Il Pensatoio: Il taccone è peggio del buco

Il taccone è peggio del buco è una locuzione dialettale che ben rappresenta le soluzioni apparentemente fantastiche ma concretamente peggiorative.

L'argomento del giorno è Iubenda, perché di Iubenda mi è stato chiesto un commento, ma vale anche per tanti altri prodotti simili come i framework IAB, i CMS (Consent Management System) più diffusi, i Cookie Bot che imperversano in rete e tante tante tante altre soluzioni "smart", "data driven", basati su "blockchain" e con l'"AI" nel "DNA". ah, dimenticavo... "resilienti", naturalmente.

Ho affrontato questo tema in passato ma con molti tweet disorganici e sparpagliati. Provo a ricapitolare qui, per punti, i motivi per i quali Iubenda non è una buona idea:

1) Informativa non a norma. L’informativa privacy proposta non risponde ai requisiti previsti dal GDPR non associa correttamente e chiaramente finalità basi di legittimazione e tempo di trattamento.

Il GDPR è molto specifico e chiede di illustrare ogni trattamento le sue finalità, per ciascuna di esse una e una sola base di legittimazione (BdL) e un tempo di retention, ovvero di conservazione dei dati.

é una cosa molto diversa dal fare una lista di finalità, una lista di basi di legittimazione, una lista di durate.

Associare la singola finalità alla sua BdL e la sua durata non può essere un indovinello, non può e non deve essere complicato. Eppure è un errore classico di molte informative, inclusa quella proposta da Iubenda.

Perché si fa questo errore? Semplice, perché la complessità è un ostacolo alla omogeneizzazione.

2) Tracker in omaggio. Per accedere all’informativa è necessario sorbirsi i Tracker di profilazione. La pagina dell'informativa di un sito che usa iubenda, che è sul server di Iubenda, è piena di tracker e ben pochi hanno natura tecnica. La pagina dell'informativa dovrebbe essere priva di tecnologie per le quali sia necessario un consenso e questo non come vezzo ma proprio in applicazione del GDPR: l’informativa dovrebbe essere resa in modo preventivo rispetto al trattamento che descrive. Non si può dire ad un visitatore "guarda che i tuoi dati li ho trattati così... sei contento?" Se si deve chiedere il consenso, se si vuole dare la possibilità di opporsi, l'informativa deve precedere il trattamento e questo è tanto più vero quanto più i contesti permettono di farlo.

3) Minimizzazione a ramengo. L’informativa è un documento semplice e statico. Le modifiche all'informativa non sono così frequenti come ci si aspetterebbe, si fanno in occasione di modifiche al trattamento, al sito dunque. Modifiche che comportino una modifica dei trattamenti: aggiungendo un form di contatto, attivando una newsletter, cambiando una tecnologia sottostante. Non c’è nessuna ragione di considerare questo documento così dinamico da essere generato quotidianamente o anche solo mensilmente. Per questa ragione può (leggasi DEVE) essere localizzato sul sito a cui fa riferimento. Localizzarlo su un server differente rispetto a quello del sito, al fine dichiarato di aggiornarlo tempestivamente, è una sciocchezza. Anzi, peggio, è un problema, La localizzazione sul sito altrui, di iubenda, comporta che in occasione di ogni visita, avviene una comunicazione di dati a un terzo e questa comunicazione avviene senza consenso.

C'è di peggio. Iubenda fa del traffico sui propri sistemi ciò che vuole. A tal fine consiglio di leggere la privacy policy di iubenda, ammesso che si riesca a trovare quella giusta che descrive il trattamento effettuato sui dati di traffico dirottati dai siti clienti.

Ma volendo per un momento dimenticare ciò che iubenda fa con i dati in regime di autonoma titolarità, di cui prima o poi dovrà rispondere al Dio della cibernetica, rimane una drammatica domanda alla quale dare risposta: "perché diavolo si introduce una serie di trattamenti e condivisioni non necessari, non utili, nemmeno vagamente visibili all'utente?" Questo, per il GDPR è un problema perché chiede di minimizzare i trattamenti, le finalità e la condivisione di dati con terzi.

Anzi, diciamo meglio ciò che il GDPR chiede perché non vorrei che sembrasse troppo esigente:

"devi fare una cosa? falla"

"stai facendo una cosa che non ti serve? smettila"

Il GDPR non pone (quasi) limiti ai trattamenti preordinati ad un sito, ma chiede di eliminare tutti quelli evitabili, di minimizzarli. Per visualizzare 20 righe di testo, siamo sicuri che sia necessario consultare un altro sito, far sapere a N soggetti che un certo IP di un visitatore sta leggendo un determinato sito, che ci torna ogni tot ore, che usa un certo browser? Siamo sicuri che abbiano senso dei tracker di profilazione? Siamo sicuri che tutto questo possa avvenire senza un preventivo consenso?

Verrebbe da pensare che il consenso non viene appositamente chiesto perchè, se l'accesso all'informativa fosse subordinato al consenso, avremmo un loop logico pericoloso, un consenso obbligatorio e una violazione grave del GDPR. Ma non pensiamolo.

4) Uso dei dati dei visitatori. I dati del traffico vengono utilizzati per altre finalità dal terzo, cioè da iubenda. leggere la loro privacy policy fa paura se si pensa che vengono raccolti i dati di navigazione da tutti visitatori dei siti clienti e che questi sono utilizzati per finalità assortite. In regime di autonoma titolarità, come già accennato. Strettamente collegato al punto 3.

5) Accessibilità. Se non paghi, se la carta è splafonata, se esaurisci il credito, il servizio di iubenda si interrompe e il tuo sito rimane senza informativa. Auguri. Personalmente mi capita spesso che un servizio si interrompa ma lo sistemo con comodo, quando ho tempo o quando mi serve. Siamo onesti, chi si precipiterebbe a saldare i conti per far tornare online l'informativa privacy del proprio sito? Anche per questo non deve esistere la possibilità che questa sparisca, che ne sia bloccata la visualizzazione per una mera questione di abbonamento. Per me questo è una follia. Folle chi si mette in questa situazione.

6) Aiuto! In caso di verifica da parte del Garante, il livello di assistenza dell’azienda è pari a zero. Le email che arrivano sono continue, molte promozionali, altre contengono liste di cose da fare, incomprensibili all'utente medio e funzionali allo scarico di responsabilità. Il meccanismo è questo:

"C'è una novità [descrizione oscura ed esoterica], costa 10 talleri, facci sapere. "

Praticamente ogni utente viene inondano di e-mail con le quali possono dimostrare di aver avvertito di tutto, ma un utente medio non è in grado di comprendere nemmeno se deve fare qualcosa per rimanere compliant. Tutto questo si mescola al puro marketing ed è difficile distinguere uno dall'altro.

7) Efficacia: queste considerazioni valgono anche per le informative e anche per il cookie bot e cookie banner. Tuttavia per il cookie bot e banner c'è una considerazione in più, solo per lui: non blocca i cookie.

Occorre partire dal fatto che il cookie banner dovrebbe fare una cosa soltanto,:attendere che l'utente esprima il proprio eventuale consenso e, se lo esprime, attivare i cookie. Fino a quel momento, se l'utente nega il consenso o non risponde nemmeno, il cookie banner deve bloccare i cookie. tutti tranne quelli necessari e di tipo tecnico. Questo, solo questo deve fare.

Ma pare troppo o troppo difficile perché non lo fa.

Chiunque acceda al sito attiva i cookie di tracciamento prima che possa esprimer o negare il proprio consenso. Da una sommaria analisi, restano attivi cookie che richiedono il consenso anche dopo che il visitatore ha negato il consenso. Questo dipende dalla implementazione.

8) Pareri e gusti: personalmente ho anche altri motivi per non consigliare iubenda ma esulano dal dettato normativo e si entra nella sfera dei gusti personali.

IMHO, l’informativa deve essere coerente con lo stile del sito. Iubenda non lo è perché è una uguale per tutti. One size fit all.

Ogni sito si relaziona all'utente in modo diverso ed è giusto così. Appiccicare ovunque una informativa praticamente identica e di stile omogeneo è un pugno in un occhio.

Blog personali, sito di notaio, associazione di categoria, associazione di tutela della Tinca, e-commerce di articoli religiosi, sito di un fotografo, di un pornoattore, di un commercialista... ma come si fa a mettere ovunque la stessa cosa?

Viene da ridere vedendo informative in linguaggio legalese stretto a bordo di siti molto discorsivi, piacioni, che danno del tu all’utente e che cercano di creare un clima amichevole e confortevole.

9) Analisi: sempre nel mondo dei giudizi personali: è sbagliato dire alla gente che con 4 clic e 10 € al mese risolvi un problema.

primo perché non c'è affatto un problema da risolvere
secondo perché costa molto meno preparare una buona informativa e quindi non è conveniente
terzo perché delegare a terzi una cosa importante è sempre un errore, specialmente quando chi ne risponde è il titolare del sito.

9b) scrivere l’informativa è anche un momento di riflessione per capire cosa si fa e cosa si vuole fare. Le due cose non coincidono. È un momento per esaminare anche i progetti futuri e verificare, in anticipo e a porte chiuse, se sono proponibili e opportuni.

Se dopo questa analisi, quasi introspettiva, ci si trova a dire “questo non posso scriverlo se no finisce male” significa che, forse, è il caso di pensarci meglio e, nel dubbio, consultare un amico DPO.

10) Accessibilità: iubenda è presente nella maggior parte delle liste Anti tracker ad blocker o simili.

A prescindere dal fatto che sia giusto o sbagliato, c’è una conseguenza di tipo pratico che ha delle importanti implicazioni sull'adempimento che si sta cercando di ottenere: chi visita il sito con un browser corazzato o dotato di AdBlocker non vedrà il cookie banner e nemmeno l’informativa.

E' un problema perchè il titolare del sito deve mettere a disposizione di tutti gli interessati l'informativa, non solo a quelli che gli stanno simpatici o che entrano con la felpa gialla.

Anche per questo l'informativa DEVE essere un testo chiaro, disponibile, leggibile universalmente da ogni visitatore. Usare un AdBlocker è legittimo e non esime il titolare dal mettere a disposizione l'informativa. Se l’informativa viene bloccata da un sistema che ci tutela dal tracking, è colpa del titolare del sito che non ha adottato misure adeguate per rendere efficacemente disponibile l’informativa a tutti .

Eh, già. Una brutta situazione.

11) Money, it's a gas. Dulcis in fundo, la cosa che mi dà più gusto:

Chiunque proponga vigorosamente iubenda come una panaceatica soluzione... se vuole, si prende la stecca! Si, una bella percentuale e nemmeno piccola.

Anche se questo mercimonio non avviene, resta un alone di legittimo dubbio, il dubbio è che sia un consiglio interessato. Lettori esclusi, naturalmente!

cliccare per credere: www.iubenda.com/it/help/2063-programma-affiliazione

Preemption