere considerate gatekeeper. 

La nuova legislazione imporrà la condivisione dei dati, il collegamento ai concorrenti e l’interoperabilità dei loro servizi con le app rivali, per questo motivo viene visto dai proprietari delle piattaforme come deleterio. Bing e iMessage, nonostante abbiano una quota di mercato sicuramente più piccola dei loro rivali, sono state considerata ugualmente dalla Commissione Europea come parte dei gatekeeper; i proprietari di queste, al contrario, sostengono che sottoporle a un maggiore “controllo legale” le metterebbe in una posizione di totale svantaggio nei confronti dei competitor.

Oggi la Commissione Europea non si è ancora espressa su queste due specifiche piattaforme e sulle lamentele mosse dai due Big Tech; la questione sembra infatti essere più complicata del previsto.

IMessage, infatti, installata di default quando si attiva un nuovo Iphone (o iPad), è potenzialmente nei dispositivi di milioni di utenti, ma non è sicuramente tra le applicazioni di maggior successo del mondo Apple. E anche Bing, nonostante abbia adottato con successo parte della tecnologia di Chat GPT, oggi, nel mercato dei motori di ricerca, rimane relegato a un modesto 3%.

Digital Market Act: come avviene la procedura per scegliere i gatekeeper e a quali normative dovranno sottostare? 

L’Unione Europea ha utilizzato tre parametri specifici e misurabili per capire quali piattaforme dovevano essere al più presto regolamentate. Per prima cosa hanno considerato nella lista tutte le imprese con introiti annuali pari o superiori a 7,5 miliardi di euro negli ultimi 3 anni o con valore totale delle azioni di mercato di almeno 7,5 miliardi nell’ultimo anno e fornitura di servizi di piattaforma ad almeno tre Stati dell’UE. 

Altri parametri presi in considerazione sono stati poi il numero delle registrazioni annue alle piattaforme, che dovevano essere minori di diecimila e il numero di utenti attivi in un mese, che invece non doveva superare i 45 milioni.

Nonostante i calcoli effettuati dalla Commissione Europea, le due società statunitensi si sono fortemente opposte, non ritenendo che le due piattaforme rientrassero nei parametri. In generale questa normativa sta cercando di regolamentare il più possibili quelle imprese che oggi detengono quasi tutto il “potere digitale”, nomi come Meta, Amazon o TikTok riassumono quasi tutte le piattaforme maggiormente utilizzate dalla maggior parte degli utenti mondiali Ogni giorno, secondo dopo secondo, i dati che raccolgono diventano sempre di più, con immense banche dati che potenzialmente possono essere lesive della privacy degli utenti.

Il Digital Market Act vuole impedire proprio questo, la profilazione troppo approfondita degli utenti: ogni impresa oggi sta tenendo segreti i propri dati, e gli algoritmi sviluppati per elaborarli. Rendere più trasparenti le tecniche utilizzate consentirebbe alle Big Tech di non competere più sulla quantità e la qualità dei dati che detengono, ma sulle effettive funzionalità delle loro piattaforme.

Quale sarà il futuro delle Big Tech e della nostra privacy? 

Il commissario al mercato interno Thierry Breton ha espresso la propria opinione sull’argomento, affermando: 

“Il nuovo quadro regolamentare aprirà le porte di Internet. Con la designazione di oggi stiamo finalmente rimettendo in discussione il potere economico delle più grandi aziende del settore, offrendo più scelta ai consumatori e creando nuove opportunità per le piccole società innovative (…) Era ora che l’Europa stabilisse in anticipo le regole del gioco, per garantire che i mercati digitali siano equi e aperti”.

Le criticità di questa azione europea sono tante: in primo luogo l’UE, che non ha mai considerato di mettere in campo incentivi per l’innovazione interna (non ci sono infatti oggi competitor europei) sembra utilizzare sul mercato solo una strategia basata sui divieti e le sanzioni.

 Il tentativo in atto è utilizzare la forza del proprio mercato interno per imporre alle piattaforme non UE sempre più regole, minacciando la perdita dei milioni di utenti europei nel caso queste non siano accettate e rispettate. In questo modo però, non soltanto non si utilizzano fondi per iniziative interne, ma contemporaneamente si aiutano i Big Tech a mantenere il loro potere. 

Ciò avviene perché con norme così stringenti, solo le imprese già grandi e ricche, possono tentare strategie di sopravvivenza sul mercato e adeguarsi alle indicazioni normative. Ma questo limita fortemente la possibilità di far crescere piattaforme nuove. 

Non è, inoltre, da escludere la possibilità che le maggiori piattaforme diventino a pagamento per far fronte alle spese causate dalla reale applicazione delle norme e dalla limitazioni del business abituale (la raccolta dei dati a scopo pubblicitario).

Quali saranno le conseguenze per gli utenti finali? Ancora non possiamo saperlo. Certo che l’attenzione che gli organismi preposti dell’Unione Europea è sicuramente una buona notizia per tutti i consumatori. La “privacy al centro” di tutti i processi commerciali, siano essi online o offline, è un passo fondamentale per progettare un mercato più moderno e rispettoso, e sicuramente più “etico”.

Oggi, Synesthesia, così come molte aziende digitali, si impegna per attuare ogni tipo di normativa europea per garantire in ogni modo agli utenti la protezione della propria privacy, ma ciò presuppone che grandi imprese come le Big Tech siano le prime a farlo, considerata la loro importanza e il loro ruolo dominante, per creare nel web uno spazio sicuro e un mercato più rispettoso delle esigenze degli utenti.

Attraverso la nostra partnership con Smart Flow offriamo la possibilità ai nostri clienti di affidarci le loro piattaforme per renderle completamente conformi alle normative europee. Se vuoi sapere di più su questo argomento  contattaci. Il nostro team di esperti saprà guidarti agevolmente in questo mondo in continua evoluzione. 

Finalmente una normativa

E se l’intelligence americana avesse eccessiva libertà ai nostri dati personali? Per tre anni il vuoto normativo lasciato dall’abolizione dello “Scudo UE-USA per la privacy”, che ha permesso alle imprese americane di accedere ai dati sensibili dei cittadini europei senza una legislazione ad hoc, è stato colmato. Dopo i tentativi di intesa fallimentari del 2015 e del 2020, conosciuti come “Safe Harbor” e “Privacy Shield”, si è arrivati a un accordo con l’obiettivo di bilanciare gli interessi di sicurezza nazionale e il diritto di tutela dei dati sensibili dei cittadini.

Il 10 luglio 2023 la Commissione Europea ha riconosciuto gli Stati Uniti come un Paese capace di proteggere il trattamento dei dati personali, attraverso lo strumento del GDPR definito “decisione di adeguatezza”.

L’accordo è basato su criteri come stato di diritto e rispetto dei diritti umani fondamentali e permette di considerare un paese extraeuropeo capace di proteggere i dati personali in modo corretto.

L’impatto della decisione di adeguatezza

Grazie alla decisione, il DPRC (Data Protection Review Court), tribunale totalmente indipendente che si occupa del riesame in materia di protezione dei dati, può richiedere la cancellazione di dati europei posseduti da aziende statunitensi in caso di violazioni sulle garanzie o sulla conservazione oltre le tempistiche necessarie.

Questa svolta, che va sicuramente a favore di big tech come Google e Meta, secondo la Presidente Ursula von der Leyen, “apporterà certezza giuridica alle imprese su entrambe le sponde dell’Atlantico”; ma non solo, questo garantirà flussi di dati sicuri per i cittadini europei (Decisione di adeguatezza per la circolazione sicura dei flussi di dati UE-USA).

Conclusioni

La sentenza “Schrems II” che aveva creato il panico tra le multinazionali tech viene quindi superata, attraverso una decisione che sembra accontentare tutte le parti interessate.

L’accordo raggiunto tra gli stati è un grande passo avanti per il mondo della privacy, che potrà finalmente guardare a una soluzione comune tra due realtà storicamente divise in materia di tutela dei dati, ma la strada verso un quadro normativo chiaro e applicabile a livello globale è ancora lunga.

La compliance Privacy e il rispetto delle normative europee è al centro del modo di operare di Synesthesia. Per questo motivo collaboriamo con Smart Flow, società torinese che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR. 

Per conoscere le nostre soluzioni, scrivici. Saremo contenti di trovare insieme la risposta migliore alle tue esigenze.

Synesthesia e Smart Flow ai Torino Digital Days 2023: il talk

Martedì, 9 maggio (a partire dalle 14:30) saremo ospiti ai Torino Digital Days 2023 con un talk dal titolo “Privacy & Marketing, due mondi che si scontrano?“.

Durante l’evento Maurizio Bulgarini (Founder & Managing Partner di Smart Flow) e Francesco Ronchi (Presidente e Fondatore di Synesthesia) affronteranno il tema fortemente dibattuto dei dark pattern in modo coinvolgente. Non mancheranno, infatti, scambi di vedute e domande scomode con l’obiettivo di trovare un punto di incontro tra il mondo legal e quello del marketing. Durante il talk, inoltre, ampio spazio sarà riservato ai dark pattern più comuni che saranno analizzati nelle loro criticità.

I dark pattern: un tema molto dibattuto

Negli ultimi anni, i dark pattern sono diventati un argomento di fondamentale importanza per il mondo del marketing digitale (e non solo). Di solito questa tipologia di interfaccia viene accuratamente studiata per indurre gli utenti – durante la navigazione di un sito web o l’utilizzo di un’applicazione mobile – a compiere azioni per loro svantaggiose o indesiderate (per esempio, spendere di più oppure fornire informazioni personali in modo inconsapevole).

Nonostante l’uso di dark pattern venga, nella maggior parte dei casi, associato a pratiche poco trasparenti, al confine della legalità, molti marketer vedono in questo strumento digitale grandi potenzialità per aumentare la conversione e migliorare l’esperienza dell’utente.

Obiettivi

All’interno di questo scenario avere la piena consapevolezza dell’utilizzo dei dark pattern offre grandi vantaggi e diventa fondamentale per i professionisti del marketing poiché consentirà loro di essere in grado di scegliere la giusta strada per raggiungere gli obiettivi desiderati senza danneggiare la reputazione del brand.

Informazioni utili

A chi si rivolge

CEO e imprenditori, Marketing Manager, Responsabili Compliance / DPO, UI / UX designer, professionisti in ambito legale.

Quando e dove:

Martedì, 9 maggio 2023, a partire dalle ore 14:30, presso Toolbox (Via Agostino da Montefeltro, 2, Torino).

Il whistleblowing è uno strumento aziendale fondamentale tramite il quale dipendenti, collaboratori o soggetti esterni a un’azienda o organizzazione possono segnalare illeciti. All’interno di una segnalazione troviamo, infatti, due principali agenti coinvolti: il segnalante o whistleblower (che tradotto letteralmente vuol dire “colui che suona il fischietto”) e il segnalato, quindi l’azienda o l’ente pubblico che ha potenzialmente compiuto un illecito nei confronti del segnalante.  

Whistleblowing esterno e interno

In questo rapporto tra segnalante e segnalato, colui che segnala l’illecito agisce in maniera attiva: scoprendo quindi un illecito, una possibile frode, un pericolo o qualsiasi cosa che possa recare danno o serio rischio a sé stesso, a terzi o all’azienda stessa, il segnalante denuncia tali comportamenti e si espone così al rischio di ritorsioni e molestie a livello personale e professionale.

La Direttiva Europea sul whistleblowing (2019/1937), in vigore a partire dal 17 dicembre 2021, prevede l’adozione di nuovi standard di protezione a favore dei segnalanti. Il whistleblowing può essere effettuato da un dipendente dell’azienda o da una terza parte, come per esempio un fornitore o un cliente. È possibile effettuare una segnalazione tramite canali interni all’azienda, in questo caso si parla di whistleblowing “interno”, oppure tramite l’autorità giudiziaria, i media o le associazioni competenti, in questo caso si parla di whistleblowing “esterno”.

Come avviene la procedura di segnalazione?

Come riporta l’Art. 54-bis del D.Lgs del 30 marzo 2001, il dipendente o il soggetto esterno possono fare una segnalazione all’ANAC (Autorità Nazionale Anti-Corruzione)  ed è possibile comunicare gli eventuali comportamenti ritorsivi qualora l’azienda lo abbia ostacolato nel processo. L’identità del segnalante non può essere rivelata fino alla chiusura della fase istruttoria o salvo esplicito consenso del segnalante.

L’ANAC, dal canto suo, adotta precise linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni. Qualora l’illecito venisse accertato, l’autorità competente può applicare una sanzione amministrativa che va dai 5.000 ai 30.000 euro.

Quali sono i vantaggi per le aziende?

Avere un sistema di segnalazioni in azienda porta enormi vantaggi in termini di gestione delle problematiche e prevenzione delle frodi: secondo l’Association of Certified Fraud Examiners, il 42% dei casi di frode aziendale viene scoperto grazie alle segnalazioni dei whistleblower.

Sempre più aziende e pubbliche amministrazioni, quindi, sono tenute a dotarsi di un sistema di segnalazione interno: questo permette ai dipendenti dell’azienda di segnalare le irregolarità attraverso un percorso guidato in modo semplice e veloce.

Il whistleblowing in Italia

Il whistleblowing nella pubblica amministrazione italiana è già un obbligo da diversi anni. Si tratta di un sistema di segnalazione che è previsto in alcuni casi anche nel contesto privato. Tutte le aziende soggette al modello organizzativo n. 231 hanno, infatti, già messo in piedi iniziative di questo genere. Il recepimento della Direttiva europea favorisce la conseguente istituzione di canali di segnalazione interni rivolti a tutte le imprese del settore privato con almeno 50 lavoratori, indipendentemente dalla natura delle loro attività. 

A prescindere dal numero dei dipendenti, si tratta di un adempimento che è obbligatorio per tutte quelle imprese che operano nel settore dei servizi finanziari esposti a rischio di riciclaggio e finanziamento del terrorismo e per tutte quelle società che operano in settori a rischio. Tutte le aziende del settore privato che rientrano entro queste categorie hanno tempo fino al 17 dicembre 2023 per istituire un canale di segnalazione interno.

Smartleaks: il sistema il sistema di whistleblowing sicuro 

Recentemente Synesthesia e Smart Flow hanno presentato “Smartleaks”, un sistema di whistleblowing basato su GlobaLeaks per integrare nei siti web aziendali procedure anonime di segnalazione. Lo strumento risponde alla Direttiva Europea 2019/1937 e si rivolge a imprese del settore privato con almeno 50 dipendenti o operanti in settori a rischio. Smartleaks garantisce l’anonimato, la riservatezza e la protezione del segnalante, facilitando la denuncia di illeciti o comportamenti scorretti in azienda. Per saperne di più clicca qui.

La decisione del Garante della privacy in Italia

Come abbiamo già avuto occasione di analizzare nel nostro precedente articolo “Google Analytics e GDPR: i rischi per gli utenti dell’UE”, la questione del trattamento dei dati da parte della nota azienda americana ha attirato l’attenzione di numerose Autorità Garanti di diversi paesi Europei.

Le garanzie, infatti, previste dalle leggi americane  in questo ambito sono molto più deboli e meno “protettive” nei confronti dei titolari dei dati, rispetto a quelle previste dalle normative europee e dal GDPR. Con il comunicato del 23 giugno 2022, il Garante della privacy italiana ha espresso un punto critico già sollevato da molti utenti e Autorità anche in altri Paesi Europei. Si legge che:

“il Garante ha evidenziato, in particolare, la possibilità, per le Autorità governative e le agenzie di intelligence statunitensi, di accedere ai dati personali trasferiti senza le dovute garanzie, rilevando al riguardo che, alla luce delle indicazioni fornite dall’EDPB (Raccomandazione n. 1/2020 del 18 giugno 2021), le misure che integrano gli strumenti di trasferimento adottate da Google non garantiscono, allo stato, un livello adeguato di protezione dei dati personali degli utenti”.

La nota del nostro Garante è molto chiara e si colloca perfettamente in linea con la precedente decisione dell’Autorità austriaca che aveva dichiarato, a sua volta, che le “clausole contrattuali standard firmate dalle parti (nel caso di specie il gestore di un sito austriaco e Google) non offrono un livello di protezione adeguato” rispetto alle norme previste dal Regolamento Europeo per protezione dei dati personali.

A seguito di questa decisione, dunque, è evidente che i gestori di siti web in Italia dovranno fare a meno dei servizi finora offerti da Google Analytics.

L’Autorità italiana, infatti, ha stabilito un termine di 90 giorni entro il quale

 “tutti i titolari del trattamento sono tenuti a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali”.

Allo scadere di questo periodo, l’Autorità Garante si riserva di verificare la conformità al Regolamento Europeo dei soggetti interessati e, in caso di esito negativo, di procedere con le sanzioni previste dalle normative applicabili. 

Gli effetti negativi che simili decisioni producono anche sulle stesse attività di Google non sono difficili da immaginare. È probabile, infatti, che con il susseguirsi di queste restrizioni da parte delle Autorità europee, la stessa azienda americana proceda presto con modifiche ai suoi standard di sicurezza per essere in linea con le disposizioni del GDPR.

Un’altra strada potrebbe anche essere quella per cui Stati Uniti e Unione Europea scelgano di modificare i propri accordi in materia di privacy e protezione dati in modo da facilitare le attività delle aziende che operano in questo settore. 

Possibili strade alternative: Matomo

I servizi offerti da Google Analytics costituiscono oggi una fonte di informazioni essenziale per tantissime aziende in Italia e in Europa.

Per questo motivo occorre trovare soluzioni alternative che consentano ai soggetti interessati di continuare a usufruire di tutti i vantaggi e i servizi che Analytics ha sempre fornito. 

Una di queste soluzioni è Matomo: un software libero open source grazie al quale i gestori di siti web possono ottenere report dettagliati e in tempo reale sui visitatori, sui motori di ricerca utilizzati di questi ultimi, sulle parole chiave cercate, sulla lingua e anche sulle pagine di maggiore interesse. 

Le funzionalità del software sono estendibili e personalizzabili secondo le esigenze dell’utilizzatore con la semplice installazione di un plugin. In questo modo si migliora ulteriormente la compliance con le specifiche normative sulla privacy e sulla tutela dei dati. 

Un elemento molto importante, infine, che differenzia Matomo da Google Analytics è il fatto che questo software si installa sul server del gestore/owner del sito web e di conseguenza i dati sul traffico sono memorizzati nel proprio database e non vengono trasferiti in paesi terzi. 

Grazie all’esperienza maturata sul campo e alla professionalità dei nostri team, in Synesthesia siamo in grado di mettere a disposizione dei nostri clienti nuove soluzioni come Matomo, per far fronte nel modo migliore alle esigenze di ogni progetto. Contattaci! Saremo contenti di trovare insieme la risposta migliore alle tue esigenze. 

Giulia, perché oggi è diventato così importante sistemare i cookie sui siti web?

“Dobbiamo sistemare i nostri siti web perché il Garante della Privacy ha pubblicato le nuove linee guida sui cookie.  L’idea è di aiutare a mettere in ordine gli orrori che proliferano in rete. Sapete tutti quanto è difficile navigare su un sito web con i continui pop up e banner che ci impediscono di proseguire. Ecco il perché di queste nuove regole, che intendono tutelare gli utenti e semplificare la navigazione. Aggiungo che probabilmente da gennaio 2022 inizieranno i controlli online da parte del Garante – e coi controlli le multe”.

A cosa servono i cookie?

“I cookie sono piccoli file di testo che vengono salvati sul dispositivo dell’utente e utilizzati dai siti web per memorizzare alcune informazioni. I cookie per esempio vengono usati per tenere traccia della lingua con cui si preferisce visualizzare i contenuti, o dei prodotti aggiunti al carrello nel caso di un e-commerce”.

L’attivazione dei cookie avviene già al primo accesso in un sito web?

“Esatto. Fin dal primo accesso, i siti web cominciano il tracciamento delle informazioni dell’utente in modo da poterle riutilizzare in futuro per diversi scopi”.

Che vantaggi porta usare i cookie su un sito web?

“Come si può immaginare uno degli scopi più comuni per i quali vengono usati i cookie è tracciare le abitudini di navigazione degli utenti in modo da poter offrire pubblicità personalizzata. Avete presente quando, navigando sul web, vi ritrovate ovunque la pubblicità di quella stessa lampada che avete appena visto sul sito dell’Ikea? Tutto merito dei cookie, che permettono a Ikea di profilarvi per raggiungere i suoi obiettivi di business. L’uso dei cookie quindi può essere utile sia alle aziende, sia agli utenti: infatti permette di proporre contenuti personalizzati”.

È sempre necessario richiedere il consenso all’utilizzo dei cookie attraverso un banner?

“Quando un sito persegue l’obiettivo di profilare i propri utenti, il consenso è obbligatorio. Non solo: il consenso deve precedere l’inizio del tracciamento. In altre parole finché l’utente non accetta i cookie, il sito web non può nemmeno cominciare la profilazione”.

Come si fa a navigare senza essere profilati? Basta chiudere il banner cliccando sulla “X”?

“La X serve proprio a semplificare il (naturale) rifiuto del tracciamento. Immaginate che l’esperienza degli utenti venga assimilata a quella in un negozio fisico. Devo poter entrare e fare un giro senza che nessuno sia in grado di riconoscermi. Il gestore del negozio naturalmente può chiedermi dei dati e devo poter essere libero di decidere se darglieli o meno”. 

Chi naviga su un sito web può cambiare le preferenze espresse precedentemente?

“Certamente. Per supportare fino in fondo l’idea di trasparenza che sostiene queste linee guida è necessario fornire agli utenti la possibilità di gestire con facilità le preferenze espresse in precedenza. Questo si può fare attraverso un’area accessibile sul sito, come per esempio una pagina dedicata ai cookie”.

Per quanto tempo devono essere registrate e conservate le preferenze dell’utente?

“La scelta dell’utente deve essere registrata e conservata per un periodo prolungato di almeno 6 mesi”.

Perché conviene ai gestori dei siti seguire le linee guida del garante?

“Sempre di più gli utenti imparano a dare valore alla propria privacy e a valutare positivamente i fornitori di servizi e di beni che sono sulla loro lunghezza d’onda. Una corretta gestione dei cookie è probabilmente la prima occasione che possiamo cogliere per dimostrare che lavoriamo bene, il primo biglietto da visita della nostra azienda al pubblico. Non dimentichiamoci che da gennaio 2022, al Garante basterà navigare sul sito web di un’azienda per fare un controllo. In altre parole, non gli sarà più necessario ispezionare a fondo l’impianto privacy della nostra azienda per emettere una sanzione. E poi, se trova o gli viene segnalato un sito internet con i cookie fuori posto non procede ad una verifica ancora più adeguata?”

Quali caratteristiche NON deve avere il banner?

“Vediamo insieme i 4  errori da evitare:

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Da quando è entrato in vigore nel 2014 il provvedimento del Garante della Privacy per l’acquisizione del consenso ai cookie sui siti web sembra passata “un’era geologica”. All’epoca di internet, infatti, i cambiamenti sono continui e molto rapidi. 

Quasi tutti vivono con sofferenza, e a ragione, il momento in cui devono aprire una pagina web di un nuovo sito. Leggere la ricetta per la “vera amatriciana” dietro un banner per il consenso ai cookie potrebbe essere “una nuova disciplina sportiva” e non una di quelle più divertenti e appaganti.

I cookie sono stringhe di testo che i siti web (indicate come “prime parti” nei testi di legge) visitati dall’utente oppure siti o web server diversi (le cosiddette “terze parti”) posizionano e archiviano all’interno del dispositivo di navigazione dell’utente.

Le informazioni codificate nei cookie possono contenere dati non personali come le impostazioni della lingua o informazioni sul tipo di dispositivo che una persona sta utilizzando per navigare il sito. Spesso però possono includere dati personali, come un indirizzo IP, un nome utente, un identificativo univoco o un indirizzo e-mail.

I browser possono memorizzare i cookie e poi trasmetterli nuovamente ai siti web che li hanno generati in occasione di una successiva visita del medesimo utente, mantenendo così memoria della sua precedente interazione con uno o più ambienti web.

I cookie possono, per esempio, essere impiegati per tenere traccia degli articoli in un carrello degli acquisti online o delle informazioni utilizzate per la compilazione di un modulo informatico. Sempre attraverso di essi è possibile veicolare anche la pubblicità comportamentale (behavioural advertising) e misurare l’efficacia del messaggio pubblicitario.

Tutti i cookie devono essere classificati e dettagliati in una specifica pagina del sito che deve contenere il testo dell’informativa cookie estesa (quella presente sui banner, quando è presente, è solo un breve riassunto) e l’opzione che consente di modificare il consenso al tracciamento.

Sì. In buona sostanza, il provvedimento precedente, così come le buone pratiche consigliate dall’EDPBoard (l’organismo che riunisce tutti i Garanti della privacy europei) sono stati in buona parte disattesi, rendendo la navigazione internet una frustrante impresa per tutti.

Lo scopo di queste linee guida è circoscrivere il perimetro di azione delle misure già esistenti. Non sono state introdotte delle novità significative per quanto riguarda le regole da rispettare, ma è stato messo al centro il concetto di legal design: per l’utente deve essere chiaramente e facilmente comprensibile ciò che accetta o rifiuta.

Anche l’approccio del Garante cambia e diviene molto più deciso e fermo in materia di controlli e potenziali multe. Il tracciamento dei dati in sé è lecito e utile, a condizione che avvenga nel rispetto delle norme contenute nel GDPR. Per questo motivo, oggi nella maggior parte dei siti web, troviamo opzioni di tracciamento pulsanti come “Accetta tutti” o “Personalizza”. Nel primo caso, ovviamente, clicchiamo quando siamo “con il sugo che brucia sul fuoco” e non sappiamo se nella vera amatriciana ci voglia la panna o no. Il secondo caso è un trucchetto per farci pentire di non aver cliccato “Accetta tutti”.

Le linee guida che entrano in vigore da gennaio 2022, invece, invertono il paradigma della scelta. Lo stravolgimento imposto serve a riportare in primo piano il concetto di privacy by design espresso nel GDPR: il fornitore del servizio (chi possiede il dominio) può imbastire il proprio percorso di tracciamento senza “approfittarsi” a tradimento dell’utente. Questi, infatti, non deve essere forzato a una scelta negoziale ma deve essere, invece, tranquillo di poter entrare e uscire senza lasciare “tracce”.

È stato promesso un controllo totale delle difformità: è ovvio che sarà così, perché altrimenti non si sarebbe arrivati a queste linee guida più rivolte all’esperienza utente che alla facilità della profilazione marketing. Il Garante della privacy italiano sta cercando di rendere più difficile per le aziende di data brokering continuare a fare incetta di informazioni personali senza controllo.

Al momento del primo accesso in un sito web nessun cookie o altro strumento di tracciamento diverso da quelli tecnici deve essere posizionato all’interno del dispositivo dell’utente.

Sarà poi sempre necessario richiedere il consenso all’utilizzo di cookie di profilazione attraverso un banner ben visibile. Il banner dovrà dare agli utenti la possibilità di proseguire la navigazione senza essere tracciati. Basterà, infatti, chiudere il banner cliccando su una “X” riconoscibile.

La “X” indicherà dunque la scelta di “rifiuto del tracciamento” e non la semplice eliminazione del banner. Come succede per tutte le altre X nelle finestre di dialogo dei sistemi, il click chiude il pop up del consent banner senza però far partire nessun tipo di tracciamento. 

Questa si può ritenere come l’unica vera novità delle linee guida: si può, dunque, salutare il già citato scrolling in pagina (che non è mai stata peraltro una forma legittima di acquisizione del consenso per il tracciamento e per i cookie). Attraverso il semplice scrolling, infatti, non si può distinguere se l’utente stia dando il consenso al tracciamento o stia piuttosto cercando un’informazione in basso nella pagina.

Adesso, con il fatto che l’accettazione al tracciamento deve essere un’azione univoca, è chiarissimo che lo scrollbar non può essere espressione del consenso informato.

Per chi non l’avesse ancora fatto, è necessario consentire al browser di rivedere le preferenze nella pagina dedicata alla cookie policy implementando una sezione in cui è possibile modificare le opzioni precedentemente espresse. Nella stessa pagina deve essere pubblicata per intero l’informativa cookie con dati e funzionalità dei sistemi di tracciamento.

Il documento evidenzia le informazioni circa gli altri soggetti destinatari dei dati personali e i tempi di conservazione di questi dati. Decade quindi la possibilità di “propinare”, per legittimo interesse, l’elenco con migliaia di data broker che cercano di speculare sui dati personali. Come da Regolamento europeo, il legittimo interesse non è (e non è mai stato) una base giuridica per il trattamento dei dati e non si può utilizzare per tracciare gli utenti. 

Le linee guida sottolineano che l’accesso e l’espressione di un consenso o un rifiuto al tracciamento deve essere fruibile facilmente anche a portatori di disabilità. Questa parte coinvolge non solo centinaia di siti web della pubblica amministrazione che avrebbero dovuto rendere fruibili i loro portali da tempo, ma tutti i domini.

Per questa necessità vogliamo evidenziare il lavoro di Accessiway, il nostro partner che commercializza un servizio utile a dare accessibilità ad app e siti internet a coloro che sono affetti da disabilità permanenti o temporanee. Insieme con Synesthesia, stiamo lavorando per realizzare sistemi informatici fruibili con piena accessibilità a tutti e, di conseguenza, anche strumenti per la registrazione del consenso adatti.

La scelta dell’utente, infine, deve essere registrata e conservata per un periodo prolungato di tempo. È errato, quindi, presentare il banner di richiesta del consenso a ogni accesso: un cookie tecnico dovrà ricordarsi le nostre preferenze per almeno sei mesi.

Mettiamo un punto fermo

Da tempo ci si interroga sul futuro dei cookie che tutti i browser già limitano e Google intende eliminare dal 2023 con il progetto FloC. Apple ne fa un cavallo di battaglia da anni e anche noi abbiamo trattato l’argomento parlando di campagne pubblicitarie.

L’evoluzione del tracciamento degli utenti sul web potrà passare da una profilazione individuale e personale, come nella situazione attuale, a un metodo per informazioni aggregate sul comportamento di consumo, come sarà in futuro.

Come esperti di privacy e utenti della rete interessati, osserviamo il panorama digitale trasformarsi sotto i nostri occhi. Offriamo soluzioni efficaci per approcciare tanto queste recenti linee guida quanto il cambiamento che sarà proposto dalle Big Tech. Smart Flow e Synesthesia hanno creato un servizio di adeguamento dei portali che comprende la gestione relativa a policy e consenso a profilazione marketing per app e siti web.

Desideriamo che tutti abbiano la possibilità di prendere coscienza dell’impatto che questo insieme di regole dovrà esercitare affinché navigare sul web continui a essere un piacere per chi lo fa come utente e profittevole per chi propone il proprio business.

A gennaio 2022, quando inizieranno i controlli da parte del Garante privacy sull’implementazione delle nuove linee guida, potremo guardare la ricetta della vera amatriciana senza essere interrotti da fastidiosi pop up. Se hai dei dubbi o necessiti di un aiuto, rivolgiti a noi: Smart Flow e Synesthesia hanno team di esperti qualificati per risolvere ogni tua necessità.

Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.

Le modifiche di Tik Tok

Con i suoi 689 milioni di utenti attivi, di cui 5,4 milioni solo in Italia, Tik Tok è il settimo social network più popolare al mondo. Attualmente è più utilizzato nel sud-est asiatico, ma la sua popolarità è in aumento anche in occidente. Dopo neanche 4 anni dal lancio iniziale, ha superato la quota di due miliardi di download, registrando nel primo quadrimestre del 2020 la cifra di 350 milioni di download in tutto il mondo. Ma la piattaforma dai numeri stratosferici ha di recente attuato alcune modifiche che interesseranno i suoi utenti:

“Potremmo raccogliere identificatori biometrici e informazioni biometriche, come definito dalle leggi statunitensi, come impronte facciali e impronte vocali, dai contenuti utente. Laddove richiesto dalla legge, chiederemo all’utente tutte le autorizzazioni necessarie prima di tale raccolta”.

Con questa breve nota il celebre social network cinese ha annunciato la modifica alla propria informativa sulla privacy. 

Un cambiamento non indifferente che interesserà direttamente la vita e la privacy di tutti gli utenti (per ora) di nazionalità statunitense. La raccolta di dati biometrici da parte di Tik Tok consiste nell’attività eseguita dal social di identificare oggetti e scenari, l’esistenza e la posizione all’interno di un’immagine di caratteristiche del corpo e del viso e il testo delle parole pronunciate. In realtà non è l’unico social che elabora i dati degli utenti in questo modo, ma ne esistono già altri che utilizzano la stessa strategia per ottimizzare gli annunci pubblicitari. Tik Tok, inoltre,sembrerebbe voler soltanto migliorare le proprie funzionalità, per questo la nuova privacy policy avverte che la raccolta di immagini e audio sarà utile per abilitare “effetti video speciali per la moderazione dei contenuti, per la classificazione demografica, per i contenuti e i consigli sugli annunci e per altre operazioni non di identificazione personale“.

La “questione” della privacy

L’annuncio da parte dell’app sulla raccolta dei dati biometrici, per quanto vaga, ha già suscitato numerose preoccupazioni. Tik Tok, infatti, non ha specificato lo scopo di questa raccolta, né tantomeno le modalità con cui chiederà il consenso per il trattamento dei dati. Ha soltanto svelato che inizierà con i dati degli utenti statunitensi e non è sicuramente un caso, considerando che in pochi Stati sono presenti delle leggi che tutelano la privacy biometrica. Per questo motivo, laddove non esista una legislazione specifica, molte persone potrebbero non essere avvisate sulla raccolta dei dati. Sembrerebbe però non essere questa l’intenzione di Tik Tok, che assicura di essere sempre molto attenta alla privacy del suo pubblico. La piattaforma che per tutta la durata dell’Amministrazione Trump era stata considerata come una minaccia per la sicurezza nazionale, ora sta cercando di riconquistare la fiducia degli utenti statunitensi. Per questo motivo ha più volte dichiarato di archiviare le loro informazioni in data center degli US e di Singapore, assicurando di non averli mai condivisi con il governo cinese. 

Il futuro di Tik Tok 

Tik Tok raccoglie già moltissime informazioni dal profilo dei suoi utenti, come i contenuti da loro creati, i cookie, le app e i file presenti sul loro smartphone, la posizione del dispositivo utilizzato e addirittura lo stato della batteria e i ritmi di battitura. Per cui, a cosa serviranno i dati biometrici? 

Per il momento restano i dubbi e le polemiche di molti utenti di Tik Tok. Nei prossimi mesi scopriremo se l’app avrà fatto una scelta sbagliata, spaventando e facendo “scappare” dalla piattaforma tutti quelle persone preoccupate per la loro privacy, o se gli utenti saranno riusciti a digerire questa novità mantenendo attiva la loro presenza sull’app. 

Synesthesia collabora con Smart Flow, digital experience company italiana che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.

I nostri servizi di marketing e social media trasformano idee brillanti ma complesse in soluzioni digitali semplici, rapide e innovative, che proponiamo e progettiamo insieme al cliente per aiutare la sua azienda in modo concreto a raggiungere importanti obiettivi di brand e di mercato. Grazie al lavoro di team esperti sviluppiamo strategie di comunicazione social e piani editoriali all’avanguardia per i nostri clienti e partner.

Scopri le nostre strategie all’interno di questa pagina dedicata.