Diffida per violazione del GDPR per utilizzo Google Analytics su sito istituzionale

Ma, oggettivamente, il fatto che Mario Rossi, il giorno 1 giugno 2022, abbia visitato il sito del comune di Torino, al governo americano cosa può interessare? e questo come influisce nella vita di Mario Rossi?

Mi sembra la classica domanda “why metadata matters” e la risposta è ad una ricerca su internet di distanza, ad esempio qui ne parla la eff Why Metadata Matters | Electronic Frontier Foundation

1 Mi Piace

Non mi risulta che Google Analytics di base offra un registro degli accessi, cioè un registro che elenchi ogni singolo accesso in ordine cronologico con relativi metadati. Una tale funzionalità non è particolarmente utile perché è fornita da qualsiasi webserver.

Per un confronto delle funzionalità sarà piú facile cominciare a usare la versione libera (e gratuita) di Matomo e far un confronto sul campo. Leggere la documentazione a volte può non bastare perché ci si scontra con fraintesi terminologici. Un ente come CRI il cui sito principale fosse troppo trafficato per le prove gratuite potrà sicuramente trovare qualche sottosito meno trafficato in cui cominciare una sperimentazione.

Quanto ai costi, non so come si arrivi alla stima di “oltre 2000 €/anno” (stiamo parlando delle stime per i siti con oltre 1 milione di accessi al mese?), ma Matomo Cloud è solo un punto di riferimento per chi vuole andare sul sicuro. Le PA con esigenze particolari possono organizzarsi per ospitare Matomo su proprie macchine virtuali: si può anche ospitarlo sulla stessa infrastruttura che ospita il sito e/o farlo gestire dagli stessi fornitori del sito, per cui sarà spesso un’aggiunta di poco conto al contratto esistente. Altrimenti si può anche fare una procedura di affidamento più aperta che consideri piú opzioni: i fornitori autorevoli a disposizione sono dozzine, anche andando a guardare solo quelli consigliati dal garante francese (CNIL):

La gratuità di Google Analytics è un’illusione, perché affidare a Google masse enormi di dati personali di un pubblico indiscriminato aumenta i rischi legali dell’ente e i rischi di sicurezza di tutti. Concretamente, non so quanto spendano le amministrazioni per i loro DPO e per scrivere le informative sul trattamento dei dati personali, ma considerato anche solo il costo organizzativo dell’affidare un incarico del genere sicuramente superiamo i 2000 €, anche in un ente di diritto privato come CRI che (presumibilmente) non agisce come un’srl a socio unico dove una persona singola fa e decide quello che le pare. Scegliere software libero, oltre a essere una scelta vincente per rispettare i diritti dell’ente e del cittadino, può portare a qualche piccolo costo economico iniziale ma nel lungo periodo sicuramente avrà costi complessivi minori.

1 Mi Piace

Grazie delle precisazioni, faremo le nostre valutazioni.

@AlessandroDenti da volontaria CRI penso che la CRI abbia problemi di privacy un pochino più pressanti che il dilemma GA/Matomo (mi riferisco ai comitati territoriali e i loro software, social, siti ecc.)

Ciao Elena, piacere di conoscerti, anche questo di Google Analytics è un problema da risolvere, ciò non rende meno importanti gli altri, né il fatto che ci siano dei problemi in determinati contesti deve impedirci di lavorare per risolvere difficoltà che sorgono altrove.
Comunque qui siamo off-topic, proseguiamo privatamente così puoi indicarmi nel dettaglio di cosa stai parlando.

Non è possibile attribuire un valore al rischio nel caso specifico, ma il problema a livello generale esiste e non si sta riducendo.

Porto un piccolo esempio, forse un po’ nerd: Chrome è un browser con circa il 65% di mercato mondiale di tutti i devices e, nel 2020, è stato introdotto un Header particolare “x-client-data”, che porta con sè un elenco di interi che identificano il browser nelle sue variazioni di stato [installazioni, update, etc…]

L’header ha una particolarità interessante: l’elenco viene comunicato ad ogni chiamata con tutti, ma proprio tutti i servizi Google (quindi anche quando si naviga un qualsiasi sito che utilizzi per esempio Google Fonts o una mappa Google inclusa nella pagina, come anche i siti della galassia RTB doubleclick*.*com). Gli stessi valori sono presenti anche quando siamo loggati in Gmail, per esempio.

L’uso di questo insieme di dati viene dichiarato nella Privacy Policy di Chrome dove si legge:

Questa intestazione viene utilizzata per valutare l’effetto sui server di Google, ad esempio, una modifica della rete può influire sulla velocità di caricamento dei video di YouTube o un aggiornamento del ranking Omnibox può comportare risultati di Ricerca Google più utili.

Anche cancellando tutti i dati di navigazione, la lista viene solo decurtata di alcune variazioni e quindi Google è sempre in grado tecnicamente di identificare il browser (basta poi associarlo alla sessione gmail per arrivare più vicini alla persona).

Il reset della lista si fa aggiungendo la flag --reset-variation-state al comando (non proprio alla portata di chiunque [e anche qui siamo lontanucci dal concetto di controllo dei propri dati, caro al GDPR]).

Google davanti al crescente malumore che ne è derivato ha cercato di calmare con le rassicurazioni del caso.

L’alternativa difensiva si attua con ModHeader finché lo permettono, oppure usando altri browser.

Pensando che nel 1999 fece scandalo l’uso del GUID dentro Microsoft Word, si resta abbastanza attoniti dall’assuefazione che abbiamo sviluppato sul tema, nonostante l’incremento della normazione in materia.

1 Mi Piace

Mi sorge un dubbio, https://panelbear.com/ può andare come valido sostituto? Sia a livello legale che a livello di features

Le altre risposte sono già esaustive, ma aggiungo un paio di esempi semplici:

Se Rossi è una persona “attenzionata” per qualunque motivo, sapere il suo indirizzo IP può essere utile per geolocalizzarlo e farsi un’idea dei posti fisici da cui si collega nonché degli orari in cui li frequenta. Per poi magari seguirlo anche in altri modi.
Avere poi indicazioni sulla sua configurazione-macchina può essere utile per sfruttare vulnerabilità del suo sistema, installare captatori etc.

Oppure ancora, sapere quali siti frequenta può servire per rendere maggiormente credibili eventuali attacchi di phishing.

E se non sei attenzionato oggi, chissà magari un giorno lo sarai (e non lo deciderai tu). Per cui non si sa mai, intanto pesco tutto a strascico, lo conservo indefinitamente e poi si vedrà.

1 Mi Piace

Ok, tutto giusto, mi siccome tutti abbiamo uno smartphone sempre con noi e abbiamo prestato il consenso a concedere una miriade di dati ad Apple e/o Google, il tracciamento tramite GA mentre si visita il sito di una PA a me sembra un po’ cercare la pagliuzza e non guardare la trave…

1 Mi Piace

Beh, nì.

C’è una questione di “opportunità” che la PA non può sottovalutare. Io cittadino non voglio essere spiato da una azienda privata mentre accedo a un servizio statale, dicendogli a che ora lo sto facendo, da quale IP, con quale browser e su quale pagina sto accedendo. Parliamo di servizi pubblici, spesso obbligatori (es. pagamento delle imposte), da cui non si può sfuggire.

Lo trovo irrispettoso. Al di là, ovvio, della questione normativa.

3 Mi Piace

Lei conosce tutti? Io non ho uno smartphone con google e apple :confused:

ok, allora diciamo “quasi” tutti :slight_smile:

E’ proprio questo il punto, dobbiamo mirare ad una società dove le aziende private non spiano i loro utenti, e lavorare affinché le PA e lo stato remino nella giusta direzione

1 Mi Piace

Esatto, e credo che il primo step sia prima di tutto la consapevolezza delle dirigenze.

Buongiorno a tutti,
un nostro cliente PA ha ricevuto la suddetta mail il 12/5/2022; siccome l’uso di Analytics era molto ridotto abbiamo momentaneamente optato per rimuovere il tracciamento tramite Google Analytics.
Infatti, come si può vedere dall’immagine allegata, dal 15/5 non risulta tracciato più nulla da Analytics.

Poichè il sito fa uso di un widget di chat di terze parti su cloud, utilizziamo Google Tag Manager per gestire l’incorporamento e l’attivazione di tale script. Il tutto utilizzando anche un sistema di blocco preventivo dei cookies utilizzato da tale widget, in modo che se l’utente non dà il consenso espressamente per quel tipo di cookie, il cookie non viene installato e la chat non viene attivata in conformità con le recenti regole in materia di cookies.

Ieri, in data 6/6 lo stesso cliente riceve nuovamente la stessa mail che fa riferimento alla precedente email e al fatto di non aver ancora rimosso l’utilizzo di GA e ovviamente lo esorta a procedere in tal senso. Visto che gli autori della mail sembrerebbe leggano i post di questo forum, gli sarei grato se mi potessero chiarire questa situazione.

Cordialmente,
Matteo

Li trova più facilmente sulla chat telegram Telegram: Contact @monitorapa

Aggiungo alla discussione le FAQ della CNIL su GA uscite oggi:

FAQ del CNIL su GA tradotta in Italiano su Monitora PA (monitora-pa.it)

Fabio

Per chi se lo fosse perso…

Con l’occasione l’Autorità richiama all’attenzione di tutti i gestori italiani di siti web, pubblici e privati, l’illiceità dei trasferimenti effettuati verso gli Stati Uniti attraverso GA, anche in considerazione delle numerose segnalazioni e quesiti che stanno pervenendo all’Ufficio. E invita tutti i titolari del trattamento a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali.

Allo scadere del termine di 90 giorni assegnato alla società destinataria del provvedimento, il Garante procederà, anche sulla base di specifiche attività ispettive, a verificare la conformità al Regolamento Ue dei trasferimenti di dati effettuati dai titolari.

3 Mi Piace