C’è una domanda che corre in continuazione, e al momento le risposte ci sono, ma sono purtroppo parziali.
Indice dei contenuti
Cosa possiamo fare?
Disclaimer: in queste ricerche il nostro obiettivo è sempre di essere quanto possibile accurati, precisi e “sul pezzo”, ma NON siamo avvocati, per cui le indicazioni tecniche sono certamente specifiche, ma da un punto di vista legale sono più un quadro d’insieme per indirizzare le persone verso una strategia risolutiva ottimale, ma non sono pareri legali propri e non possono avere un tale valore. Detto questo…
Sei un’azienda o un privato?
Se sei un’azienda o un privato titolare del trattamento per via di uno più siti/app, il mio consiglio è rivolgerti ad un ufficio legale specializzato e competente che ti possa aiutare nella transizione con una consulenza specifica, mirata e consapevole.
Come anticipato prima nella pagina, le nostre proposte operative si basano (come si dice in questi casi “appoggiandosi sulle spalle di giganti” come Flora, Scorza e il team di 42 Law Firm, che seguiamo da molto tempo) su ricerche accurate e per quanto possibile aggiornate sulla situazione giurisprudenziale e tecnico/operativa, ma non hanno la pretesa di essere definitive, quindi accettiamo molto volentieri correzioni.
Sei parte di una PA?
Se siete una PA, siete nei guai, perché già da tempo (almeno dal 2021) è disponibile tramite AGID una piattaforma di analytics perfettamente “GDPR compliant” e basata su Matomo, che si chiama Web Analytics Italia ed è gratuita per ogni amministrazione. L’uso di GA purtroppo non è certo prerogativa dei soli privati, ed anzi sono alcune migliaia le PA coinvolte, a volte anche inconsapevolmente.
La mail di Federico Leva
Se avete ricevuto la famosa mail di Federico Leva (persona che esiste, richiesta che è legittima, e nella sostanza corretta), DOVETE rispondergli ed eseguire la sua richiesta entro 30 giorni dal ricevimento, richiesta che è assolutamente fondata e riguarda alcuni diritti dell’interessato (conoscenza, accesso, cancellazione) riconosciuti dal GDPR “senza se e senza ma”. Altrimenti sono guai.
Come dicevo, la mail di Leva è corretta, ma riporta come dato identificativo l’IP di connessione (peraltro anonimizzato nelle ultime due triplette), e NON riporta il ClientID, che è l’unico vero parametro che identifica con certezza l’utente.
Per alcune ragioni tecniche che non stiamo qui a spiegare – sennò vi viene l’orticaria 😛 – le informazioni che vengono fornite non sono tecnicamente sufficienti per identificare con precisione il suo utente e quindi cancellare solo quello, quindi io ho consigliato ai miei clienti di rispondere nel seguente modo:
Ciao Federico, sono XXX, il titolare della privacy del sito: intanto grazie della segnalazione. Se ci dai il tuo ClientID sarà nostra cura rimuovere rapidamente i tuoi dati, perché come ben sai l’indirizzo IP (peraltro anonimizzato alle prime 2 triplette) non è sufficiente ad identificare il singolo utente, e poi ti daremo conferma dell’avvenuta rimozione. Inoltre stiamo studiando l’exit strategy da Analytics, che avverrà o rimuovendolo completamente e basta, oppure (più probabile) sostituendolo con Matomo in modalità dati locali sul nostro server, rigorosamente in Europa. Il tutto nei termini dei 90 giorni indicati dal Garante.
