I fondamenti di un falso: i cookie non sono file di testo

I cookie vengono spesso definiti come file di testo. Anche le dichiarazioni sulla protezione dei dati più recenti diffondono questo mito. La verità è qualcosa d'altro, come posso dimostrare.

Pressoché ogni dichiarazione di protezione dei dati che fa riferimento ai cookie li definisce come file di testo. Lì si legge: "Un cookie è un file di testo". Anche in una dichiarazione di protezione dei dati di un'azienda conosciuta era presente questa affermazione, creata da un avvocato. Doveva anche lui saperlo meglio se persino i webmaster hanno spesso lacune nel loro sapere.

In passato i cookie erano spesso o forse sempre un file di testo. Come vengono effettivamente salvati i cookies, ogni browser decide da solo. In passato molti o forse tutti i browser hanno salvato i cookies come file di testo. Ma questo era pura casualità, perché ci sono molte possibilità tecniche per salvare piccole informazioni come quelle dei cookies. Tuttavia, non esiste un limite teorico alla dimensione di un cookie.

Attualmente i browser moderni conservano i cookies in modo diverso. Il browser Firefox per Windows, ad esempio, utilizza una banca dati. Come banca dati, Firefox sceglie SQLite. SQLite è una banca dati basata su file.

Sqlite conserva, come ogni altra classica banca dati SQL, più record in una tabella. Più tabelle a loro volta formano un database. Un database a sua volta viene salvato con Sqlite come singola file. Ma anche qui vale: Un cookie non è un file di testo e neanche un file! Il database è un file (di solito non un file di testo!), che contiene numerosi cookies, ma non tutti i dati, bensì solo alcune informazioni su di essi. Altre informazioni sui cookies, che regolano la visibilità, sono salvate in un altro database.

Per Firefox ci sono una serie di tali banche dati. Ecco un estratto:

La banca dei dati, dove vengono memorizzati i cookie, ha il nome del file cookies.sqlite. Questo non è un file di testo, ma una file binario. Anche se fosse un file di testo: Lì non viene memorizzato un cookie, e neanche tutte le informazioni relative a un cookie! Spesso si trovano più cookie insieme in più file. In questo caso, ogni cookie (spesso) è diffuso su più file.

Il percorso di archiviazione può essere aperto in Firefox inserendo about:support nella barra degli indirizzi del browser, premendo Invio e cliccando sul pulsante "Cerca nel profilo" (a destra della dicitura "_Percorso del profilo")

Nella citata banca dati sono invece conservate le informazioni essenziali sui cookie, tra cui:

• Name
• Valore
• Dominio
• Percorso
• Durata della vita
• Flags wie HTTP yes/no, Sicher yes/no, SameSite yes/no

Ulteriori metadati vengono memorizzati in altre banche dati.

La banca dei dati sui cookie contiene ad esempio registrazioni come le seguenti:

Come si può facilmente vedere, i cookie non sono file di testo.

In realtà vale:

Una breve analisi ha mostrato: Ogni una delle (pochissime) dichiarazioni di protezione dei dati che ho esaminato era falsa riguardo alla descrizione di cosa siano i cookie. Notoriamente, anche gli operatori di strumenti di consenso non sanno cosa sono realmente i cookie. Come ho mostrato, gli strumenti di consenso sono inadatti per creare siti web conformi al GDPR.

Chiunque ancora voglia sostenere che i cookie siano file di testo, mi prega per favore di spiegare la seguente visione della presunta cookie-file di Firefox:

La visione apparve all'apertura del file principale della banca dei cookie di Firefox con l'editor potente Notepad++

Sono riconoscibili numerose caratteri non rappresentabili, contenuti in una delle banche dati dei cookie. Un file di testo è secondo Wikipedia (e secondo il mio buon senso) un file che contiene "caratteri rappresentabili". L'unica eccezione viene menzionata anche su Wikipedia: "Questi possono essere suddivisi mediante segni di controllo come cambio riga e pagina." La visione sopra descritta mostra numerose caratteri che non cadono in nessuna delle categorie.

Se si volesse comunque chiamare tali file "file di testo", ogni file sarebbe un file di testo. Ciò non farebbe molto senso. Un file è inoltre una forma di archiviazione stabilita dal browser. Nessuno conosce tutte le forme di archiviazione dei vari browser. Tuttavia, è universalmente vero che un cookie è un set di dati o un archivio di dati o un archivio di stato, indipendentemente da come i vari browser gestiscono i cookies. Ciò si desume dal RFC 6265.

I cookie non salvano nemmeno file, ma dati. Un file ha un nome, è collocato in un sistema di file accessibile all'utente in un directory e può essere cercato tramite questo sistema di file e solitamente viene letto e scritto. I dati nei cookie non soddisfano questi criteri. Vedi anche l'articolo Wikipedia sui file. I cookie vengono invece gestiti (in che modo, è affar del browser). Posso addirittura scrivere un browser che gestisca i cookie in modo tale che nessuno possa vedere i cookie gestiti dal mio browser.

Forse aiuta a prendere una decisione, se si considera che le dichiarazioni sulla protezione dei dati delle seguenti pagine web classificano i cookie come file di testo (data: 18.01.2021):

• UserCentrics: "Un cookie del browser web è un piccolo file di testo che una pagina web invia al suo computer o dispositivo mobile, dove viene memorizzato dal suo browser web." Anche eRecht24 consiglia UserCentrics e spiega i cookies come file di testo nella sua dichiarazione di protezione dei dati.
• Il Cookiebot: "I cookie sono piccoli file di testo utilizzati dalle pagine web per rendere l'esperienza dell'utente più efficiente
• Il gestore del consenso: „Con i cookie si tratta di piccoli file di testo che vengono salvati sulla vostra unità di archiviazione e associate al browser da voi utilizzato, attraverso cui la sede che ha impostato il cookie (in questo caso noi) riceve determinate informazioni. I cookie non possono eseguire programmi o trasferire virus sul vostro computer.“ Anche l'Associazione dei commercianti, che raccomanda il consent manager, spiega i cookie come file di testo.
• I cookie sono piccoli file di testo che vengono lasciati sul computer e memorizzati dal browser ([1])
• Un cookie è un piccolo pacchetto di dati (file di testo) che il tuo browser salva sul tuo dispositivo su richiesta del sito web visitato, per ricordarsi informazioni su di te, come ad esempio le impostazioni della lingua o le credenziali di accesso ([1])

Chi pensa che i fornitori di strumenti per il consenso non menzionati qui siano migliori, può sempre guardare il mio test pratico sulle soluzioni di consenso. Il risultato del test: tutti gli strumenti di consenso testati producono scemenze nei siti web.

Anche sulla pagina web di Facebook viene spiegato male che i cookie siano piccoli pezzi di testo.

Un lettore gentile ha suggerito di riscrivere i cookie nei paragrafi sulla protezione dei dati. Io avevo già proposto sopra di considerare un cookie come un set di dati o una porzione d'informazione. Tuttavia, il termine "porzione" è più piccolo che grande. Il concetto non è quindi esattamente preciso.

Tuttavia, il seguente progetto sembra più facile da capire:

Un cookie è un'informazione che viene memorizzata sul tuo dispositivo (computer, smartphone ecc.)

Sono i cookie piccoli? No, non lo sono. Un cookie può contenere un ammontare di dati fino a 4096 byte (4 kilobyte) secondo RFC 6265. Local Storage è un archivio web che può contenere dati in quantità molto più grandi. Secondo Wikipedia la dimensione dipende dal browser e può raggiungere diversi megabyte. Di conseguenza i cookie non sono affatto piccoli. Per inciso, anche 4 KB di dati personali nei classici cookie contengono un'ordinata quantità di dati per identificare una persona. Il nome di una persona ha solo pochi byte. Anche un indirizzo postale spesso ha meno di 100 byte.

I cookie vengono anche memorizzati sul server web di una pagina o di un servizio integrato? In sé no. Solo i valori dei cookie sono inviati al server web. Se e come il server salva questi valori, è lasciato alla sua discrezione. Secondo la specifica RFC6265 non ci sono in realtà cookies sul server web. È ancora sbagliato considerare i cookie come file di testo. I cookie non sono file di testo, indipendentemente da come si vogliono vedere le cose. Non miglioreremo la situazione ripetendo un falso affermazione. Anche se qualcuno può programmare e conosce la protezione dei dati e pensa che i cookies siano file di testo: i cookie sono sempre file di testo. Perché dovrebbero contare le conoscenze di programmazione e protezione dei dati in questa domanda? Ciò che conta sono i fatti e le prove, non le opinioni o le convinzioni.

Buon successo nell'aggiornare la propria informativa sulla privacy.

PS: Anch'io sono caduto fino a poco tempo fa nelle affermazioni di molti cosiddetti esperti del diritto alla protezione dei dati e avevo riportato una definizione errata dei cookie. Da un po di tempo sto cercando la verità da solo e scrivo, nel miglior modo possibile, su Dr. GDPR Blog. Dovreste smettere di pensare che qualcosa sia vero solo perché molti lo affermano. Il contrario è spesso vero.

Non mi interessa affatto la semplice definizione dei cookie. Voglio invece mostrare che molti professionisti nei settori tecnico e della protezione dei dati digitali si spingono troppo oltre, in cui non hanno competenza.