Adeguamento alla cookie law.

Salve a tutti, è Il Moro che vi parla!

Dal 2 giugno 2015 tutti i siti dovranno adeguarsi alla cookie law, che prevede l'accettazione dell'utente delle policy per l'utilizzo dei cookie.
Non solo per chi ha un blog, ma anche per i webmaster professionisti, questa è a dir poco una bella gatta da pelare.


Il punto non è che sia difficile adeguarsi: il punto è che il garante non ci dice come questo va fatto, e si limita a minacciare multe così spaventose da diventare ridicole.
Cioè, pensiamoci un attimo.
Io qualche anno fa sono passato con il rosso, il che è fonte di un rischio potenziale enorme: e se in quel momento qualcuno avesse attraversato la strada? Mi sono beccato 120 euro di multa per un'azione che, in circostante sfortunate, avrebbe potuto causare incidenti anche gravi o la morte di qualcuno.

Alcune categorie dei cookie che vengono installati durante la navigazione vanno, in qualche modo, a ledere la privacy dei navigatori, memorizzando dati personali. Questo dà sicuramente fastidio, ma non ci muore nessuno. Sapete quanto è la multa per chi non si adegua alla legge?
Si va da un MINIMO di 6000 (SEIMILA!) euro a un massimo di 120.000. CENTOVENTIMILA. Una cifra che riempie la bocca. Roba da mollare tutto e andare a zappare. Ma il senso delle proporzioni dov'è?

Ma andiamo oltre, che polemizzare è sempre bello.

Ci sono tre tipi di cookie: quelli tecnici, necessari per il funzionamento del sito, e quelli di profilazione, che raccolgono dati sull'attività dell'utente (avete presente quando andate a visitare, che so, un negozio di scarpe, e poi quando andare a controllare la mail su libero vi trovate nel banner pubblicitario delle scarpe? Ecco, quell'effetto è dovuto ai cookie di profilazione). Poi ci sono i cookie di terze parti, sui quali c'è una confusione che neanche a carnevale.

Se volete utilizzare i cookie di profilazione dovete comunicarlo al garante. Si fa attraverso questa pagina e ha un costo di 150 euro (non ho capito se sono 150 a sito, a cookie, a banner o che altro).

E questo dal mio punto di vista è una discriminazione bella e buona, perché Google AdSense e qualsiasi altro banner pubblicitario fanno uso di cookie di profilazione. Ergo, se volete guadagnare qualcosa dal vostro sito (sto parlando di blog e siti non di e-commerce, ovviamente) dovete mettere i cookie di profilazione per forza (il tasto per le donazioni tramite paypal CREDO che non crei cookie di questo tipo). Quindi i siti che hanno già un certo guadagno, legato quindi a una maggiore visibilità, presenza in rete da più tempo (e anche maggiore qualità, ovviamente) possono anche permettersi di pagare questi 150 euro che tanto grazie alle pubblicità ci rientrano. Per chi ha solo un blog sfigato come il mio, prima di rientrare dei 150 euro passerebbero magari anni.
Meglio quindi rinunciare al guadagno, seppur piccolo. Ed ecco un altro bel motivo per farci passare la voglia di scrivere le nostre cazzate in rete.

Ma la polemica non finisce qui, che il Movimento 5 Stelle mi fa un baffo.
Se tu, garante per la privacy, butti lì una legge del genere, devi anche darmi i mezzi per poterla rispettare. Invece, silenzio totale.
Ci sono delle linee guida, ma sono uscite tipo l'altro giorno, dandoci pochissimo tempo per capire come adeguarci, e sono molto confusionarie.

Se il sito utilizza solo i cookie tecnici, che sono quelli che ad esempio memorizzano i dati che inserite nei moduli o la preferenza della lingua in caso di siti multilingua, non dovrebbe (il condizionale è d'obbligo) essere necessario il consenso dell'utente, in caso di blog su Blogger dovrebbe essere sufficiente la barra in alto che compare alla prima visita su un blog, fornita dalla piattaforma stessa.

Se ci sono cookie di terze parti (come quelli creati dai vari widget di Facebook, Twitter e compagnia cantante - sì, ce li abbiamo tutti), allora è necessaria  un'informativa estesa, una pagina dove viene spiegato l'utilizzo dei cookie e che deve essere raggiungibile tramite link nella navbar che appare al primo accesso (il famoso "ulteriori informazioni") e tramite link da qualunque pagina del sito (meglio mettere quindi anche un link nel footer o nel menu di navigazione). Quella di Blogger in questo caso non è detto che sia sufficiente, visto che voi avrete quasi sicuramente dei widget che non sono compresi nella privacy policy di Google. Non è chiaro se ci voglia o no il banner, ma io nel dubbio lo metto.

Di banner già pronti in rete se ne trovano. Quello di questo blog l'ho preso qui.
L'informativa estesa ve la dovete scrivere, prendendo spunto da quelle che trovate in giro e/o dalle linee guida rilasciate dal garante. La mia è qui, e ho messo il link nel menu di navigazione sotto la voce "about". Speriamo in bene.

Se invece di Blogger usate Wordpress, la piattaforma fornisce un widget personalizzabile, una barra per gestire il consenso che funziona bene. Ma dovete inserirla voi. Quella che ho inserito sui siti che gestisco si chiama "Notifica Cookie", o "Cookie Notice".
-EDIT-
Più complicata è la questione per chi usa la versione gratuita, cioè wordpress.com invece che wordpress.org. In questo caso bisogna arrangiarsi e smadonnare parecchio, visto che la piattaforma non fornisce la possibilità di installare widget esterni. Non usandola non mi sono informato più di tanto, ma chi ne abbia bisogno può iniziare la ricerca da qui. Hanno trovato una soluzione con del codice html da inserire in un widget di testo. Però ribadisco che non è giusto che uno debba sbattersi fino a questo punto per rispettare una legge esagerata e scritta con i piedi. Come al solito bisogna ringraziare l'open source e la gente che ha voglia di mettersi sotto e condividere le sue creazioni, per di più gratuitamente.
-FINE EDIT-

Per i cookie di profilazione bisogna fare sia la segnalazione al garante (e paga!) sia l'informativa estesa.

Torniamo su quello che bisogna scrivere nell'informativa estesa. Sappiate che qualsiasi cosa farete sarà sbagliata.
Date un'occhiata alla mia, ma non prendetela come oro colato.
Io ho tolto AdSense (esattamente il giorno dopo averlo implementato, alleluja) quindi ho solo cookie tecnici e di terze parti. Ho controllato quali siano i cookie creati dal mio blog all'accesso (basta cancellare i cookie tramite le opzioni del browser e in seguito aprire solo il sito interessato, poi si va a vedere quali cookie sono stati creati... in alternativa si può installare l'estensione Web Developer per Firefox o Attacat Cookie Audit Tool per Chrome. Se usate Internet Explorer, beh, smettete).
I cookies di terze parti sono relativi ai siti a cui i widget che li creano rimandano, quindi nell'informativa ho inserito i link relativi all'informativa sulla privacy di tutti questi siti.
Ogni tanto però saltano fuori cookies relativi a link a pagine esterne, ad esempio nel blogroll. Non sono sempre gli stessi, non sono riuscito a farne una lista, quindi ho inserito la frase:
Per i link relativi a qualunque altro sito linkato all'interno di queste pagine consultare la privacy policy del sito stesso.
Non credo sia sufficiente a scaricare la responsabilità, ma più di così non so cosa fare.
E' cosa buona e giusta inserire anche i link relativi ai metodi per cancellare i cookie da tutti i principali browser.

Attenzione, perché secondo alcune fonti i cookies creati da Google Analytics rientrano nei cookie di profilazione.
Per quanto riguarda Google Analytics vi passo questa informazione, da prendere con le pinze per il momento: è sufficiente anonimizzare i cookies inserendo questa riga di codice:

ga(‘set’, ‘anonymizeIp’, true);

sotto alle righe

ga(‘create’, ‘UA-XXXXXXXX-X’, ‘auto’);
ga(‘send’, ‘pageview’);

all'interno dello script fornito da Google Analytics (può darsi che il codice sia leggermente diverso, ma se cercate analytics all'interno del codice html lo trovate). Magari specificate anche nell'informativa che i cookie sono stati anonimizzati.
Che poi teoricamente i dati di Analytics dovrebbero essere già di loro mantenuti in forma aggregata, quindi i dati rilevati vano a finire dentro statistiche alle quali l'utente non ha accesso diretto, e di conseguenza sono anonimi comunque.... ma questa procedura non costa niente.

-EDIT del 16 giugno 2015-
Ci sarebbe anche una semplice operazione da effettuare sul pannello di controllo di Analytics per essere sicuri che non "sfugga" niente.
Dovete loggarvi in Google Analytics ->  Amministrazione -> Impostazioni dell'account e lì deselezionare tutte le opzioni di condivisione dei dati e accettare l'emendamento sull'elaborazione dei dati a fondo pagina.

Attenzione anche a un'altra cosa: in caso abbiate sul blog un modulo per i contatti si dovrà inserire una checkbox per l'autorizzazione all'utilizzo dei dati personali (ovviamente non nel caso abbiate semplicemente scritto l'indirizzo mail).

E veniamo alla parte più rognosa. L'utente del sito deve avere la possibilità di bloccare i cookie specifici prima che vengano installati sul suo pc.
E COME C4770 SI FA???
Io conosco la programmazione HTML, anche se sono ancora agli inizi, e gestisco un paio di siti oltre a questo blog. Per dire che non sono proprio ignorante. Eppure, non ho idea di come si potrebbe attuare una cosa del genere.
Esistono però in rete dei servizi che permettono, o almeno così dicono, di adeguarsi alla legge.
Non mi fido troppo di questi servizi, per un semplice motivo: non è che la legge per loro sia più chiara che per chiunque altro.
Comunque, due sono i servizi principali. A pagamento c'è Iubenda, gratis c'è Sitebeam.
I widget dei social su questo blog non creano direttamente cookies, se non gli si clicca sopra (e a questo punto diventano competenza del sito di riferimento). Quindi io non sono riuscito a implementare Sitebeam nemmeno volendo, per il semplice motivo che nel codice html del mio blog non c'è la parte di codice che va a creare quei cookie, e quindi non posso bloccarli in nessun modo.
A questo punto non so cosa fare più di quello che ho già fatto. Sarà sufficiente? Non ne ho la più pallida idea.
Secondo alcune fonti questa modifica è necessaria solo se si usano cookie di profilazione. Speriamo che sia vero.

Tutte le informazioni che trovate in questo post le ho prese leggendo decine di articoli sparsi in rete. Quello più autorevole e ben fatto che ho trovato, se volete approfondire, è questo.
Quest'altro sito è ancora più completo, ma riguarda più che altro i siti di e-commerce.
A questo link invece potete trovare la guida pubblicata dal Sole 24 ore, che pare non proprio ufficiale ma quasi. A oggi è la guida più autorevole che ho trovato, ma non vi spiegherà come agire dal punto di visto tecnico. Almeno avrete un'idea più chiara della legge.

E io, che non ho solo il blog, ho dovuto pure adeguare il mio sito allo stesso modo...
Se, come me, avete anche un sito, magari ospitato su un hosting gratuito come Xoom o Altervista, fate attenzione anche a un'altra cosa: i siti che offrono spazio web gratuito possono anche inserire nel vostro sito delle pubblicità, senza avvisarvi. Pubblicità che creano cookies di profilazione. Per quanto riguarda Xoom, sul pannello di controllo del sito c'è un'opzione per togliere la pubblicità, ma, guarda un po', non funziona. Ho dovuto far richiesta a Xoom via mail, e un giorno sì e uno no vado a controllare se la pubblicità non ricompare magicamente. Io ce la lascerei pure visto che mi offrono lo spazio gratis, se non rischiassi MIGLIAIA di euro di multa.

Comunque sia, lo stato continua a far di tutto per rendere la vita difficile a me. A me personalmente, sì, ce l'hanno proprio con me.

Il Moro

-EDIT del 4 giugno 2015, due giorni dopo l'entrata in vigore della legge-
a questo link sul sito del garante della privacy trovate tutti i documenti aggiornati relativi a questa normativa. C'è anche una FAQ che può essere d'aiuto nel chiarire le idee.
Non che sia molto più chiaro di prima. Leggete pure e vedete se riuscite a capire meglio di me.

-EDIT del 16 giugno 2015-
A questo link trovate un articolo che, oltre a fare chiarezza vi fornisce, nella terza pagina, uno script che consente di bloccare i  cookie di adSense prima  del consenso dell'utente (per il momento solo quelli di adSense, purtroppo),  e un altro script che dà la possibilità all'utente di cancellare con un solo click i cookie installati dal vostro sito.


Come al solito in rete ci sono i terroristi (tra cui potrei figurare anche io da un certo punto di vista) che corrono ai ripari sbattendosi probabilmente troppo, e i rilassati sicuri che tutto finirà in una bolla di sapone. La verità probabilmente sta come sempre nel mezzo.
Cerchiamo di fare un riassuntino finale che poi l'argomento mi ha rotto.
La barra fornita da Blogger è sufficiente? Dopo tanto leggere, secondo me non basta da sola, perché, vi serve comunque un'informativa estesa dove elencate tutti i cookie di terze parti presenti, i quali nell'informativa di Blogger mica ci sono. Però, forse, è sufficiente come banner, nel senso che non dovete sbattervi a mettere un banner vostro, ma l'informativa estesa dovete comunque farla e fare che sia raggiungibile da qualsiasi pagina (mettendola nel menu o nel footer, per esempio). Sarà così? Speriamo.
Come fa chi ha wordpress.com e non può inserire plugin? Pare che sia sufficiente fare un widget di testo in un punto visibile da qualunque pagina, esempio nella colonna laterale, con un link che rimanda a una pagina con l'informativa estesa. Qualcuno dice che basta linkare la privacy policy di Automattic, ma a me non sembra sufficiente per lo stesso motivo per cui non mi sembra sufficiente l'ìnformativa estesa di Blogger. Poi si spera che wordpress.com faccia qualcosa.
Wordpress.org vi lascia mettere i plugin, ma la piattaforma non fornisce banner già pronti. Per fortuna ce ne sono diversi scaricabili tra i widget.
Via tutti i cookie di profilazione, ossia tutto quello che vi fa guadagnare soldi, a meno che non guadagnate abbastanza da pagare senza problemi i 150 euro una tantum al garante.
Se avete un blog talmente semplice da non avere nessun tasto social o video da youtube, e quindi avete solo cookie tecnici e non di terze parti, a quanto pare non dovete fare niente.
La considerazione finale è: non preoccupiamoci troppo. E' virtualmente impossibile che TUTTI i siti europei vengano controllati uno per uno. Probabilme che i controlli scatteranno solo in seguito alla denuncia da parte di qualche rompiballe (o concorrente geloso) che si vedrà installati nell'hard disk cookie non voluti. E' inoltre previsto un avviso al gestore/titolare del sito che gli darà il tempo di mettersi in regola prima dell'eventuale multa.

Che palle...