GDPR, fatti e curiosità dopo il debutto ufficiale della nuova normativa

Il 25 maggio 2018 ha assunto piena efficacia la nuova normativa europea sul trattamento dei dati personali, meglio conosciuta con l’acronimo GDPR.

Nell’articolo GDPR: entra in vigore il nuovo regolamento sulla privacy. Cosa cambia, anche per i gestori di siti web abbiamo messo a fuoco le principali novità della nuova regolamentazione.
Tra di esse ve n’è una degna di nota: il GDPR si applica automaticamente anche ai siti web stranieri se questi raccolgono e trattano i dati di cittadini residenti nei Paesi dell’Unione Europea.

Così, nell’attesa di comprendere meglio il da farsi, molti siti ex-UE hanno preferito sospendere l’erogazione dei loro contenuti agli utenti collegatisi dal vecchio continente.
Come? Basandosi evidentemente sull’indirizzo IP pubblico usato dal sistema client.
Effettuando una query GeoIP è immediato risalire al Paese cui appartiene l’indirizzo IP utilizzato dal client che si sta collegando al sito web (vedere Trovare indirizzo IP proprio e altrui, come fare).

Tante sono le testate straniere che, temendo sanzioni, hanno preferito “chiudere i rubinetti” agli utenti europei. Un esempio è Los Angeles Times mentre USA Today ha addirittura approntato una versione totalmente priva di banner pubblicitari per i soli utenti sul nostro versante dell’oceano.

Il GDPR ha quindi smosso le acque soprattutto negli States mentre, paradossalmente, a casa nostra, sembrano ancora ben pochi i siti web a essersi adeguati.
Noi stessi abbiamo verificato che molti siti, anche di notevole caratura, continuano non soltanto a non applicare gli adempimenti previsti nel GDPR ma addirittura e non essersi neppure adeguati alla cookie law: Cookie law: analisi dei chiarimenti del Garante.

Già a suo tempo, nel 2015, avevamo evidenziato alcune storture in quella normativa ma è davvero curioso verificare come ancor oggi molti siti italiani – pur mostrando un generico avviso alla prima visita da parte dell’utente – eroghino comunque tutti i banner pubblicitari e tutti i cookie prima di un’esplicita autorizzazione da parte dell’utente-visitatore.
Gli editori online campano di pubblicità ma se le nuove regole hanno ormai assunto piena efficacia, queste devono valere per tutti, nessuno escluso.

Tra chi si è adeguato sono invece tantissime le interpretazioni diverse: in tema di cookie, però, né il GDPR né la cookie law impongono l’obbligo ai gestori dei siti web di indicare esplicitamente i singoli cookie erogati in fase di acquisizione del consenso.
L’obbligo esiste solo per quanto riguarda l’informativa estesa, che deve contenere le caratteristiche e le finalità dei cookie installati dal sito fornendo agli utenti le indicazioni per selezionare o disattivare i singoli cookie.

Come spiega anche Iubenda, non v’è l’obbligo per i webmaster di fornire agli utenti i mezzi per attivare o disattivare le preferenze sui cookie direttamente dal sito amministrato dal webmaster. Il sito, invece, deve solo limitarsi a:

– predisporre un meccanismo chiaro per ottenere un consenso informato e attivo
– fornire un metodo per la revoca del consenso
– garantire, tramite un blocco preventivo, che non venga effettuato alcun trattamento prima di aver raccolto il consenso

“Nella maggior parte dei casi, in base alla legislazione degli Stati Membri dell’Unione Europea, le impostazioni del browser sono considerate un metodo accettabile per gestire e revocare il consenso“, aggiunge Iubenda.
In altre parole, basta spiegare dettagliatamente agli utenti-visitatori nell’informativa estesa come disattivare i cookie da browser per mettersi in regola. In ogni caso, però, quelli che non sono cookie tecnici (anche di terza parte) dovranno essere bloccati alla prima visita dell’utente fino all’acquisizione del consenso.

La confusione, comunque, regna ancora sovrana tanto che l’Organismo Congressuale Forense ha chiesto al Garante Privacy italiano di sospendere l’irrogazione di qualunque sanzione.