Protezione dei dati e puzzle: cosa hanno a che fare l'uno con l'altro? Più del previsto

Risolvere un classico puzzle può avere anche conseguenze sul diritto alla protezione dei dati personali. Leggere qui, per sapere perché.!

Di recente, sono giunto ad alcune importanti e profonde riflessioni sulla protezione dei dati in Internet. Per me, queste intuizioni sono state le cose più importanti che sono riuscito a fare di recente. Per quanto ne so, alcune di queste intuizioni non sono affatto o solo molto poco conosciute.

Quali sono state queste realizzazioni e come sono nate?

Risultati

Ho iniziato con la mia lunga indagine sui strumenti di consenso. Ho sottoposto a test pratico tutti gli strumenti di questo tipo che considero diffusi. Il documento finale è lungo più di 90 pagine DIN A4. Inoltre, ho visitato siti web che utilizzano questi cosiddetti pop-up dei cookie. In questo caso mi sono trovata in difficoltà a valutare la legge. Tuttavia, sono emerse così tante conclusioni che possono essere considerate come errori, che ho deciso di chiamarle Cookiegeddon.

Ho inviato lo studio alla organizzazione no-profit Organizzazione per la protezione dei dati noyb. noyb è l'abbreviazione di None Of Your Business, che significa "Non ti riguarda". Poco dopo, mi sono chiesto se fosse possibile una videocamera. Il team di noyb, compresi anche avvocati, aveva bisogno di aiuto per valutare le condizioni tecniche, che sono regola sui siti web.

Il legale mi ha chiesto quali informazioni sono conservate nel dispositivo dell'utente. La risposta a questa domanda è fondamentale, perché la direttiva ePrivacy in Articolo 5 comma 3 la formula come criterio per un obbligo di consenso. Dalla breve discussione e ulteriori ricerche sono emersi momenti di svelamento. Da allora è stato possibile a me, improvvisamente, fare una valutazione tecnico-giuridica di importanti circostanze su siti web.

Realizzazione: i cookie non sono file di testo

I cookie non sono file di testo: questa affermazione sembra lapidaria, ma dice molto sul mercato del rispetto della privacy in Germania. Qualche pochi, che si considerano competenti, esprimono un parere o fanno una dichiarazione. Tutti gli altri, sembra, hanno fiducia cieca in questi "esperti" e scrivono ciò che viene loro detto.

Così era anche per i cookie. In quasi ogni dichiarazione di protezione dei dati personali c'era e c'è ancora una falsa affermazione sui cookie: i cookie vengono equiparati alle file di testo. Che ciò non sia mai stato vero e che oggi sia addirittura falso, è dimostrato dal mio contributo sui cookie. I cookie non sono file di testo. I cookie sono insiemi di dati.

Sebbene abbia dimostrato in quell'occasione che i cookie non sono file di testo, ho dovuto discutere con una persona che ancora si aggrappa a questa convinzione. Questa persona, che conosco a metà grazie a una lunga telefonata e a diverse e-mail, lo crede solo, presumo, perché è conveniente. Troppe dichiarazioni errate sulla protezione dei dati dovrebbero essere corrette se si ammettesse questo errore. Penso che sia giusto ammettere l'errore. Dopotutto, anch'io avevo copiato in modo errato. Per assicurarmi che non mi succeda più, da qualche tempo faccio ricerche approfondite e smaschero le informazioni false con le prove. L'approccio basato sulle prove deriva anche dal fatto che non voglio più affrontare discussioni noiose e fare la parte della petizione quando qualcuno commette un'infrazione alla protezione dei dati.

Insight: informazioni memorizzate nel dispositivo finale dell'utente

La direttiva ePrivacy si basa sull'articolo 5, comma 3, che stabilisce che per accedere alle informazioni memorizzate nel dispositivo dell'utente è necessaria la sua autorizzazione. Ciò vale a meno che non ci sia un interesse legittimo, il che dovrebbe essere menzionato solo quando si tratta della gestione degli utenti registrati o di funzioni fondamentali simili.

Il mio intento era scoprire quali informazioni sono memorizzate nel dispositivo dell'utente. In questo modo ho scoperto che non è l'indirizzo IP, almeno non secondo la direttiva ePrivacy. Ho inoltre scoperto che i cookie non sono file di testo e perché la direttiva ePrivacy viene anche chiamata "direttiva sui cookie".

Realizzazione: la catastrofe dei Cookies

La catastrofe dei cookie causerà il crollo degli strumenti di consenso più diffusi, almeno così spero. I noti fornitori di strumenti di consenso sostengono regolarmente che i siti web possono essere resi conformi al GDPR con i loro strumenti miracolosi. Questo può accadere in casi molto rari. Questi casi sono caratterizzati principalmente dal fatto che vengono utilizzati pochi strumenti facilmente gestibili. Un esempio di strumento facilmente gestibile è Matomo, preferibilmente in un'installazione locale.

Non appena un sito web utilizza però strumenti di Google, Facebook, Vimeo, Adobe o altre aziende di questa categoria, questi strumenti non possono funzionare in modo affidabile. Le ragioni di ciò sono parzialmente addirittura dimostrabili e leggibili nel mio articolo sui Cookie Popups.

Oltre a questa dimostrazione teorica ho fornito la prova del fallimento di tutti gli strumenti di consenso che conosco anche nella pratica e Il Cookiegeddon l'ho battezzato. Nel mio test pratico del blocco dei cookie, tra le altre cose, sono state esaminate le pagine web delle grandi aziende e quelle degli fornitori di strumenti di consenso. Tutti hanno fallito miseramente, è la mia conclusione, che può essere dimostrata (solo per questo motivo, perché non tutti sono felici quando affermo qualcosa del genere).

Chi vuole sapere quanto sia difficile, se non impossibile, creare una richiesta di consenso conforme al diritto, dovrebbe consultare la mia checklist per le richieste di consenso sui siti web.

Chi vuole un esempio pratico del fallimento dei noti e reputati servizi e avvocati dovrebbe leggere il mio articolo sul Google Tag Manager. Lì dimostro, anche con l'aiuto di un video, che il Google Tag Manager non è una domanda senza cookie. Al contrario, è uno strumento – qualcosa in cui si sarebbe potuti arrivare anche senza me. Inoltre, non è senza cookie – questo è già più difficile da capire, ma avrebbe dovuto essere noto agli esperti di tutela della privacy per siti web. Perché gli avvocati siano considerati esperti in questo campo, mi rimane un grande enigma.

Approfondimento: richiesta di consenso per i numerosi strumenti di Google & Co.

In modo oggettivo si può dimostrare che molti strumenti di Google, compresi Google Maps e Google reCAPTCHA, ma anche i video Vimeo integrati, richiedono necessariamente il consenso. Ciò non è la mia opinione personale, ma è dimostrabile e logicamente derivabile in modo tecnico e giuridico. Ho fatto verificare la mia deduzione da un avvocato IT. Anche Google Analytics nella sua versione standard cade necessariamente sotto l'obbligo del consenso. Non è più necessario giustificarvi con riferimenti alle opinioni delle autorità per il trattamento dei dati. Dimostrate semplicemente, dopo aver studiato i miei contributi.

Approfondimento: Richiesta di consenso per Google Fonts e altri file ausiliari

La richiesta di consenso per Google Fonts può essere derivata in modo chiaro da Art. 5 GDPR, la minimizzazione dei dati, e dalla riduzione dei dati. Chi porta l'argomento della velocità dovrebbe utilizzare un proprio server file o noleggiare un CDN conforme alla GDPR. Lo stesso vale per qualsiasi altra tipo di file ausiliario che non si trova su un server di terzi con cui è stato stipulato un contratto di elaborazione dei dati valido. Con il termine di file ausiliari intendo le seguenti file esterni:

Caratteri
Immagini
File di stile (CSS)
Video
JavaScript-Bibliotheken

Anche i video di YouTube senza cookie richiedono un consenso a causa del principio della minimizzazione dei dati. Nessuno può spiegare in modo credibile che già prima dell'avvio di un video embeddabile ci sono numerosi trasferimenti di dati verso più indirizzi (domini) . Precisamente questo si può dimostrare, se i video di YouTube vengono caricati tramite uno script.

I puzzle acuiscono i sensi (l'immagine è stata tradotta automaticamente).

Riassunto

I miei risultati delle ultime settimane sono:

I cookie non sono file di testo. In questo modo smentisco un'idea sbagliata molto diffusa
Gli strumenti di consenso non funzionano nella pratica. Questo smentisce ciò che centinaia di migliaia di operatori di siti web credono sia vero
Gli strumenti di consenso non funzionano in teoria
Ai sensi della Direttiva ePrivacy, i cookie vengono memorizzati principalmente sul dispositivo finale dell'utente, ma non sull'indirizzo IP
Ogni strumento è potenzialmente affetto da cookie. Basta un singolo sito web in tutto il mondo per far entrare in gioco un cookie di questo tipo
Gli strumenti più diffusi per i siti web richiedono il consenso obbligatorio
Il trasferimento di dati a paesi terzi non sicuri non deve di solito essere utilizzato come argomento per decidere se uno strumento richiede il consenso
Le richieste di consenso difficilmente possono essere fatte in modo legalmente sicuro

Lo trovo notevole. Se la vedete diversamente, scrivetemi! Sono aperto alle argomentazioni.

Il percorso di realizzazione

Cosa c'entra tutto questo con i puzzle? Niente, però. La domanda che mi è venuta in mente: come sono arrivato a queste conclusioni e ai relativi dati di prova o perché proprio adesso e non prima? Infatti mi occupo da alcuni anni intensamente del digital privacy.

Ci vuole molto tempo per capire tutte le norme legali. Tra l'altro ho dovuto studiare alcune condizioni di utilizzo dei tool come Google reCAPTCHA per poter proseguire.

A quanto pare, è necessario affrontare un argomento complesso più a lungo prima che emergano nuovi pensieri e intuizioni.

Sfida con una terza parte che vuole conoscere esattamente

Sicuramente utile è stata la discussione con un avvocato della noyb, che mi ha interrogato per capire meglio i tecnicismi dei siti web. Per lui era importante per preparare una denuncia contro un trasgressore della protezione dei dati. Eravamo dello stesso parere: credere a qualcosa e poterlo dimostrare sono due cose diverse. Per questo motivo ho raccolto la sua domanda sul link al video e ho risposto nel miglior modo possibile. Questo è stato sufficiente per porre fine alla domanda.

In qualità di responsabili della protezione dei dati o di persone interessate alla protezione dei dati, probabilmente conoscete questa situazione: siete personalmente sicuri che qualcosa sia sbagliato e violi le norme sulla protezione dei dati, ma non riuscite a renderlo plausibile alla vostra controparte (cliente, partner di dialogo, obiettore di protezione dei dati, …).

Mi sembrava di essere arrivato a un punto simile. Ora è stato raggiunto uno status in cui non si discute più. La situazione di fatto è soffocante. Resta da vedere cosa porterà la novella della direttiva ePrivacy, che presenta sia sviluppi positivi che alcuni passi indietro. Ciò che conta per ora è attendere fino a quando non sarà concordata la nuova versione della direttiva e non entrerà in vigore.

Ma anche dopo, alcuni fatti sono ancora validi:

Devono essere fornite informazioni trasparenti, facilmente comprensibili e complete su tutte le operazioni di trattamento.
L'accesso alle informazioni sul dispositivo finale dell'utente (di solito tramite i cookie) è consentito solo entro limiti ristretti.
I cookie non sono file di testo e non lo saranno mai.
Affinché gli strumenti dei fornitori più diffusi siano soggetti ai cookie e quindi potenzialmente soggetti al consenso solo per questo motivo, è sufficiente che nel dominio dello strumento vi sia un singolo sito web a livello mondiale che generi cookie. Non lo si ripeterà mai abbastanza, perché le implicazioni di questa affermazione stanno scuotendo l'intero mercato dei cookie.

I puzzle affinano le capacità di percezione e di combinazione

Passiamo ora agli enigmi e al collegamento con la protezione dei dati.

Più a lungo si lavora su un determinato puzzle, più è probabile che si riesca a riconoscere direttamente le differenze cromatiche più sottili. Ciò che all'inizio sembrava impensabile, dopo qualche ora diventa una cosa ovvia. È stato così anche per me quando ho cercato di ricavare l'obbligo di ottenere il consenso per Google Analytics e altri strumenti in modo ineccepibile, cosa che alla fine sono riuscito a fare. Mi ci sono volute alcune settimane e più di 100 pagine A4 di testo per presentare i risultati della mia ricerca.

Non so se l'enigmistica abbia acuito i miei sensi, se sia stato un caso o un duro lavoro. In ogni caso, sono sicuro che i puzzle aiutano molto ad affinare la mente e le capacità percettive. In ogni caso, posso consigliare vivamente questa attività collaterale.

Se anche voi vi interessate di altre cose oltre al rispetto della privacy e volete iniziare a giocare con i puzzle, ecco alcuni Tipi per risolvere i puzzle:

In realtà, l'enigmistica consiste nel suddividere un problema complesso in sottoproblemi gestibili. Fare un puzzle significa scomporlo deliberatamente e poi ricomporlo.
In condizioni di luce molto buone, l'intuizione ha spesso la meglio su tentativi ed errori meccanici (come nel gioco del golf).
Per prima cosa trovare i pezzi del bordo.
I pezzi del bordo possono essere trovati più rapidamente se i pezzi del puzzle vengono girati.
Ordinare i pezzi del puzzle per colore o area.
Dopo aver osservato alcuni pezzi, si può capire quali colori e motivi sono abbastanza comuni, ma non troppo, da metterli in una pila (o uno accanto all'altro; le pile sono una cattiva idea per i pezzi di puzzle).
Probabilmente solo i professionisti assoluti sono in grado di eseguire un processo di selezione complesso quasi senza errori. Ecco perché consiglio di concentrarsi solo su uno o due criteri alla volta per evitare di confondersi. Per esempio, prima trovare i pezzi del bordo, poi ordinare i colori e non entrambi in una volta sola. Questa è certamente la strategia sbagliata per un campionato mondiale di puzzle. Per un comune mortale, è più divertente e produce meno errori che distruggerebbero la produttività acquisita inizialmente.
I contenitori di plastica sono adatti per lo smistamento, così come i coperchi dei puzzle (non usate il coperchio con l'immagine di copertina del puzzle corrente, a meno che non vi piacciano le sfide).
I pezzi del puzzle si riconoscono meglio su fogli di carta bianca. Formato A3 o superiore.
Se un pezzo di puzzle si incastra molto bene, anche se alla fine non si incastra, c'è un'alta probabilità che trovi la sua collocazione finale vicino alla posizione ipotizzata.
A seconda della qualità del puzzle, può anche accadere che i pezzi del bordo si incastrino solo in una posizione.
I puzzle incompiuti possono essere trasportati su fogli di carta provenienti da forniture per artisti. A tal fine, è sufficiente posizionare il puzzle su un foglio di questo tipo oppure utilizzare del cartone o una tela per artisti. I tappetini per puzzle sono spesso troppo costosi.
Una lampada da giorno è la scelta migliore dopo la luce del giorno. Se si dispone solo di una lampada da terra, posizionarla sul tavolo in modo che la distanza tra la lampada e la superficie del puzzle sia la più ampia possibile.
Iniziate a risolvere i puzzle da 500 pezzi, poi quelli da 1000 pezzi. Oppure iniziate direttamente in coppia con un puzzle da 1000 pezzi
Oltre al colore di un pezzo, il design delle protuberanze e delle sporgenze è spesso un buon criterio di distinzione. A volte è possibile trovare un pezzo solo perché ha una forma particolarmente caratteristica.
Nel gioco finale, quando rimangono solo pochi pezzi, è utile ordinare i pezzi in base alla loro forma di base. Ci sono sei forme di base per i pezzi del puzzle.

Vi occupate anche di enigmistica? Sarei lieto di ricevere informazioni su questo argomento, nonché sulle vostre esperienze in materia di protezione dei dati o suggerimenti per gli articoli. A breve verrà pubblicato un articolo che analizza quando può essere sensato utilizzare gli strumenti di consenso. Tuttavia, dovreste evitare di utilizzare i ben noti strumenti per i cookie. Presto ne fornirò uno gratuito, più efficace e onesto delle promesse pubblicitarie che probabilmente conoscete tutti.

Tra l'altro, vorrei raccomandare ai negozi di puzzle più noti di dare un'occhiata molto critica ai loro siti web per quanto riguarda le norme sulla protezione dei dati. È possibile che presto qualcuno li contatti e, nel migliore dei casi, voglia informazioni sulle procedure di trattamento dei dati. A questo scopo sarà presto disponibile uno strumento con il quale tali richieste potranno essere create quasi automaticamente per molti siti web.