Server-Side Tracking y RGPD: ¿cómo configurarlo en Alemania sin caer en sanciones?

Ni se os ocurra tragar con el cuento de las agencias de "lo pasamos al servidor, quitamos cookies y nos ahorramos el consentimiento". Las autoridades de control alemanas (sobre todo Baviera y Baden-Wurtemberg) se conocen el tema de memoria. Si lees un solo byte del dispositivo para marketing, caes en la TDDDG, no hay escapatoria.

Ojo a la arquitectura técnica: si el contenedor del servidor manda la IP, el User-Agent y la URL de referencia tal cual le llegan a la plataforma publicitaria, cuenta como transferencia directa de datos personales. Tenéis que recortar el último octeto de la IP y generalizar las marcas de tiempo en vuestro propio proxy.

No hay q confundir dos leyes distintas: El art. 25 de la TDDDG regula el acceso a los datos del dispositivo (cookies o fingerprinting) y exige consentimiento. El art. 6 del RGPD regula el tratamiento posterior de esos datos personales (como la IP). Aunque el server-side os dé más control para el RGPD, no se salta el filtro de la TDDDG.

edit: arriba escribí mal, disculpad.

Nosotros montamos una infraestructura similar en un servidor independiente en Fráncfort. Nos cuesta 80 EUR/mes. Solo enviamos por el servidor los datos de los usuarios q aceptan en el banner. La pérdida de datos por adblockers nos bajó del 28% al 9%, pero no enviamos ni una sola línea de datos sin consentimiento.

El año pasado un consultor nos dio exactamente la misma idea y desactivamos el banner de consentimiento. Dos meses después recibimos una carta de advertencia (Abmahnung) del abogado de un competidor; nos comimos 1.800 EUR en honorarios de abogado y la multa correspondiente. Volvimos inmediatamente al sistema antiguo. En Alemania no vale la pena correr ese riesgo para nada.

¿El contenedor que vas a alojar en el servidor estará en un centro de datos dentro de la UE? ¿Tienes pensado cotejar también identificadores de clientes offline (como emails con hash) al enviar datos a las redes publicitarias?

os aconsejo no hacer caso a los de marketing, esos solo miran la tabla de conversiones... si llega una multa le cae a la persona jurídica de la empresa pero conectad el mecanismo de consentimiento al servidor, si no hay permiso q el servidor tampoco haga peticiones a terceros.

Si su empresa cuenta con un Delegado de Protección de Datos (Datenschutzbeauftragter) interno o externo, es un requisito legal someter este cambio de arquitectura a una Evaluación de Impacto de la Protección de Datos (DSFA). Es obligatorio actualizar su política de privacidad (Datenschutzerklärung) para que refleje este nuevo flujo de datos.

Exacto, y encima no es tan conocido. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Por supuesto, cambia si tu situación es diferente.

Le agradecería que compartiera el resultado. Intentar hacerlo solo es la vía más cara.

Si no me equivoco, quieres decir esto: Empezad con una pequeña prueba, no lo integréis todo de golpe.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Tiene razón. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Que todo el mundo haga algo no significa que sea lo correcto. Yo seguiría por ese camino.

en este punto no estoy de acuerdo con ustedes. si el permiso y el alcance no están por escrito, que no empiece la prueba.

eso es todo, disculpa si me he extendido demasiado.

Estoy de acuerdo. No confíes en una sola medida; ve capa por capa.

Espero que le sea útil.

Yo también estaba pensando en lo mismo. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Estoy de acuerdo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Comprobado por experiencia.

De acuerdo, incluso me gustaría recalcarlo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Intentar hacerlo solo es la vía más cara.

no sabía eso. en fin los cambioos en los datos de pago nunca se verifican por el mismo canal por el que llegan.

corrijanme si me equivoco.