Analisi web e legge tedesca TTDSG

Il § 25 riguarda l’accesso al dispositivo dell’utente. I cookie sono solo una delle modalità: la norma comprende anche altre tecnologie, come la lettura di variabili di sistema nel browser tramite JavaScript.

Il TTDSG richiede il consenso per gli accessi non necessari, tramite cookie o lettura di variabili di sistema. Il § 25, comma 2, lo definisce in modo più preciso, ma con una formulazione lunga e poco accessibile ai non giuristi.

In precedenza, le regole sul consenso della legge tedesca sui telemedia riguardavano i cookie di marketing e profilazione. Il TTDSG ha reso più impegnativo contare i visitatori senza chiedere il consenso.

Tracciamento e conteggio dei visitatori

Il termine “tracking” non ha una definizione univoca. Di solito indica il tracciamento degli utenti tra sessioni e siti diversi. Google Analytics è un esempio noto di questo approccio invasivo. Richiede il consenso sia per questo motivo sia per i cookie utilizzati. Devi quindi mostrare ai visitatori un pop-up sui cookie. Questi avvisi non sono solo fastidiosi: spesso rendono il sito non conforme, come spiego nella mia indagine sul Cookiegeddon.

Per semplicità, qui usiamo “tracking” anche per il semplice conteggio dei visitatori. Bisogna distinguere gli utenti, altrimenti si contano troppe o troppo poche visite. Contare due volte lo stesso visitatore unico perché apre due pagine consecutive altera le statistiche. Considerare due persone come una sola perché visitano la stessa pagina non è più preciso.

Come si distinguono gli utenti? Il protocollo HTTP, usato per caricare le pagine, è privo di stato: non ricorda le richieste precedenti. Da solo non può riconoscere chi torna. È come una persona senza memoria che scambia ogni volta lo stesso passante per qualcuno di nuovo.

I cookie fornivano questa memoria. Secondo l’interpretazione del TTDSG descritta qui, richiedono il consenso anche per contare i visitatori. La legge parla di ciò che è “strettamente necessario”. I cookie di conteggio non lo sono per due ragioni. Primo, un conteggio esatto non è indispensabile: è discutibile, ma ritengo più probabile l’interpretazione restrittiva. Secondo, si possono contare i visitatori senza cookie. È questo il punto che approfondiamo.

Come distinguere gli utenti tra loro?

Se vuoi evitare la richiesta di consenso, i cookie non sono un’opzione.

Puoi distinguere i visitatori senza cookie usando i metadati che il browser invia al sito a ogni connessione HTTP.

I tecnici li chiamano spesso dati di connessione o di traffico. I giuristi possono usare questi termini con significati diversi, perciò qui preferiamo il termine più generale “metadati”.

Tra i metadati trasmessi con una richiesta web rientrano:

• Tipo e versione del browser. Esempio: Mozilla Firefox versione 95.3, sotto-versione 47.11
• Tipo e versione del sistema operativo. Esempio: Microsoft Windows 10, 64 bit
• Lingua preferita. Esempio: tedesco
• Indirizzo di rete (indirizzo IP)
• Impostazione della cache
• Pagina richiesta. Esempio: https://dr-dsgvo.de/
• L’orario della richiesta. Non viene inviato direttamente, ma il server sa quando la riceve.

Usare questi metadati per distinguere gli utenti senza cookie si chiama fingerprinting del browser.

Il fingerprinting può diventare più preciso raccogliendo altre informazioni tramite JavaScript, ad esempio:

• Risoluzione dello schermo. Esempio: 1920×1080
• Dimensione della finestra del browser. Esempio: 1788×910
• Esempio: 24 bit
• Fuso orario: Esempio: GMT+1

Questi dati dell’impronta devono essere richiesti esplicitamente. I metadati precedenti arrivano invece con la connessione, senza ulteriori richieste. A mio parere, la risoluzione dello schermo non è memorizzata sul dispositivo, anche se il TTDSG può essere interpretato diversamente. Penso all’orientamento verticale o orizzontale di uno smartphone: cambia continuamente e non deve essere memorizzato. Alla riaccensione, l’orientamento dipende da come tieni il telefono, non dalla posizione prima dello spegnimento.

Tecniche come il canvas fingerprinting raccolgono ulteriori informazioni per distinguere meglio gli utenti. Tuttavia, è generalmente riconosciuto che questa tecnica costituisce un accesso al dispositivo che richiede il consenso.

La scelta giuridicamente più prudente è non leggere attivamente altri metadati dal dispositivo.

La sfida è mantenere una qualità dei dati sufficiente a contare correttamente i visitatori.

Contare i visitatori senza consenso

Trackboxx dimostra che un tracciamento minimo può funzionare senza cookie né accesso al dispositivo, e quindi senza consenso.

Trackboxx usa solo i metadati già presenti in ogni richiesta di pagina. Non effettua accessi aggiuntivi al browser: secondo una lettura restrittiva del TTDSG, questi richiederebbero il consenso.

Trackboxx non usa cookie, nemmeno di sessione, salvo diversa configurazione del cliente. Un cookie che dura una sessione è meno invasivo di uno che resta per un mese, la sua durata di vita. Giuridicamente, però, il TTDSG non distingue tra cookie di sessione e persistenti: distingue solo tra cookie o accessi necessari e non necessari.

Poiché non effettua accessi al dispositivo ai sensi del TTDSG, Trackboxx non richiede il consenso in base a questa legge.

GDPR e TTDSG

Si applica anche il GDPR. I suoi requisiti vanno esaminati dopo quelli del TTDSG su cookie e altri accessi. GDPR significa Regolamento generale sulla protezione dei dati. In tedesco si usa l’abbreviazione DS-GVO, spesso scritta DSGVO senza trattino nei testi per il grande pubblico.

Il GDPR riguarda i dati personali, inclusi quelli riconducibili a una persona. Può bastare poter distinguere un utente dagli altri. Nel 2016 la Corte di giustizia dell’UE ha riconosciuto che gli indirizzi IP possono costituire dati personali; il Bundesgerichtshof tedesco ha confermato la decisione nel 2017.

Non si può quindi semplicemente conservare l’indirizzo IP per migliorare il conteggio. Secondo questa interpretazione dell’articolo 6 del GDPR, conservarlo senza cifratura richiederebbe probabilmente il consenso.

Per evitare questo obbligo, Trackboxx non conserva gli indirizzi IP in sé. Li pseudonimizza combinandoli con altri valori.

Una chiave a durata limitata viene applicata alla combinazione di indirizzo IP, versione del browser, versione del sistema operativo e giorno corrente. Il database di Trackboxx non contiene quindi indirizzi IP. In teoria, l’indirizzo potrebbe essere recuperato dai dati cifrati solo se l’utente tornasse nello stesso giorno. Non serve farlo: la nuova richiesta fornisce di nuovo l’IP. Questo approccio rispetta i requisiti del GDPR descritti qui e basa la conservazione pseudonimizzata sul legittimo interesse, una delle basi giuridiche previste oltre al consenso.

A differenza del consenso, il legittimo interesse non richiede fastidiosi pop-up. Evitarli offre anche maggiore certezza giuridica: sono soggetti a numerosi requisiti, tra cui quelli degli articoli 7 e 13 del GDPR. La richiesta deve spiegare dove e come revocare il consenso. Questa informazione obbligatoria manca in molti pop-up.

Gli indirizzi IP cambiano nel tempo, apparentemente meno spesso sulle connessioni via cavo che sulla DSL. Non cambiano però proprio quando qualcuno apre un sito, quindi è molto probabile riconoscere un visitatore nell’arco della giornata. Nelle reti aziendali è più difficile se gli aggiornamenti centralizzati uniformano le versioni di browser e sistemi operativi. Nella pratica, questa imprecisione incide poco.

Conclusione

Puoi misurare le visite e migliorare i contenuti senza cookie né pop-up invasivi e soggetti a errori. Strumenti come Trackboxx offrono una soluzione rispettosa della privacy che soddisfa i requisiti del TTDSG e del GDPR descritti qui.

La qualità dei dati non deve risentire dell’assenza di cookie. Oltre all’incertezza giuridica, gli strumenti basati sui cookie hanno un limite: chiunque può cancellarli, manualmente o con programmi come CCleaner e antivirus. Cancellare un cookie elimina la memoria del tracker, che non funziona meglio di Trackboxx ma continua a richiedere consenso. Nemmeno le reti aziendali offrono un vantaggio: nelle grandi organizzazioni i cookie vengono eliminati regolarmente dai computer secondo le politiche di sicurezza.