Server-Side Tracking e DSGVO — Come implementarlo in Germania senza rischiare sanzioni?

Non cascate nella favoletta delle agenzie del tipo "spostiamo tutto lato server, via i cookie niente consenso". I garanti tedeschi (soprattutto in Baviera e Baden-Württemberg) conoscono benissimo il trucco. Appena leggi un solo byte dal dispositivo per scopi di marketing scatta il TDDDG, nn si scappa.

Sull'architettura tecnica occhio a questo: se nel container del server prendi IP, User-Agent e referrer della richiesta in ingresso e li mandi grezzi alla piattaforma adv, quello è a tutti gli effetti trasferimento di dati personali. Sul tuo server proxy devi troncare l'ultimo ottetto dell'IP e arrotondare i timestamp.

Non bisogna confondere le due norme: l'art. 25 del TDDDG regola l'accesso ai dati sul dispositivo (cookie o fingerprinting) e impone il consenso. L'art. 6 del DSGVO regola invece il trattamento del dato personale ottenuto (come l'IP). Anche se il lato server ti dà più controllo sui dati ai fini del DSGVO, non aggira minimamente il blocco del TDDDG.

edit: ho scritto una cosa sbagliata sopra, scusate.

Noi abbiamo messo in piedi un'infrastruttura simile su un server dedicato a Francoforte. Paghiamo 80 EUR al mese di server. Inviamo via server solo i dati di chi ha accettato esplicitamente dal banner. La perdita di dati dovuta agli ad blocker è scesa dal 28% al 9%, ma nn inoltriamo una singola riga di dati senza consenso.

L'anno scorso un consulente ci diede la stessa identica idea e disattiviamo il banner del consenso. Due mesi dopo ci è arrivata una diffida (Abmahnung) dall'avvocato di un concorrente: ci siamo ritrovati sul groppone 1.800 EUR di spese legali e la penale della dichiarazione. Siamo tornati subito al vecchio sistema di consenso. In Germania non vale assolutamente la pena rischiare.

Il container che ospiterete lato server si troverà in un data center all'interno dei confini dell'UE? Nel trasmettere i dati ai network pubblicitari avete intenzione di associare anche identificativi cliente offline (come le email con hash)?

vi consiglio di non andare dietro ai marketer quelli guardano solo le tabelle di conversione... se arriva la multa la paga l'azienda ma collegate il meccanismo di consenso al server se nn c'è il consenso nemmeno il server deve fare chiamate a terze parti.

Qualora la vostra azienda disponga di un Responsabile della Protezione dei Dati (Datenschutzbeauftragter) interno o esterno, sottoporre questa modifica architetturale a una Valutazione d'Impatto sulla Protezione dei Dati (DSFA) costituisce un obbligo di legge. È altresì mandatorio aggiornare l'informativa sulla privacy (Datenschutzerklärung) affinché rifletta questo nuovo flusso di dati.

Esatto, e non è nemmeno così noto. I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Naturalmente cambia se la vostra situazione è diversa.

Mi farebbe piacere se scrivesse il risultato. Cercare di farlo da soli è la strada più costosa.

Se non ho capito male, stai dicendo che: Inizia con un piccolo test, non impegnarti subito su tutto.

Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Ha ragione. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Io seguirei questa strada.

su questo pnto non sono d'accordo. boh se permessi e ambito non sono scritti quel test non deve iniziare.

è tutto, scusate se mi sono dilungato.

Sono d'accordo. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Spero che le sia utile.

Stavo pensando la stessa cosa. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Se avete domande, scrivete, rispondo per quanto possibile.

Sono d'accordo. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Confermato dall'esperienza.

Sono d'accordo anzi vorrei sottolinearlo. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Cercare di farlo da soli è la strada più costosa.

non lo sapevo. le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

correggetemi se sbaglio.