Regolamento generale sulla protezione dei dati (GDPR): La normativa europea sulla protezione dei dati e le sue conseguenze nell'Internet

La GDPR è una normativa dell'Unione Europea, che per tutti gli Stati membri è in vigore dal 25 maggio 2018 e regola l'utilizzo dei dati personali.

La GDPR è tecnologicamente neutrale. A causa delle particolari condizioni del web sono state emanate ulteriori norme. Ciò include ad esempio la direttiva ePrivacy. Nella sua seconda versione è stata anche chiamata direttiva sui cookie.

Per l'Internet e per le pagine web, la GDPR è particolarmente rilevante perché gli indirizzi IP sono dati personali (vedere sentenze di EuGH e BGH). Una trattazione dei dati si verifica già con una raccolta di dati , possibile conoscenza da parte di un destinatario nominato dall'offerente.

Quindi ogni chiamata a una pagina web è un procedimento che rientra nella competenza della GDPR. Ogni gestore di una pagina web deve sottoporsi alla GDPR. Molti lo fanno solo con riluttanza o addirittura no, come si può notare ad esempio dall'utilizzo di strumenti di consenso illegali.

Tuttavia, va notato che le IP sono già state dati personali prima dell'entrata in vigore della GDPR. Il Legge sulla protezione dei dati personali (Germania) (legge federale sulla protezione dei dati) è stato semplicemente non applicato con coerenza. In questo contesto si è fatto riferimento al fatto che alcune autorità di controllo per la protezione dei dati in Germania non sono proprio note per le loro attività eccessive (saluti soprattutto a Hessen).

Per siti web ne derivano quindi alcune conseguenze, tra cui:

• Raccolta di un consenso prima dell'esecuzione di specifici processi di elaborazione dei dati
• Spiegazione dei trattamenti di dati effettuati nella dichiarazione sulla protezione dei dati e nelle richieste di consenso
• La menzione dei diritti degli interessati nella dichiarazione di protezione dei dati personali
• La menzione di un'istanza responsabile nella dichiarazione dei dati personali
• Accessibilità della politica sulla privacy da ogni sottopagina (con massimo due clic)
• Controllo permanente da parte delle autorità di controllo per la protezione dei dati possibile
• In caso di violazioni della protezione dei dati personali, sono previsti gli oneri pecuniari

Che significa elaborazione dei dati?

La risposta si trova Articolo 4 GDPR. Sintesi mia: Pressoché ogni tipo di fornitura di dati personali a terzi è considerata elaborazione dei dati, indipendentemente dal fatto che una reale elaborazione avvenga effettivamente. Questa definizione è sensata perché nessun terzo può dimostrare il seguente procedimento:

1. Il sito web W mette a disposizione un link (URL) ai dati di un utente attraverso Tracking (rilevamento dell'URL da parte di un tracker) per il fornitore di servizi D
2. Il fornitore di servizi D richiede l'URL ricevuta
3. Fornitore di servizi D valuta i contenuti estratti

L'articolo 4 del GDPR stabilisce al punto 2:

In senso di questa normativa, il termine si riferisce a:

Trattamento“ ogni operazione o serie di operazioni effettuate con o senza l'aiuto di procedure automatizzate in relazione a dati personali come raccolta, registrazione, organizzazione, classificazione, conservazione, modifica o alterazione, lettura, consultazione, utilizzo, divulgazione mediante trasmissione, diffusione o altra forma di fornitura, confronto o collegamento, limitazione, cancellazione o distruzione;

Art. 4 n. 2 del GDPR

Chi condivide una URL tramite Tracking a terzi che rappresentano un link ai dati personali di un terzo, consente quindi il trattamento di tali dati e probabilmente viola l'art. 32 GDPR (sicurezza del trattamento), in particolare:

…adottare misure tecniche e organizzative idonee dai responsabili e dagli incaricati del trattamento, al fine di… assicurare la capacità, la riservatezza, l'integrità, la disponibilità e la resistenza dei sistemi e servizi in relazione alla trattazione a lungo termine

Stralci dall'articolo 32, comma 1, del Regolamento europeo sulla protezione dei dati (GDPR)

La trattazione dei dati inizia già con la loro raccolta. Ho esaminato più da vicino la raccolta di dati. Non appena un server riceve una richiesta a causa di un'offerta (come un sito web) e non la blocca, si verifica una trattazione dei dati! Non appena avete un pacco nel vostro portone, che qualcuno vi ha inviato in base alla vostra offerta, raccogliete i dati nel pacco (a meno che il vostro portone non prendesse fuoco poco dopo aver ricevuto il pacco ecc.)

I principali articoli della GDPR

Nella mia valutazione di domande relative alla protezione dei dati personali su siti web, ricorrono sempre gli stessi articoli:

• Articolo 4 GDPR: Definizioni generali dei concetti relativamente a cosa sono i dati personali
• Articolo 5 GDPR: Principi della trattazione dei dati personali. In particolare, va citata la minimizzazione dei dati. Nella pratica significa un divieto di utilizzo delle Google Fonts, che vengono caricate dal server Google (chiedere il consenso per le fonti non ha molto senso). Soluzione: incorporare le fonti localmente
• Articolo 6 GDPR: Basi giuridiche. In particolare importante: Sussiste un interesse legittimo?
• Articolo 7 GDPR: Condizioni per un'assenso da parte di un utente
• Articolo 12 GDPR: Informazione trasparente, semplice e comprensibile. Molto successo nel descrivere le elaborazioni dei dati da parte del gruppo Google. Il meglio è non utilizzare alcun tool di Google o fornire una descrizione completa delle possibili pericoli
• Articolo 13 GDPR: Informazioni obbligatorie. Da ciò si deduce anche la necessità di una Dichiarazione sulla protezione dei dati e l' Spiegazione degli scopi dei cookie
• Articolo 15 GDPR Diritto di accesso delle persone interessate compreso diritto di ricorso a un'autorità di controllo
• Articolo 26 GDPR: Responsabilità condivisa di due trattatori dei dati che lavorano insieme
• Articolo 30 GDPR: Registro delle attività di trattamento
• Articolo 32 GDPR: Sicurezza della trattamento
• Articolo 44ff GDPR: Principi della trasmissione dei dati. In particolare importante per trasferimenti di dati negli Stati Uniti (strumenti Google ecc.)

Siti web con argomenti selezionati

Per siti web è soprattutto l'impiego di servizi, detti strumenti, un atto rilevante per la protezione dei dati. A questo proposito ho scritto una serie di contributi e vorrei in particolare raccomandare:

• Cookies: Fondamenti
• Annunci di cookie: Cinque motivi per cui sono inaffidabili e lo saranno sempre
• Strumenti di consenso: prova pratica
• Il Google Tag Manager è obbligatorio per l'assenso
• Google Analytics nelle sue diverse configurazioni è obbligatoria l'adesione