Taxiiiii...?

Tratto da QUI (finchè resiste)Erano Tweet, sono diventati un articolo un pò strano.

Vorrei tanto dare una mano a @RobertoRedSox che stimo. Non potendo farlo, cerco di dare una mano alla cooperativa CO.TA.BO (non è su X) che, non avendo il senso della realtà, si sta mettendo nei guai giorno dopo giorno. vediamo cosa posso fare per voi, amici. 

Carissimi Coop COTABO , partiamo dalla APP. La "NOSTRA APP", come dichiarate ovunque. Bene, direi che non ci sono dubbi: siete i titolari del trattamento e questo comporta una serie di responsabilità.

Hai, mi sa che partiamo maluccio.

La privacy Policy della APP dice che il titolare del trattamento è un'altro. Brutta cosa l'incongruenza, non se ne esce bene.

Trovo citati articoli ABROGATI da più di 5 anni. Sempre meglio

Nell'informativa mancano informazioni obbligatorie come il tempo di conservazione

Forse non ve ne rendete conto ma queste sono violazioni al GDPR e ricadono sulle vostra pelle. I soci lo sanno?

Proseguiamo... i trattamenti dichiarati non dicono tutto e questo anche rispetto agli store Google e Apple: la app include dei TRACKER e PROFILA l'utente...

Non avete dichiarato che la APP PROFILA GLI UTENTI PER FINI DI MARKETING e questa è sia una violazione del GDPR che dei termini di uso sugli app-store. Rischiate di essere bannati, lo sapete? Mi sa di no.

Speriamo che nessuno lo segnali... sarebbe un guaio

Direi che smetto di parlare dell'informativa della app, fa talmente schifo da non essere nemmeno aggiustabile: va cancellata e riscritta da zero. Vi conviene.

Ribadisco, se avete scelto questa app come provider, VOI siete il titolare del trattamento.

Passiamo al SITO.

Sapendo quanto siete attenti alla vostra immagine mi sarei aspettato il meglio.

Che delusione...

Chiunque acceda viene tracciato e profilato, così, tanto per gradire, senza potersi opporre ai tracker

Ma io volevo solo un taxi, perchè lo fate?

Nello specifico:

IUBENDA: e come ti sbagli? per dare una informativa avete introdotto un servizio mastodontico che amplifica la raccolta e la condivisione dei dati. Pessima scelta.

FACEBOOK: qui è come sparare sulla crocerossa. Manco lo commento, mi fa troppo ridere.

Bisognerà fare una telefonata a chi ha sviluppato il sito perchè mancano un po di header di sicurezza:

Strict-Transport-Security Content-Security-Policy X-Frame-Options X-Content-Type-Options Referrer-Policy Permissions-Policy

... e vi servono, ve lo garantisco.

Chi visita il sito viene profilato e i dati sono condivisi, come dicevamo, vediamolo meglio:

È necessario il consenso eppure voi lo fate anche senza e prima sia stato manifestato. L'utente non lo può evitare. Ma lo chiedete il consenso? Almeno lo avvisate l'utente?

hem NO

NO

Questo è il cookie-banner e fa veramente schifo.

Viola il GDPR, le linee guida del Garante, il buonsenso

"Se continui accetti" è una presa per il culo, lo sanno anche i sassi che non serve a niente. Dovete chiedere un OK, un CLICK un consenso facoltativo e valido

Inoltre non avvisate proprio di nulla perchè in questo trafiletto non dite ciò che fa il sito.. e lo fate prima ancora che l'utente se ne possa accorgere o possa proseguire (che nella vostra testa corrisponde ad un consenso)

in breve: mentite alla gente.

Che schifo.

Io non vorrei infierire, magari è colpa mia, ma non vedo proprio l'informativa privacy sul sito.

O meglio, vedo i tracker di Iubenda quindi avete certamente esternalizzato questo servizio, ma non vedo proprio un link all'informativa e non compare da nessuna parte

Questo è un problema perchè TUTTI dovrebbero potervi accedere. Se io, con il mio normalissimo browser che filtra i tracker, non posso accedere all'informativa, la colpa è vostra, non mia.

Filtrare i tracker è un diritto e lo devo fare perchè al mondo c'è gente come voi!

Quindi, in breve, il vostro sito non mostra l'informativa ad una cospicua percentuale di visitatori, e voi non fate nulla per rimediare.

In pratica date l'informativa solo a chi si lascia profilare... Anche questo viola il GDPR.

Ora telefono al vostro callcenter.

tuuuu tuuuu

"questi dati saranno utilizzati SOLO per svolgere il servizio richiesto

Questa chiamata potrebbe essere registrata"

ma siete impazziti? Così vi fate del male da soli.

è una contraddizione in termini ed è incoerente con il sito

Chiamavo per avere un taxi e, per questo, è necessario registrare la conversazione? Questa è una cazzata atomica.

Dove tenete la registrazione, chi la può ascoltare, per quali finalità, in quali casi... non dite nulla, non si sa.

Molto molto male.

Prendo in prestito le geniali parole di @zerocalcare

Saluto gli amici del Garante Privacy @GPDP_IT. @meobaldo : questo è il mio regalo di Natale alla Coop Catabo e all'Autorità Garante, a beneficio di ogni utente dei Taxi di Bologna.

Venti di cambiamento

Windy è una risorsa fondamentale per chi viaggia per lavoro o per turismo, per chi vola, per chi cammina in montagna, per chi naviga in mare e per tutti coloro che desiderano informazioni meteorologiche affidabili e complete.

Da un po' non andavo sul sito senza protezioni attive e oggi mi sono imbattuto in questa novità: i popup... aria di cambiamento? Si, direi che c'è un po' di maretta.

Entrando compare un popup all'apparenza corretto e rassicurante. Nessun trattamento invasivo, nessuna condivisione, solo la richiesta di usare dati anonimi  per proteggere il sito e garantire il servizio.

Hem... ok, non serve un DPO per iniziare a storcere il naso. Per usare dati anonimi dovrei chiedere il permesso a qualcuno? Si, ma se è anonimo, a chi lo chiedo?

In alteri termini, un po' più tecnici, i dati anonimi, per definizione, non sono affatto dati personali. Proprio per questo, con i dati anonimi si può fare tutto ciò che si vuole senza dover chiedere niente a nessuno.

Comunque, dato che questo permesso non ha alcun senso, clicco su "reject" per necare un consenso inutile.

Prima schermata

Tadaaaaa  Qui arriva la sorpresa. 

Altro che dati anonimi, il primo banner forse va riletto alla luce di ciò che accade se si nega quel consenso, apparentemente inutile ma chiesto con garbo e, soprattutto, con una alternativa.

La spiegazione proposta è più articolata e ciò che prima era condensato in una riga, diventa ben più ricco di dettagli.

Rispettiamo la tua decisione, teniamo in considerazione la tua privacy e la prendiamo molto sul serio ed è per questo che usiamo i tuoi dati solo in forma anonima e bla bla bla. 

 

Seconda schermata - Premendo "Reject"

Quell' "however" funziona come funziona il "MA" in italiano e tutto ciò che precede un "MA", di solito, è spazzatura.

Qualsiasi cosa venga scritta prima del "ma" perde significato e, anche se assolutamente vera, viene dissolta da quelle due letterine.

Quindi, dato che Windy deve proteggere il sito dai robot, da chi sgraffigna informazioni e contenuti, dagli attacchi mirati ad interrompere il servizio, non ce ne frega più niente della tua privacy. Per questo, oltre che per mantenere windy gratuito (!!!), se si vuole veramente bloccare le funzionalità analitiche anonime (!!!) è necessario registrarsi e loggarsi.  Pare che, per windy, questo sia l'unico sistema possibile per garantire che il servizio soddisfi tutti e per proteggere il sito windy.com 

Direi che qui iniziano ad affacciarsi dubbi e considerazioni che meritano una risposta.

Non sarà, forse, che questo è un cookie wall o un consent wall?

Non vorrei che, senza volerlo o come effetto collaterale, si realizzasse la drammatica situazione che abbiamo visto di recente nell'editoria italiana: un muro che si può scavalcare solo abdicando alla propria riservatezza, in mutante, accettando trattamenti invasivi che, in altre circostanza, mai avremmo accettato. Oppure pagando.

Personalmente non ho nulla contro i servizi a pagamento, azi, li sostengo volentieri, ma ho molte cose contro le imposizioni e le mistificazioni. 

Un consenso obbligatorio, Dio ci scampi, sarebbe un bel problema da gestire per Windy.

Registrarsi come alternativa al consenso non mi piace molto perchè apre la porta a trattamenti ulteriori che, a quel punto, trovano base di legittimazione del contratto, ammesso e non concesso che questo sia lecito e conforme al GDPR, come peraltro sostiene facebook da anni.

Resta da capire il senso di chiedere il permesso per trattare dati anonimi dato che, in quanto anonimi, non c'è bisogno di alcun permesso o consenso. L'unica spiegazione è che non siano veramente anonimi e allora, in effetti tutto cambia.

Ogni DPO vede qui un problema spesso trascurato che però potrebbe spiegare questa strana richiesta. Quando si vuole rendere un dato personale anonimo, lo si deve processare cioè lo si deve trattare. Per trattarlo, anche solo per renderlo anonimo, è quindi necessaria una base di legittimazione che spesso è il consenso. Francamente lo eviterei perché la base di legittimazione migliore non è il consenso e si potrebbe benissimo esplorare il legittimo interesse per questa tipologia di trattamenti.

Potrebbe essere? boh! Da come è scritto certamente no. Personalmente non credo che Windy avesse in mente questo trattamento, l'anonimizzazione, per il quale si chiede consenso.

ma attenzione....

- because such processing is necessary for the purposes of the legitimate interests pursued either by us or by a third party and such legitimate interests are not overridden by your privacy or related rights as an individual. Our legitimate interests include e.g. the necessary maintenance of our infrastructure, statistical analysis of the use of the Services, and protection of our legally protected rights;

Consultando l'informativa privacy si scopre che le stesse finalità che sono richiamate da questi due banner sono associate al LEGITTIMO INTERESSE e non al consenso. 

Questa è decisamente una stranezza poiché, come si poteva intuire, si potrebbero ricondurre i trattamenti desiderati al legittimo interesse e così parrebbe proprio leggendo l'informativa, tuttavia il banner chiede un consenso, oppure la registrazione e il login. 

Il login trasforma un visitatore in un utente e permette di attivare altre basi di legittimazione come gli obblighi e le previsioni contrattuali, i terms and conditions, per dirla in termini anglofoni.

Quindi?  Che sta succedendo in casa Windy.com?

Non si può dire senza interpellare chi si occupa di protezione dei dati personali e così ho fatto.

Non resta che attendere la risposta.

Stay tuned.