GDPR: cookie, moduli e Privacy Policy

Modulo 9: Email, posizionamento (SEO), GDPR, manutenzione e migrazione · Tempo di lettura: 10 minuti

Obiettivo della lezione: Al termine di questa lezione saprà mettere in ordine la base GDPR di un sito WordPress: sapere quali dati personali tratta, gestire correttamente cookie e contenuti esterni, impostare bene i moduli e redigere una Privacy Policy.

Concetti chiave: dati personali, trattamento, base giuridica, obbligo di informativa, Privacy Policy, regola sui cookie (direttiva ePrivacy), consenso, cookie funzionali e analitici, cookie di tracciamento, cookie banner, contenuti esterni, moduli, periodo di conservazione, responsabile del trattamento, accordo di trattamento dati, violazione di dati (data breach)

Questa lezione fornisce una spiegazione generale, non una consulenza legale. Per la Sua situazione specifica consulti le informazioni dell'autorità per la protezione dei dati del Suo Paese o rivolga una domanda a un esperto.

Cosa ha a che fare il GDPR con il Suo sito web

Il GDPR (Regolamento generale sulla protezione dei dati) riguarda i dati personali: tutto ciò con cui si può riconoscere qualcuno, direttamente o indirettamente. Su un sito web questo è più di quanto si pensi: un nome e un indirizzo email da un modulo, un ordine, un account, ma anche un indirizzo IP e un cookie con un numero univoco.

Quasi ogni sito WordPress tratta quindi dati personali: in moduli, commenti, account, ordini, log del server, backup, log delle email (lezione 9.1) e in ciò che il Suo sito invia ad altre parti. Per questo valgono, tra le altre, queste regole:

• Per ogni trattamento serve una base giuridica (articolo 6 del GDPR), ad esempio: necessario per l'esecuzione di un contratto (un ordine), consenso (una newsletter), oppure un legittimo interesse.
• Non si trattano più dati del necessario e non si conservano più a lungo del necessario.
• Si informano le persone su ciò che si fa (articolo 13 del GDPR): questo avviene nella Sua Privacy Policy.
• Si proteggono i dati in modo adeguato (https, aggiornamenti, backup: il resto di questo corso).
• Se affida il trattamento di dati a un'altra parte (il Suo hosting provider, un servizio email, un plugin con un servizio cloud), si tratta di un responsabile del trattamento e si stipula un accordo di trattamento dati (articolo 28 del GDPR). Gli hosting provider e i grandi servizi di solito ne hanno uno standard già pronto.
• Se qualcosa va storto (un attacco hacker, un backup trapelato), si tratta di una violazione di dati che a volte va notificata (lezione 7.5).

Cookie: la direttiva ePrivacy

Per i cookie (e tecniche simili come il local storage e i pixel di tracciamento) vale inoltre la regola sui cookie della direttiva europea ePrivacy (in Italia: art. 122 del Codice privacy, d.lgs. 196/2003; nei Paesi Bassi: articolo 11.7a della Telecommunicatiewet). In breve, così come la spiega l'autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens):

• Cookie funzionali necessari per far funzionare il sito (un cookie di accesso, un carrello della spesa, la memorizzazione della scelta sui cookie stessa): consentiti senza consenso. Deve comunque informare al riguardo.
• Cookie analitici con effetti nulli o ridotti sulla privacy: consentiti senza consenso, se soddisfano determinate condizioni. Si pensi a statistiche che gestisce Lei stesso o che sono impostate in modo rispettoso della privacy (nessuna condivisione di dati, indirizzi IP troncati, nessun tracciamento su altri siti).
• Cookie di tracciamento e tutto ciò che segue i visitatori o crea profili (pubblicità, social media, la maggior parte dei servizi incorporati di grandi piattaforme): solo dopo il consenso, e quindi si caricano solo dopo che il visitatore ha detto "sì".

Un cookie banner chiede questo consenso. L'autorità olandese per la protezione dei dati indica, tra l'altro: spieghi quali cookie utilizza e per cosa, rifiutare deve essere altrettanto facile quanto accettare, e nessuna casella preselezionata. Un banner che prevede solo "OK", o che carica già il codice di tracciamento prima che sia stata fatta una scelta, non è conforme. Esistono molti plugin per i cookie per WordPress; ne scelga uno che blocchi davvero gli script finché non c'è il consenso, e lo verifichi (l'esercizio di questa lezione aiuta in questo).

Contenuti esterni: cosa invia il Suo sito ad altri

Anche senza cookie, il Suo sito invia dati ad altre parti non appena una pagina carica qualcosa da loro. Il browser del Suo visitatore lo recupera quindi da quella parte, che vede almeno l'indirizzo IP. Esempi:

In Germania un tribunale (LG München I, gennaio 2022) ha stabilito che il caricamento di font da un servizio esterno senza consenso violava il GDPR, poiché così veniva trasmesso l'indirizzo IP del visitatore. Non si tratta di una sentenza del Suo Paese, ma mostra di cosa si tratta: ogni fonte esterna deve poter essere spiegata.

Moduli

Un modulo è un trattamento di dati. Presti attenzione a quanto segue:

• Chieda solo ciò che Le serve. Per una richiesta di richiamata Le servono un nome e un numero di telefono, non un indirizzo e una data di nascita.
• Tramite https (lezione 3.1), altrimenti i dati viaggiano in chiaro su internet.
• Dove restano i dati? Molti plugin per moduli conservano ogni invio anche nel database, oltre all'email. Dopo anni si accumulano migliaia di invii. Imposti un periodo di conservazione o disattivi il salvataggio se l'email è sufficiente. Anche il log email del Suo plugin SMTP (lezione 9.1) li contiene.
• Il consenso per una newsletter è una casella separata, non preselezionata. Un modulo di contatto non è un'iscrizione alla newsletter.
• Protezione antispam: veda la tabella sopra.

La Privacy Policy

WordPress crea durante l'installazione una pagina bozza Privacy Policy e dispone, in Impostazioni > Privacy, di un aiuto con testi di esempio; i plugin che trattano dati possono aggiungervi testo. Questo è un inizio, non un risultato finale. Una Privacy Policy descrive, secondo l'articolo 13 del GDPR, tra l'altro:

• chi è Lei e come la si può contattare;
• quali dati personali tratta, per cosa e su quale base giuridica;
• con chi li condivide (responsabili del trattamento, altre parti) e se escono dall'UE;
• per quanto tempo li conserva;
• quali diritti hanno le persone (accesso, rettifica, cancellazione, opposizione) e che possono presentare un reclamo all'autorità per la protezione dei dati;
• quali cookie e servizi esterni utilizza il Suo sito.

Inserisca un link alla Privacy Policy nel piè di pagina (lezione 4.3), in modo che sia reperibile su ogni pagina, e accanto a ogni modulo.

WordPress dispone anche, in Strumenti, di funzioni per esportare e cancellare dati personali su richiesta di un utente. Utile in caso di richiesta di accesso o cancellazione, ma trovano solo dati di WordPress e dei plugin che vi si collegano.

Un semplice piano in passi

1. Crei un elenco di tutti i trattamenti sul Suo sito: moduli, account, ordini, commenti, statistiche, newsletter, log, backup.
2. Esamini cosa invia il Suo sito ad altre parti al caricamento (l'esercizio di questa lezione).
3. Rimuova ciò che non è necessario; sostituisca ciò che può essere reso più rispettoso della privacy.
4. Regolamenti il consenso per ciò che resta e che richiede davvero consenso, con un banner che blocchi gli script.
5. Stipuli accordi di trattamento dati e scriva (o riscriva) la Sua Privacy Policy.
6. La riesamini ogni anno (lezione 9.4), e dopo ogni nuovo plugin che tratta dati.

Riepilogo

• Quasi ogni sito WordPress tratta dati personali: moduli, account, indirizzi IP, log, backup.
• I cookie funzionali e quelli analitici limitati sono consentiti senza consenso; il tracciamento solo dopo il consenso, e si carica solo allora.
• I contenuti esterni (font, video, mappe, captcha) inviano dati ad altri; li renda locali o li carichi solo dopo un clic.
• Nei moduli chieda solo ciò che serve, non conservi gli invii all'infinito, la casella della newsletter separata e non preselezionata.
• Una Privacy Policy secondo l'articolo 13 del GDPR, reperibile su ogni pagina; accordi di trattamento dati con il Suo hosting provider e i servizi utilizzati.

Quiz

Esercizio

Esercizio A9.3: Cosa invia il Suo sito ad altri? Inserisca l'indirizzo del Suo sito. Il programma carica la homepage come farebbe un nuovo visitatore senza cookie e senza consenso, e fornisce una panoramica: quali cookie installa subito il server (solo i nomi), e da quali altri domini la pagina carica script, font, iframe o immagini. I servizi noti per statistiche, pubblicità, social media, font e video vengono segnalati con il nome (arancione: "verifichi che questo si carichi solo dopo il consenso, oppure lo sostituisca"). Inoltre viene verificato se sulla homepage è presente un link a una Privacy Policy.

Esercizio D9.3: Il Suo registro dei trattamenti e la Privacy Policy. Crei un elenco di tutti i trattamenti sul Suo sito (moduli, account, ordini, commenti, statistiche, newsletter, log, backup) con, per ogni trattamento: quali dati, per cosa, base giuridica, dove sono conservati, per quanto tempo, e quale responsabile del trattamento. Confronti questo elenco con la Sua Privacy Policy e verifichi cosa vi è contenuto. Annoti cosa aggiunge o rimuove, e quali servizi esterni dall'esercizio A9.3 sostituisce o vincola al consenso.

Per saperne di più

Questi articoli riguardano WebOké stesso; la spiegazione per il Suo sito la trova presso l'autorità per la protezione dei dati del Suo Paese.

• Cookie su WebOké: visualizzare o modificare la sua scelta
• Cookie (autorità olandese per la protezione dei dati, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookie e la Sua organizzazione: garantisca una buona politica (autorità olandese per la protezione dei dati, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Cookie banner chiari (autorità olandese per la protezione dei dati, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Diritto all'informazione (autorità olandese per la protezione dei dati, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Violazioni di dati (autorità olandese per la protezione dei dati, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privacy in WordPress (wordpress.org, in inglese): https://wordpress.org/documentation/article/settings-privacy-screen/