Garante francese: guida al GDPR per sviluppo software

Al momento stai visualizzando Garante francese: guida al GDPR per sviluppo software

Il Garante francese ha pubblicato la “Guida al GDPR per sviluppatori”: in 16 punti i principi del GDPR che questi devono rispettare nello sviluppo di applicazioni e software conformi alle previsioni di legge in fatto di privacy e protezione dati.

Indice degli argomenti:

Introduzione alla programmazione “GDPR friendly”

Privacy by design e by default sono due principi cardine nella protezione dei dati personali per aziende e pubbliche amministrazioni. Questi due concetti sono opposti, negano l’idea, che si possa adattare a posteriori un software al GDPR. Il Garante francese ha pubblicato una lunga e articolata guida con tanti consigli pratici, best practices, strumenti per supportare gli sviluppatori nel programmare software e applicativi conformi al GDPR. In questa prima parte trattiamo il lavoro preparatorio allo sviluppo del software.

0: per sviluppare in conformità al GDPR occorre pianificare in anticipo (non riadattare)

Non c’è niente di più sbagliato di pensare di poter adattare una applicazione al GDPR: un software va pensato perché possa trattare i dati in conformità. Per questo è utile individuare una persona che conosca i principi del GDPR e ne monitori la conformità. Questa persona è il DPO, se l’azienda ne ha uno. Il DPO ha le conoscenze necessarie per mappare e classificare i dati che l’applicazione dovrà trattare, come li elaborerà e la conformità di questi al GDPR.

Il registro dei trattamenti consente una visione complessiva e facilita l’individuazione dei rischi correlati secondo priorità: sarà un valido aiuto. Permette di individuare in anticipo azioni e meccanismi per ottemperare alle previsioni del GDPR, ma indica anche quali rischi sono da tenere in particolare considerazione. Diviene così un passo obbligato quello di valutare attentamente le basi legali che legittimano la raccolta e il trattamento dei dati processati dall’applicazione.

Infine il Garante francese sottolinea come la conformità vada garantità in tutte le fasi di sviluppo: anche le procedure interne devono garantire la protezione dei dati in tutti gli aspetti e in tutti gli eventi che potrebbero occorrere (da un breach alla semplice richiesta di accesso ai dati dell’Interessato).

torna su

1: identificare i dati personali, anonimizzarli e pseudonimizzarli

Lo sviluppatore deve avere chiara la definizione di dati personali. Per il GDPR è un dato personale:

“qualsiasi informazione relativa a una persona fisica identificata o identificabile (ovvero l’interessato)”.

Qualsiasi operazione su questa tipologia di dati rientra nell’ambito di applicazione del GDPR: raccolta, registrazione, trasmissione, modifica, diffusione, trasferimento ecc… sono operazioni che devono essere conformi al GDPR. Il trattamento dati dovrà avvenire nella stretta osservazione del principio di minimizzazione: l’applicazione dovrà raccogliere e trattare solo e soltanto i dati necessari alla precisa finalità del software.

I dati personali raccolti dovranno essere mantenuti:

  • in forma anonima, ovvero in maniera tale che sia impossibile individuare la persona alla quale quei dati appartengono;
  • in forma pseudonimizzata, ovvero in una forma a metà strada tra la conservazione di un dataset di dati “grezzi” e un dataset di dati anonimi.

Questi dati vanno conservati in luoghi separati. I dati anonimi non dovranno essere riconducibili ad una persona, mentre la pseduonimizzazione è un processo reversibile.

Per approfondire > Dati anonimi e dati pseudonimizzati – L’apertura del Considerando 26 del GDPR

torna su

2: preparare lo sviluppo del software

Siamo alle scelte metodologiche. Il primo punto è quello di adottare un approccio “privacy by design”: la protezione dei dati deve cioè essere il punto centrale del funzionamento del software e deve essere integrata per l’intero ciclo di vita della tecnologia. E’ un principio che deve essere incorporato fin dalla fase di progettazione. Sarà utile a stabilire quali impostazioni dovranno essere predefinite per l’utente, in massima tutela della privacy.

Infine condurre un Privacy Impact Assessment (PIA): qui la pagina tematica del Garante Italiano

Lo sviluppatore che mette al centro la protezione dei dati, svilupperà in conseguenza architettura e funzionalità, sceglierà tool e pratiche di sviluppo sicure: sono molteplici le liste di standard, le best practices e le guide alla programmazione che migliorano soprattutto la sicurezza. Ci sono anche vari tool che possono essere integrati nell’IDE (integrated develomement enviroments) per verifiche automatiche sulla conformità del codice al GDPR. Così come ci sono centinaia di “best practices” per i singoli linguaggi di programmazione: un esempio qui per C, C++ e Java.

torna su

3: mettere in sicurezza l’ambiente di sviluppo

L’intero ambiente di sviluppo dovrà essere messo in sicurezza: qui sarà centralizzata una grande mole di dati. Server e workstation dovranno essere sicuri, protetti in modo omogeneo e riproducibile. Dovranno essere elencate in dettaglio le misure di sicurezza previste per server e postazioni di lavoro e la loro configurazione, così da avere certezza di una implementazione uniforme della sicurezza (dall’uso della VPN, all’implementazione del protocollo TLS sul server, passando per l’installazione e aggiornamento di firewall e antivirus ecc…)

Le misure di sicurezza dovranno tenere di conto e svilupparsi secondo la valutazione dei rischi: è utile anche definire un piano che migliori la copertura dei rischi, nominando anche un responsabile che si occupi della sua attuazione. Tra i rischi sono da considerare anche quelli derivanti dall’uso di software as a service e di strumenti di collaborazione cloud come GitHub, Slack, Trello ecc… Infine è fondamentale tenere traccia degli accessi e di tutte le operazioni.

Implementare la crittografia e documentare la gestione delle chiavi SSH è un altro punto essenziale di sicurezza.

Per approfondire > (Open)SSH secure use recommendations

torna su

4: gestione del codice sorgente

Il garante francese consiglia anche l’adozione di un sistema di controllo versione per il software sviluppato: dovrà conservare le versioni del codice sorgente e tenere traccia e cronologia dei cambiamenti effettuati. Il sistema di controllo non dovrà invece conservare le credenziali, che vanno stoccate a parte per motivi di sicurezza.

Curiosità per approfondire > Cybersecurity e attacchi 0day: le minacce più insidiose non inserite nei contratti

torna su

5: scegliere consapevolmente l’architettura

Al momento di pensare l’architettura del futuro applicativo, sarà fondamentale per prima cosa identificare quali dati personali saranno raccolti e, di conseguenza, stabilire il loro ciclo vitale e i meccanismi per gestirli. La scelta degli asset di supporto sarà fondamentale (server, servizi cloud, storage ecc…), assieme alla consapevolezza tecnica. Sarà fondamentale domandarsi come funzionerà il software, tracciando un diagramma che rappresenti il flusso dei dati e, in dettaglio, come si svolgeranno questi processi.

Un punto essenziale sarà domandarsi se i dati saranno stoccati nel terminale dell’utente o comunque rimarrano confinati alle comunicazioni di rete sotto controllo degli utenti, oppure se ci sarà bisogno di ricorrere ad hosting esterni.

Nel primo caso lo sviluppatore potrà limitarsi essenzialmente a garantire la massima sicurezza possibile dei dati. Se si decide invece di affidarsi a terzi, è bene tenere a mente due punti per orientarsi nella scelta:

  • la qualità del servizio offerto dal provider;
  • gli standard di sicurezza offerti;
    nella consapevolezza che il cloud genera ulteriori e peculiari rischi ai dati.
torna su

6: mettere in sicurezza siti web, applicativi e server

Siti web, applicativi e server devono essere messi in sicurezza: non solo per quanto riguarda le comunicazioni di rete, ma anche l’intera infrastruttura. Con un’attenzione particolare al meccanismo di autenticazione.

  1. Sicurezza delle comunicazioni di rete
    • Implementare la versione 1.2 o 1.3 su tutti i siti web sostituendo l’SSL;
    • rendere il TLS obbligatorio per tutte le pagine del sito web e per tutte le applicazioni mobile;
    • limitare le comunicazioni a quelle strettamente necessarie. Se l’accesso a un server è possibile solo tramite il protocollo HTTPS, solo le porte 443 e 80 di questo server dovranno essere accessibili. Sarà buona prassi di igiene informatica bloccare col firewall le altre porte.
  2. Sicurezza delle autenticazioni
  • scegliere password solidissime. Sul punto non ci dilunghiamo oltre;
  • non salvare mai le passwor in chiaro. Le password devono essere mantenute in formato hash, sfruttando apposite librerie di criptazione;
  • nel caso in cui sono usati cookie per l’autenticazione
  • forzare all’uso del HTTPS via HSTS;
  • usare il flag HttpOnly;
  • usare il flag Secure;
  • testare le suite di criptazione installate sui sistemi. Privilegiare l’uso di AES 256;
  • adottare specifiche password policy per gli amministratori (password solide, da cambiare spesso ecc…)
  • limitare l’accesso ai tool di amministrazione solo allo staff qualificato, privilegiando account con privilegi più bassi per le operazioni quotidiane;
  • l’accesso da remoto all’interfaccia di amministrazione dovrebbe avvenire solo tramite misure di sicurezza maggiori.
  1. Sicurezza dell’infrastruttura
  • sono fondamentali i backup, possibilmente a cadenza regolare e criptati;
  • installare gli aggiornamenti critici e monitorare costantemente le vulnerabilità;
  • restringere o vietare gli accessi fisici e software alle porte di accesso diagnostico e di configurazione remota (consigliato l’uso di netstat)
  • proteggere i database se si è obbligati a renderli disponibili in Internet e proteggerli contro attacchi SQL injection o script injection ecc…
torna su

7: minimizzare la raccolta dati

La minimizzazione è uno dei principi essenziali del GDPR. I dati raccolti dovranno essere soltanto quelli rilevanti e necessari in relazione agli scopi che si prefigge il software.

Si deve quindi valutare la tipologia di dati che dovranno essere raccolti PRIMA di implementare l’applicazione. Ad esempio, se per certe categorie di persone non serve raccogliere uno specifico dato, semplicemente è meglio non raccoglierlo. Limitare i dati raccolti è fondamentale sopratutto in caso di informazioni estremamente sensibili, come dati sanitari o relativi alla fedina penale ecc… I vincoli legali sul punto sono così stringenti che, a meno che non sia necessario, è preferibile non raccoglierli. La minimizzazione vale anche per i dati raccolti nel log data.

Se proprio sono necessari dati sensibili, pseudonimizzazione e anonimizzazione possono ridurre rischi ed esposizione.

Spesso si può avere la tentazione di raccogliere dati aggiuntivi non necessari per gli scopi del sowftare, ma per migliorare l’esperienza dell’utente. Un esempio: usare dati di geolocalizzazione per indicazioni geografiche. In questi casi la scelta deve essere lasciata all’utente, che deciderà se prestare o rifiutare il consenso.

Infine: i dati non possono essere conservati senza scadenza. Quindi sono fondamentali meccanismi automatici che procedano ad eliminare completamente i dati che non sono più necessari. Per farlo esistono si possono usare sia tool specializzati che procedere alla distruzione fisica del disco.

torna su

8: gestire i profili utenti

La maniera di gestire i profili dei collaboratori e degli utenti finali va deciso a monte dello sviluppo. Consiste nel definire profili di accesso e autorizzazione differenziati, di modo tale che ognuno possa accedere solo ai dati di cui ha effettivamente bisogno.

Il primo passo è, ovviamente, l’uso di un identificatore unico ed individuale sia per i collaboratori in fase di sviluppo dell’applicazione sia per gli utenti finali. La conseguenza? L’imposizione di un meccanismo di autenticazione prima dell’accesso a qualsiasi tipo di dato.

Inoltre, per garantire l’accesso solo ai dati strettamente necessari, il sistema deve prevedere policy differenziate di lettura, scrittura, cancellazione ecc.. secondo le esigenze. I profili sono così organizzati secondo il ruolo dell’utente. Il vantaggio ulteriore di tale meccanismo è che garantisce la possibilità, insieme ai sistemi di logging, di tracciare le attività e rilevare anomalie. Un modo che aiuta anche a individuare più facilmnente accessi fraudolenti e utilizzo illegittimo dei dati.

E’ utile prestare attenzione a:

  • favorire l’uso di un password manager nel progetto e solidi meccanismi di autenticazione;
  • evitare account generici condivisi da più persone;
  • rivedere regolarmente le permissioni degli utenti;
  • evitare di usare l’account amministratore / root per eseguire operazioni convenzionali.
torna su

9: controllare le librerie e i SDK

Questa scheda è importante per coloro che utilizzano librerie, kit di sviluppo e altre componenti software scritte da terze parti. I consigli del garante francese sono:

  1. fai una scelta consapevole: è importante valutare attentamente il valore aggiunto da ciascuna dependency. Ogni elemento aggiunto infatti aumenta la superficie di attacco. In pratica: se una singola libreria offre più funzioni, scegli e integra solo quelle di cui c’è effettivamente bisogno. Si ridurrà così il numero di potenziali falle
  2. scegli software, librerie e SDK mantenute:
    • in caso di scelta di software open o free source, sono preferibili quelli con una community attiva, aggiornati regolarmente e con una buona e esauriente documentazione tecnica;
    • in caso di scelta di soluzioni commerciali invece, è importante stabilire fin dal contratto che il codice sarà mantenuto ed aggiornato per l’intera vita del progetto;
    • alcune librerie e SDK “ripagano sé stesse” utilizzano i dat raccolti dai siti o app dove sono integrati. E’ fondamentale verificare che ciò avvenga in conformità al GDPR, a partire dalla raccolta del consenso degli utenti;
    • in caso di uso della criptazione, il Garante francese sconsiglia fortemente di implementare autonomamente algoritmi o protocolli crittografici. E’ consigliato invece scegliere librerie che siano mantenute, aggiornate e facilmente integrabili.
  • 3. mantieni librerie e SDK:
    • usa un sistema di gestione delle dependency (yum, apt, maven, pip ecc…) per mantenere aggiornato l’elenco delle dipendenze;
    • gestisci gli aggiornamenti delle tue dependency, soprattutto in caso di fix di vulnerabilità a fini di sicurezza;
    • presta attenzione ed evita le versioni di librerie e SDK prossimi all’end of life (EOL), quindi vicine alla fine del supporto;
    • verifica lo stato dei progetti open source, specialmente in caso di cambio della proprietà del dominio o del pacchetto. Alcuni attacchi avvengono usando gli aggiornamenti di dependency molto popolari.
torna su

10: assicurare la qualità del codice e della documentazione

La documentazione relativa all’applicativo viene molto spesso tralasciata durante lo sviluppo, perché manca sempre tempo. Tuttavia è fondamentale per la manutenzione dell’applicativo stesso. Tale documentazione infatti deve consentire di capire il funzionamento globale del codice e quale parti di questo sono soggette a modifica. Non basta però documentare il codice: la documentazione deve illustrare anche l’architettura dell’applicazione. Questo sarà di grande aiuto anche per gli sviluppatori per capire come le varie parti devono lavorare insieme. Ovviamente, se evolve il codice la documentazione deve andare di pari passo.

Infine, la documentazione deve dettagliare la sicurezza. E’ utile indicare varie posture di sicurezza per l’applicativo, indicando quelle che offrono maggiore protezione.

Adottare buone pratiche di programmazione è in questo caso molto utile. Il Garante francese consiglia questa guida su GitHub, che elenca le convenzioni esistenti. In ogni caso è utile:

  • usare vriabili e nomi funzioni espliciti, per rendere più semplice comprendere il funzionamento fin da un primo sguardo al codice;
  • usare correttamente l’indentazione, per rendere immediata la comprensione della struttura del codice;
  • evitare la ridondanza del codice perchè, in caso di necessità di modifiche, queste andranno fatte da più parti;
  • usare tool che possono aiutare a verificare la qualità del codice. Ad esempio un IDE (Integrated development environments), possibimente con uso di plugins, può essere configurato per rispettare le regole di indentazione del codice, le linee di separazione tra diverse porzioni del codice ecc…

La leggibilità del codice riduce lo sforzo per il mantenimento e la correzione di bug nel tempo.

torna su

11: testare l’applicativo

L’ulteriore passo prevede di testare l’applicazione per verificare che svolga correttamente le operazioni, che garantisca una buona user experience e per individuare e risolvere problemi prima dell’utilizzo. Il Garante francese identifica 3 fasi di test:

  • sviluppo, per la verifica del funzionamento dell’applicativo e la sua adeguatezza rispetto alle finalità richieste;
  • sicurezza come il fuzzing o la scansione di vulnerabilità per verificare che il prodotto funzioni anche discostandosi dal suo normale utilizzo e per rintracciare e risolvere eventuali falle;
  • test automatici: un sistema di integrazione continua per seguire test automaticamente permetterà di verificare la qualità ad ogni modifica del codice sorgente.

Una indicazione specifica: per i test il Garante francese consiglia l’uso di un database di dati fittizi simile a quelli reali. L’uso di dati personali reali comporterebbe infatti una violazione delle finalità del trattamento dei dati nonchè un aumento del loro rischio di esposizione. In caso sia necessario importare configurazioni esistenti dalla produzione ai casi di test, si consiglia di rendere anonimi i dati personali.

Nella prossima puntata della guida al GDPR per sviluppatori software tutto quanto riguarderà gli utenti dell’applicativo: informative, meccanismi di esercizio dei diritti degli interessati, il periodo di conservazione dei dati, l’uso di analytics ecc…

torna su

12: informare gli utenti

Il principio di trasparenza previsto dal GDPR richiede che qualsiasi informazione o comunicazione sul trattamento di dato personali debba essere concisa, trasparente, comprensibile e facilmente accessibile.

Cosa comunicare e quando
Gli interessati devono essere informati:

  • in caso di raccolta diretta di dati (form, sottoscrizione di contratti, apertura di account), sia in caso di raccolta dati tramite dispositivo o tecnologie di analisi dell’attività degli utenti (Analytics, geolocalizzazione, tracking Wi-FI ecc…).
  • in caso di raccolta indiretta di dati personali, ad esempio collezionati da fonti pubblicamente disponibili, da terze parti, da data broker ecc…

Le informazioni sono necessarie:

  • durante la raccolta dati diretta;
  • prima possibile in caso di raccolta di dati indiretta;
  • in caso di cambiamenti sostanziali o eventi particolari (come un data breach o una modifica nelle modalità di esercizio dei diritti degli interessati ecc…).

Quali informazioni fornire?

In ogni caso, gli sviluppatori dovranno specificare almeno..

  • l’indentità e i dettagli di contatto dell’azienda che colleziona i dati (chi processa i dati?);
  • le finalità;
  • i riferimenti normativi e le basi legali della raccolta dati;
  • la natura obbligatoria o facoltativa della raccolta dati (sul punto andrà è bene tenere sempre presente il principio di minimizzazione) e le conseguenze per l’interessato nel caso non fornisca i dati;
  • il periodo di conservazione dei dati;
  • i diritti dell’interessato e le modalità per esercitarli (diritto all’accesso, alla rettifica, alla cancellazione ecc…);
  • i dettagli di contatto del Data Protection Officer;
  • in caso di raccolta indiretta dei dati vanno indicate le categorie di dati raccolti e la fonte dei dati.
torna su

13: prepararsi per l’esercizio dei diritti degli interessati

Le persone delle quali i dati sono processati hanno una serie di diritti sui propri dati (ne rimangono proprietari!). Tra questi ci sono il diritto all’accesso, alla rettifica, alla cancellazione, alla portabilità, alla restrizione del trattamento. Questi diritti devono essere resi effettivi ed esercitabili. Gli sviluppatori devono integrare nei sistemi informatici in uso gli strumenti tecnici che consentano agli utenti di tenere adeguatamente di conto i propri diritti.

Misure minime da mettere in atto
Tutte le aziende che usano dati personali hanno l’obbligo di indicare dove e come gli interessati possono esercitare i diritti di cui godono rispetto ai propri dati: un contatto email o un form web… Queste informazioni vanno inserite anche nella privacy policy.

Per facilitare al massimo l’esercizio dei diritti, il Garante francese consiglia di implementarli direttamente nell’applicativo o nella web app sviluppata. Questa specifica implementazione non è obbligatoria, ma sicuramente riduce i tempi, la complessità di gestione delle richieste e, sopratutto, rende molto più immediato l’esercizio dei diritti.

Alcuni esempi di diritti e loro possibili implementazioni

  • Accesso:
    gli utenti hanno il diritto a ottenere una copia di tutti i loro dati sia per sapere se è in corso un trattamento dei dati sia per verificarne l’esattezza. Una possibile implementazione consiste nel mostrare tutti i dati relativi ad una persona. Se ci sono molti dati, un buon consiglio è quello di suddividerli in più schermate. Garantire all’utente la possibilità di scaricare un archivio contenente tutti i propri dati personali è una buona strategia.
  • Cancellazione:
    gli utenti hanno il diritto di richiedere la cancellazione definitiva dei propri dati. Possibili implementazioni sono quella di fornire una funzionalità che consenta di cancellare tutti i dati, di prevedere una notifica automatica di cancellazione avvenuta indirizzata al responsabile del trattamento dei dati, di prevedere la cancellazione dei dati anche nei backup.
  • Opposizione:
    gli utenti hanno il diritto di opporsi all’utilizzo dei propri dati per alcune finalità specifiche. Una possibile implementazione è quella di fornire una funzionalità che permetta all’utente di opporsi al trattamento. In tali casi, se sussistono le dovute basi legali, il data controller dovrà eliminare i dati raccolti interrompendo ogni successiva raccolta dati sullo stesso utente.
  • Portabilità:
    gli utenti hanno il diritto di recuperare i propri dati in un formato leggibile per trasferirli ad un’altra organizzazione. Una implementazione possibile è quella di fornire funzionalità che consentano all’utente di scaricare i propri dati in un formato standard leggibile dalle macchine (CSV, XML, JSON ecc…).
  • Rettifica:
    gli utenti possono richiedere la correzione dei propri dati. L’implementazione più semplice è quella di consentire all’utente di modificare autonomamente i propri dati.
torna su

14: definire il periodo di conservazione dei dati

I dati personali non possono essere conservati per un tempo indefinito. Questo va al contrario stabilito in vase alle finalità del trattamento. Raggiunta la finalità del trattamento, i dati devono essere archiviati, cancellati o resi anonimi / pseduonimizzati (al solo scopo statistico).

Il Garante francese sottolinea che il ciclo di conservazione dei dati si articola in tre fasi successive:

  • il database attivo;
  • l’archiviazione intermedia;
  • l’archiviazione o cancellazione finale.

La cancellazione dei dati personali dal database attivo assicura che questi restino raggiungibili dai servizi operativi solo per il tempo necessario al raggiungimento della finalità del trattamento. Il garante consiglia quindi di assicurarsi che i dati non siano presenti nel database attivo semplicemente contrassegnandoli come archiviati. Una volta archiviati, questi dati devono essere raggiungibili da un solo e specifico servizio che consenta di accedervi e rimuoverli. Le modalità di accesso devono essere specificate, perché l’uso di dati in archivio deve essere ad hoc ed eccezionale. Se possibile, in fase di eliminazione o anonimizzazione dei dati, usa la stessa implementazione che gestisce il diritto alla cancellazione come richiamato nella scheda sopra. Questo garantirà un funzionamento omogeneo al tuo sistema.

torna su

15: tenere conto della base giuridica nell’implementazione tecnica

Il trattamento di dati personali deve basarsi su una delle basi legali menzionate nell’art.6 del GDPR. Il Garante francese sottolinea come le basi giuridiche:

  • giustifichino l’esistenza stessa del trattamento;
  • impattino però direttamemte sulle condizioni e l’attuazione del trattamento dei dati.

Nel contesto di sviluppo per aziende e organizzazioni provate, le bsi giuridiche spesso usate sono:

  • il contratto;
  • il legittimo interesse;
  • il consenso.

Ad ogni finalità deve corrispondere una sola base giuridica: non si devono cumulare più basi giuridiche per la stessa finalità. La stessa operazione di trattamento dei dati può perseguire più finalità, ma per ognuna deve essere definita una base giuridica. Se il trattamento dati tramite l’applicativo in via di sviluppo rientr entro un contratto e le finalità sono strettamente legate alla fornitura del servizio al cliente, il contratto deve esere appropriato.

In mancanca di una relazione contrattuiale con l’utente, sono invocabili le basi giuridiche del consenso o del legittimo interesse. Se il trattamento previsto è potenzialmente invasivo (ad esempio con profilazione o geolocalizzazione dell’utente) il consenso è la base giuridica appropriata.

In caso di trattamento di dati sensibili (dati sanitari, riguardanti l’orientamento sessuale, la confessione religiosa ecc…) oltre alla base giuridica andrà individuata una eccezione prevista dall’art 9 GDPR.

torna su

16: usare analytics sul sito web e nell’applicativo

I tool di misurazione dell’audience sono utili ad ottenere informazioni riguardo agli utenti di un sito web o di un app mobile. In particolare per capire come gli utenti approdano ad un sito e cosa fanno durante il loro “viaggio”. L’uso di cookie e tracker è consentito, ma sottoposto a rigidi limiti.

Il Garante francese riporta nella scheda le previsioni della direttiva ePrivacy che si occupa specificatamente di questo tema: rimanda però alle Linee Guida delle varietà autorità nazionali e lo facciamo anche noi, rimandando a questa pagina che illustra le previsioni delle Linee Guida 10 Gennaio 2022 del Garante italiano.

Cerchi piattaforme per adempiere a 360° al GDPR ed evitare sanzioni? Vedi qui!
Oppure ti serve formazione? O un consulente privacy? Abbiamo quel che cerchi!

CONTATTACI!

Lascia un commento