Ultimo aggiornamento: 2022/05/04 11:10.

Alcune settimane fa un lettore mi ha scritto una mail avvisandomi che il 22 marzo aveva “partecipato ad un webinar registrato organizzato dal dipartimento di scienze della comunicazione e dello spettacolo dell'università Cattolica del Sacro Cuore.” In questo webinar aveva “parlato un addetto del garante per la protezione dei dati personali in merito alle nuove linee guida sui cookie dei siti web valide dal 10 gennaio 2022” ed erano stati “mostrati come esempi negativi per la categoria blog il sito https://attivissimo.blogspot.com/” e un altro sito di cui tralascio il nome. Secondo il lettore, “[i]l responsabile dell'evento ha detto che tutti i siti mostrati nelle slide (60 in tutto) sono stati segnalati. [...] Dato che si parla di multe che partono dai 6000 euro a crescere in base al numero di visualizzazioni giornaliere, mi sembrava giusto segnalarlo perché sono un sostenitore di questo blog.”

Preoccupante. Ma è passato ormai un po’ di tempo, e qui al Maniero Digitale non sono arrivate né comunicazioni né tanto meno multe da seimila euro da parte del Garante italiano. La cosa non mi sorprende più di tanto, perché vivo appunto in Svizzera e il blog viene redatto e gestito da qui, ma vorrei capire come stanno le cose.

Se questo blog non è conforme, vorrei adeguarlo (e mi piacerebbe sapere come); se lo è, vorrei sapere chi è che nei convegni pubblici addita questo blog a torto e chiedergli di non farlo.

Purtroppo il lettore non si ricordava il nome dell’addetto, e non trovo nulla nel calendario eventi del dipartimento. Ho chiesto lumi pubblicamente al Garante e sono in attesa di risposta. 

Ho due richieste di aiuto: 

1. Qualcuno sa qualcosa di questo evento e/o mi può aiutare a rintracciare l’evento e la persona e chiarire cosa è stato detto e mostrato esattamente?
2. Se questo blog ha delle non conformità, quali sono, e come si correggono?
   

Grazie. 

----

Cominciamo dalle basi. Le nuove linee guida in questione dovrebbero essere queste.

Nell’help di Google trovo queste info, che parlano di una “Notifica sui cookie nei paesi dell'Unione europea” e precisano che “[...] Al fine di soddisfare tali requisiti, abbiamo aggiunto la seguente notifica sul tuo blog: "Questo sito utilizza cookie di Google per erogare i propri servizi e per analizzare il traffico. Il tuo indirizzo IP e il tuo agente utente sono condivisi con Google, unitamente alle metriche sulle prestazioni e sulla sicurezza, per garantire la qualità del servizio, generare statistiche di utilizzo e rilevare e contrastare eventuali abusi."” 

Io però questa notifica non la vedo quando visito questo blog con un browser vergine (tipo Browserling.com), e non la vedo nemmeno negli altri blog che gestisco. Voi la vedete? C’è chi mi dice di vederla come bandina grigia in testa al blog quando lo visita in una sessione anonima del proprio browser.

In sessione anonima si, lo vedo.

Chiaro che il banner lo metta Google appoggiandoti sulla loro piattaforma, il problema è che infatti sono LORO a non ottemperare al GDPR su blogspot. Per esempio, su Youtube hanno aggiunto anche "reject all"... pic.twitter.com/f9KXhh03kL

— Walter🐽💔 TRIPUNTURATO 💉 #TeamLetargo (@doomboy) May 3, 2022

Ho tentato con una VPN, simulando di essere in territorio francese, ed effettivamente se apro una finestra di navigazione privata il banner mi compare. Beh, almeno adesso so cosa devo fare per vedere il mio sito come lo vede un residente UE.

Il banner linka, alle parole “ulteriori informazioni”, la pagina www.blogger.com/go/blogspot-cookies, che descrive in dettaglio in che modo Google utilizza i cookie e i tipi di cookie utilizzati da Google.

----

Su suggerimento di un commentatore ho provato a usare Cookiebot in versione gratuita per sapere quali cookie vengono usati da questo blog. Cookiebot dice che il blog è “non conforme” e trova (nella scansione base, meno completa di quella della versione a pagamento) 23 cookie di Google, YouTube, Disqus, Livestream.com e Twitter. Nulla che dipenda da me. 

---

Nota per tutti i commentatori che arrivano con “soluzioni” del tipo “migra tutto il blog a un’altra piattaforma”: per favore, non facciamo come quelli che quando sentono di un problema con Windows propongono “installa Linux”. Grazie. 

Oltretutto migrare non servirebbe a nulla: dovrei cancellare questo blog. Perché se questo blog non è conforme e non lo cancello, continua a non essere conforme, anche se smetto di aggiornarlo, e quindi il problema della non conformità, con ipotetica sanzione, non si risolve.

----

2022/05/04 11:10. Ho aggiunto all’intestazione del blog la dicitura “Avviso cookie: Questo blog include cookie di Google, YouTube, Disqus e Twitter. Non miei.” Spero che sia sufficiente.

Nota: alcuni dati sono stati intenzionalmente alterati per tutelare gli utenti coinvolti. Ultimo aggiornamento: 2019/02/22 20:20.

Un’azienda italiana con sede legale a Milano che gestisce online servizi di prenotazione per ristoranti ha messo online quello che sembra essere l’intero archivio dei propri dati, con 140.000 utenti e 280.000 ordini, a disposizione di chiunque voglia scaricarselo, alterarlo o semplicemente cancellarlo, ma l’azienda ignora chi la avvisa del problema.

Sono disponibili nomi, cognomi, indirizzi di mail, hash e salt (presumo delle password), ID Facebook, numeri di telefono, importi in denaro e altro ancora, insieme a istruzioni poco sensibili ma surreali come “pizze ben cotte e tagliate perfavore” lasciate da qualcuno in Corso San Gottardo a Milano.

Salvo che si tratti di un database di prova con dati fittizi, questa è una chiarissima violazione delle regole di protezione dei dati, che andrebbe segnalata pubblicamente ai clienti oltre che rimediata tecnicamente prima che succedano disastri. Ma ho avvisato l’azienda ieri (21/2) via mail al suo apposito indirizzo privacy@[omissis].it e anche all’indirizzo di contatto info@[omissis].it, allegando schermate per far capire che non sto scherzando e qualificandomi come giornalista, e finora non ho ricevuto alcuna risposta. So inoltre che altri l’hanno già avvisata invano.

Eppure, secondo la policy pubblica dell’azienda, il trattamento dei dati viene effettuato “in modo da garantire la riservatezza e sicurezza dei dati stessi”.

Questa garanzia sembra decisamente fragile. Usando una tecnica estremamente semplice, eseguibile da chiunque abbia un minimo di competenza informatica e senza richiedere alcuna immissione di password o altro, il database dei clienti risulta liberamente ispezionabile e quasi sicuramente alterabile e cancellabile con un paio di comandi.

Tutto quello che serve per accedere ai dati è un normale browser e l’indirizzo IP del server usato dall’azienda. Tutto quello che serve per trovare questo indirizzo IP è un account gratuito su uno dei tanti motori di ricerca specializzati. Il server risulta situato in Irlanda e gestito da Amazon.


Se non si tratta appunto di un database di prova, il server è piuttosto mal configurato per custodirlo correttamente:


Staremo a vedere. Nel frattempo, con la stessa tecnica elementare ho trovato 665 altri database altrettanto vulnerabili in giro per il mondo. Di questi, due sono in Svizzera, 38 sono in Francia, 50 in Germania e 23 nel Regno Unito; non ce n’è nessuno in Italia.

Se vi stavate chiedendo come fanno i criminali informatici a trovare i bersagli per i loro attacchi e a sferrarli con così tanta efficacia, ora avete la risposta. Niente, a parte l’etica, mi impedirebbe di cancellare questi database esposti alla mercé del primo che passa. E la cosa, sinceramente, mi dà i brividi.

2019/02/22 20:20

La mail che ho scritto a privacy@[omissis].it è tornata indietro con questo avviso:

Consegna non completata
Si è verificato un problema temporaneo durante la consegna del messaggio a privacy@[omissis].it. Gmail tenterà di inviarlo nuovamente per altre 46 ore. Ti avviseremo nel caso in cui sia impossibile completare la consegna.
Risposta:

DNS Error: 3614845 DNS type 'mx' lookup of [omissis].it responded with code SERVFAIL

2019/03/09

La vicenda ha un seguito.

Ultimo aggiornamento: 2018/06/01 22:30.

Il 25 maggio scorso è diventato applicabile il GDPR (General Data Protection Regulation), una serie di norme europee sulla gestione dei dati personali, e nonostante due anni di preavviso (le norme furono approvate nel 2016) molti siti sono arrivati all’ultimo giorno senza alcuna preparazione. Il caos è stato davvero notevole.

A parte l’ondata di mail di siti di aziende, alberghi e social network che ci chiedono il consenso per continuare a mandarci quello che loro chiamano “materiale informativo”, l’effetto immediato più visibile per molti utenti è stato l’oscuramento volontario di molte testate giornalistiche statunitensi, che hanno preferito rendersi inaccessibili agli utenti europei piuttosto che affrontare l’onere di adeguarsi alle nuove regole sul trattamento dei dati personali. Lo stesso ha fatto temporaneamente Instapaper; anche alcuni videogiochi online hanno cessato l’attività in via definitiva.

Numerosi proprietari di Pagine Facebook, invece, lamentano di non essere più in grado di accedervi per amministrarle. Facebook è anche oggetto di azioni legali, insieme a Google, Instagram e WhatsApp, con l’accusa di violazione del GDPR perché non offrono agli utenti una vera scelta: gli utenti, infatti, possono soltanto scegliere fra accettare che i loro dati vengano raccolti, condivisi e usati per la pubblicità mirata e cancellare i propri account. Prendere o lasciare, insomma.

Secondo i promotori di queste azioni legali, “il GDPR consente esplicitamente qualunque trattamento di dati strettamente necessario per il servizio, ma usare quegli stessi dati anche per pubblicità o per rivenderli richiede il consenso libero ed esplicito degli utenti.”

Molti utenti percepiscono il GDPR come un disagio, che crea situazioni problematiche come l’aumento dell’età minima per usare Whatsapp a 16 anni (interessante il commento dell’avvocato Guido Scorza sulle reali ragioni di questa scelta), ma i nuovi obblighi stanno anche mettendo a nudo il peso del tracciamento pubblicitario operato da moltissimi siti, come nel caso della testata giornalistica statunitense USA Today, il cui sito Web viene offerto agli utenti europei in versione priva di pubblicità e di script di tracciamento.

Il risultato è che al posto di 5,2 megabyte la pagina pesa 500 kilobyte, ossia meno di un decimo. Il 90%, insomma, è zavorra pubblicitaria:

Because of #GDPR, USA Today decided to run a separate version of their website for EU users, which has all the tracking scripts and ads removed. The site seemed very fast, so I did a performance audit. How fast the internet could be without all the junk! 🙄
5.2MB → 500KB pic.twitter.com/xwSqqsQR3s

— Marcel Freinbichler (@fr3ino) May 26, 2018