Che cos'è il tracciamento? Definizione e regole di protezione dei dati

Tracciamento o web tracking è un termine che non viene definito in modo più dettagliato. La definizione legale può essere ricavata dalla situazione giuridica attuale e supportata dalla definizione tecnica. La mia definizione si riferisce all'obbligo di ottenere il consenso.

Quando si parla del concetto di Trackings, in sostanza si discute se esiste un'obbligo di consenso.

Una definizione tecnica comune del concetto di Web Tracking è:

Web Tracking è l' identificazione e il tracciamento degli utenti in reti, con lo scopo di sfruttare i dati degli utenti al di fuori di un interesse legittimo.

Definizione di tracking da un punto di vista tecnico.

Da un punto di vista giuridico una definizione può essere derivata dalle seguenti domande in base alla legge attuale, che a mio avviso è ormai consolidata:

1. Il servizio utilizza cookie non tecnicamente necessari o il servizio non è funzionalmente necessario?
2. I dati personali vengono trasferiti a terzi senza un interesse legittimo e senza alcuna altra base giuridica?
3. I dati personali vengono trasferiti in paesi terzi non sicuri come gli Stati Uniti?

La prima domanda è sottoposta a Art. 5, comma 3 della direttiva ePrivacy. Afferma che un consenso deve essere dato non appena si accede alle informazioni conservate nel dispositivo dell'utente. Ciò vale naturalmente solo se il procedimento non è tecnicamente necessario, come la stessa direttiva prosegue a spiegare. Dal dicembre 2021 per la Germania è in vigore il § 25 TTDSG. Fino ad allora era in vigore § 15 comma 3 TMG (secondo la sentenza del Tribunale Federale di Giustizia afferente a Planet49 da interpretare come ePrivacy). Dal mezzo 2024 il TTDSG è passato nel TDDDG.

La seconda domanda è regolata dall' Art. 5 GDPR (datensparsamkeit), Art. 25 GDPR (protezione dei dati attraverso la tecnologia), Art. 32 GDPR (sicurezza del trattamento) e dall' Art. 6 GDPR (motivi legali). Un terzo è ogni altra struttura con cui non è stato concluso un DPA o simili. Durante una visita di un sito web vengono sempre trattate informazioni personali, perché l' indirizzo IP (indirizzo di rete) è un dato personale. Se un sito web integra un servizio di un terzo, ad esempio un player video YouTube, viene inviato all'utente l'indirizzo di rete. Inoltre si può fare riferimento al § 15 Abs. 3 TMG, che affronta la formazione del profilo dell'utente. I dati del profilo utente sono personalizzabili, quindi personali. Alternativamente potrebbe essere utilizzato il Device Fingerprint come informazione personale.

La terza domanda è sottoposta a Art. 44 (Principi della trasmissione dei dati).

Su questa base, ritengo utile la seguente definizione giuridica di tracciamento (formulata linguisticamente da informatico):

Il tracciamento nell'Internet è un trasferimento di dati, che deve essere sottoposto a una autorizzazione, perché altrimenti si accede alle informazioni sul dispositivo dell'utente, o perché è inutile o evitabile, o perché l'interessato non può garantire il rispetto della GDPR.

Definizione di tracciamento dal punto di vista legale.

Mentre la definizione tecnica di tracciamento mette l'attenzione sulla elaborazione dei dati, nella definizione legale è già rilevante il trasferimento dei dati. Da ciò deriva una lacuna che ho trattato in un altro articolo . Nella definizione non gioca alcun ruolo la formazione del profilo dell'utente, ma viene affrontata indirettamente attraverso i trasferimenti di dati non necessari o evitabili, perché l'indirizzo IP è già un dato personale, copre quasi il trasferimento dei dati esteso nella formazione del profilo dell'utente. ([1])

Tracciamento web, indipendentemente dal fatto che si utilizzi o meno cookie, è illegale senza consenso. Un consenso viene spesso (purtroppo) richiesto tramite strumenti di consenso da me consideratiinutilizzabili.

Le condizioni di utilizzo Google richiedono il consenso prima dell'inserimento di video YouTube. Infatti, secondo queste condizioni, è necessario chiedere il consenso prima di raccogliere dati per scopi pubblicitari. Purtroppo, lo script di YouTube carica sempre il tracker pubblicitario DoubleClick (data: 30.12.2020).

Per Google reCAPTCHA è menzionato nelle condizioni d'uso che si deve rispettare la Direttiva sulla conformità dell'utente UE.

Il Google Tag Manager e altri servizi come Google Maps vengono da Google associati al Google Marketing Platform (vedi ad esempio qui).

Thesen

L'integrazione di più strumenti per l'analisi statistica degli utenti va considerata come tracciamento.

Soluzioni di consenso guidate dai cookie sono per lo più illegali dal punto di vista giuridico e funzionano tecnologicamente senza una profonda modifica del sito web utilizzato, nonostante ciò. Ho dimostrato questo con un' indagine dettagliata e ho stabilito motivazioni oggettive e pratiche per questo fatto.

Cookies di Opt-Out_, che portano a carica degli strumenti di analisi di terze parti per impedire la raccolta dei dati in base a tali cookie (sperabilmente), sono illegittimi_

L'impiego di servizi di cui l'editore è sconosciuto, o che non presentano alcuna o una dichiarazione dei diritti riservati intransparente e non offrono garanzie, è illegale e anche con il consenso è affetto da incertezze legali.

L'incorporazione di file qualsiasi di terzi su siti web senza garanzia verificabile, che questi terzi trattino i dati personali ricevuti in conformità al GDPR (cioè non effettuare tracciamento), è incompatibile con il GDPR.

Strumenti di tracciamento più diffusi

A seconda di come si definisce il tracking, alcuni servizi rientrano in questa categoria o meno. Ecco quindi alcune categorie di strumenti di tracking elencate. In generale, sotto il termine Tracking si intende il monitoraggio degli utenti per conoscerli meglio e aumentare le conversioni.

Ecco un elenco di strumenti di tracciamento molto diffusi, pensati per seguire gli utenti:

• Google Analytics
• Pixel di Facebook
• DoubleClick, Doubleclick Remarketing per Google Analytics …; DoubleClick viene utilizzato, ad esempio, dal YouTube Videos Player
• Google Ads Conversion Tracking
• Plugin di Social Media da Facebook, Twitter ecc.
• Google +1 (senza funzione per il gestore del sito web)
• Omniture Analytics (Adobe Analytics)
• Visualizzatore di vendite
• Xiti Monitoring Traffic (AT Internet)
• Matomo (in determinate configurazioni e per il funzionamento nel cloud piuttosto che per l'installazione locale)

Strumenti di tracciamento nascosti

Le chiamo così qui perché la funzione principale non dovrebbe essere il Tracking, ma i rispettivi fornitori di strumenti mettono a disposizione questi strumenti (anche) per questo motivo, per poter effettuare il Tracking.

• Google Maps: Utilizza, tra l'altro, il cookie NID che viene impostato al momento dell'accesso con un account Google. Carica Google Fonts
• YouTube Video Script: Lädt DoubleClick nach
• Google reCAPTCHA: Siehe Google Maps
• Microsoft Forms: Carica script da Bing in (anche di Microsoft, ma per Forms sembra essere inutile)

Tracciamento tramite gli strumenti di Google

Presumo che il gruppo di aziende Google analizzi i dati di connessione generati dall'utilizzo dei seguenti servizi, tra gli altri, per i propri scopi o li metta a disposizione di terzi:

• Google Tag Manager: Google utilizza i dati degli utenti raccolti per scopi propri, ad esempio per ottimizzare la pubblicità*
• Google Web Fonts: vedi Google Tag Manager ([1])
• Qualsiasi altra file che viene richiesto da un Server Google ([1]) ([2])
• Server DNS di Google (8.8.8.8 = Server DNS pubblico di Google). Questo è un sospetto senza profonde prove. Chi può fornire prove concrete, riceverà da me una ricompensa! Comunque Google conferma soloche i dati personali ottenuti tramite il server DNS (solo) non vengono utilizzati per l'invio mirato di pubblicità. Quindi è possibile tracciare gli utenti e fornire queste informazioni a terzi, che quindi ottimizzeranno la loro pubblicità in base a ciò.

Google ammette persino l'utilizzo di dati raccolti altrove. Ecco due fonti di Google:

I gestori di siti web e app trasmettono quindi i dati a Google affinché quest'ultimo possa visualizzare pubblicità personalizzata sui propri siti web e su quelli di terzi. La pubblicità personalizzata richiede l'identificazione di una persona o la possibilità di collegarla a una persona.

A mio parere, Google e anche i gestori di siti web che utilizzano i servizi di Google senza consenso stanno agendo in modo illegale, perché il percorso mi sembra essere il seguente:

1. Un utente A visita un qualsiasi sito web X
2. I servizi di Google sono integrati nel sito web X
3. Google riceve quindi i dati dell'utente A dal sito web X
4. Se l'utente A ha acconsentito all'utilizzo dei suoi dati in un luogo completamente diverso da quello del sito web X, cioè su Google (vedi screenshot), Google utilizza i dati ottenuti sull'utente A tramite il sito web X per altri scopi che non corrispondono necessariamente a quelli del sito web X
5. Il sito web X non ha (di solito) ottenuto il consenso per questo o non ho notato da nessuna parte che l'integrazione di Google Maps o Google Fonts sui siti web è spiegata dal fatto che i dati vengono trasmessi a Google per essere utilizzati per la pubblicità personalizzata.
6. Come minimo, il gestore del sito web X è responsabile, in quanto trasmette i dati personali dell'utente A. Probabilmente anche Google è responsabile. Google Signals, ad esempio, combina dati provenienti da varie fonti per creare profili di utenti.

Obbligo di consenso per il trasferimento dei dati

È possibile che i seguenti strumenti (di cui si forniscono esempi) non effettuino alcun tracciamento. Tuttavia, il trasferimento di dati a Paesi terzi non sicuri, come gli Stati Uniti, sembra richiedere il consenso (e a mio parere lo richiede chiaramente):

• Font Awesome
• Fast Fonts (Fonts.com): Utilizzo di un pixel di tracciamento principalmente a fini di fatturazione (quota di utilizzo)
• MailChimp
• MyFonts
• MapBox (utilizza OpenStreetMap)
• SoundCloud Audio Player
• CloudFlare (rete di distribuzione dei contenuti per i file)

In caso di dubbio, il responsabile dell'acquisizione dei dati deve fornire la prova della legittimità. Responsabile di un sito web è solitamente l'amministratore del sito, a meno che non sia riuscito a trasferire la sua responsabilità su un'altra persona o entità. Negli affari globali si tende a scaricare la responsabilità su un'azienda con un adeguato sede legale.

Inoltre, non è possibile caricare senza rischi un'immagine da un server esterno di terzi invece di incorporarla direttamente. Di norma, la terza parte non analizzerà gli utenti sulla base dei dati di traffico ricevuti, ma potrebbe farlo.