{"id":3288,"date":"2022-07-08T10:03:47","date_gmt":"2022-07-08T08:03:47","guid":{"rendered":"https:\/\/www.jaera.it\/?p=3288"},"modified":"2023-03-03T10:03:49","modified_gmt":"2023-03-03T09:03:49","slug":"biscotti-avvelenati","status":"publish","type":"post","link":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/","title":{"rendered":"Biscotti avvelenati"},"content":{"rendered":"

Biscotti avvelenati che\u00a0fanno male alla salute dei nostri siti, lo dicono i Garanti. La notizia \u00e8 ormai vecchia<\/a>, La Data Protection Authority austriaca in primis, seguita da quelle francese e italiana hanno detto che usare Google Analytics non rispetta i criteri di sicurezza\u00a0nell’esportazione dei dati personali richiesti dalla Corte di Giustizia Europea nella sentenza Schrems II.\u00a0Ho preferito rifletterci su qualche giorno prima di dire la mia in proposito.<\/p>\n

Il provvedimento in sintesi<\/h3>\n

Il provvedimento \u00e8 rivolto a Caffeina S.r.l. azienda che si occupa di marketing e dice in sostanza le seguenti cose:<\/p>\n

    \n
  1. l’azienda che usa le GA \u00e8 titolare;<\/li>\n
  2. Google Irlanda \u00e8 responsabile ai sensi dell’articolo 28 del GDPR e Google USA sub responsabile;<\/li>\n
  3. non interessa la percezione soggettiva di quanto sia possibile che le autorit\u00e0 del paese importatore possano spulciare quelle informazioni;<\/li>\n
  4. Google rimpolpa il dato che di fatto \u00e8 solo pseudonimizzato (e nemmeno troppo), eliminando con facilit\u00e0 la pseudonimizzazione;<\/li>\n
  5. non basta la foglia di fico delle Clausole Contrattuali Tipo (lo dicemmo<\/a> ormai due anni fa…);<\/li>\n
  6. non vengono cifrati i dati E2E e quindi sebbene Big G abbia certificazioni di sicurezza a palate, non \u00e8 compilano con le richieste di protezione della persona fisica della CJEU.<\/li>\n<\/ol>\n

    Facciamo alcune considerazioni su questi aspetti.<\/p>\n

    1. Azienda titolare<\/h3>\n

    Sar\u00f2 netto, e probabilmente impopolare, io qui non concordo minimamente con il Garante. Riprendiamo la definizione di Titolare?<\/p>\n

    la persona fisica o giuridica, l’autorit\u00e0 pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalit\u00e0 e i mezzi del trattamento di dati personali<\/p><\/blockquote>\n

    Perch\u00e9 io che uso le GA devo essere titolare per la finalit\u00e0 di marketing di Google stessa? Probabilmente non ci arrivo, il caldo mi crea un blocco di sistema e devo riavviare il cervello, ma non ha alcun senso. La finalit\u00e0 di de-anonimizzare i dati e usarli per farci marketing non \u00e8 mia<\/b>. Io voglio solo sapere se il mio articolo va bene o male, non me ne frega niente di fare altre operazioni.<\/p>\n

    Avrebbe assai pi\u00f9 senso dire “Azienda tu sei titolare per il tuo pezzo e Google per quel pezzo \u00e8 il tuo Responsabile, per il resto \u00e8 Google a essere titolare<\/i>” del trattamento in quanto \u00e8 lei a definire mezzi e finalit\u00e0. Ma questo implicherebbe mettersi pesanemten di traverso nei riguardi di Google.<\/p>\n

    2. Percezione soggettiva<\/h3>\n

    Qui c’\u00e8 poco da dire o da fare, la CGEU \u00e8 stata categorica. Non interessa se il pericolo percepito di intromissione da parte delle autorit\u00e0 federali \u00e8 basso<\/b>, non importa se si tratta solo di pochi dati, o di un sito leggero. Se il dato viene passato violando l’articolo 5, non si pu\u00f2 andare oltre.<\/p>\n

    3. Falsa anonimizzazione<\/h3>\n

    Di nuovo Google. Insomma inizio a sentirmi preso abbastanza per il naso da questi simpatici americani che concepiscono quello che noi chiamiamo cittadino solo ed esclusivamente come consumatore<\/b> (la parola non \u00e8 usata a caso, ma tratta da molte delle loro normative privacy). In sostanza si tratta di una finta anonimizzazione. Google elimina i numeri dell’ultimo ottetto del nostro IP. In pratica, un indirizzo IP \u00e8 formato da quattro numero separati da un punto e che vanno da 0 a 255 (una specie di numero telefonico per internet, volendo semplificare). Ipotizziamo che il mio IP sia 123.321.231.213, Google anonimizza l’ultimo ottetto e il mio IP anonimo (o meglio pseudonimo) diventa cos\u00ec 123.321.231.0. Ora, non serve un genio informatico per capire che di fatto ci sono 256 possibili soluzioni al problema e che con un minimo di potenza di calcolo (che in Google non manca) si arriva velocemente a trovare le ultime 3 cifre eliminando la cosiddetta anonimizzazione.<\/p>\n

    I Garanti che fessi non sono hanno immediatamente cassato questa soluzione, come assolutamente lontana dal concetto di dato anonimo secondo gli standard del GDPR. Ricordo che per il GDPR un dato anonimo non deve essere ricostruibile<\/b> in nessun modo.<\/p>\n

    il troncamento dell\u2019ultimo ottetto non impedisce a Google LLC di re-identificare l\u2019utente medesimo, tenuto conto delle informazioni complessivamente detenute dalla stessa relative agli utenti del web<\/p><\/blockquote>\n

    4.\u00a0Standard Contractual Clauses<\/h3>\n

    Sono ormai due anni che vado sostenendo che:<\/p>\n

      \n
    1. dire di avere le SCC non coincide con dare delle reali garanzie<\/b> di sicurezza dei dati (come rilevato nella sentenza Schrems II);<\/li>\n
    2. dire di avere le SCC ma non metterle a disposizione \u00e8 come non averle<\/b>.<\/li>\n<\/ol>\n

      Questi due concetti non riescono a fare presa e adesso il Garante se non altro ha ribadito il primo. Le SCC da sole non bastano<\/b>, non possono bastare perch\u00e9 a ben guardare sono una piccola foglia di fico.<\/p>\n

      5. Cifratura<\/h3>\n

      Dice Google che tutti i dati sono cifrati. Verissimo. Protetti in fase di trasporto e protetti da una mezza dozzina di standard di sicurezza in generale. Bello. Ma inutile, ai fini del trasferimento dei dati in quanto Google possiede la chiave di decrittazione del dato e se il governo federale gliela chiede deve dargliela – o quantomeno pu\u00f2 farlo.<\/p>\n

      Questo fatto oggettivo \u00e8 quello pi\u00f9 impattante di tutta questa vicenda. \u00c8 pur vero che posso cambiare il sistema di analitiche e amen.<\/p>\n

      In ordine ai meccanismi di cifratura dei dati sopra evidenziati, esse, infatti, non sono sufficienti ad evitare i rischi di un accesso, ai fini di sicurezza nazionale, ai dati trasferiti dall\u2019Unione europea da parte delle Autorit\u00e0 pubbliche degli Stati Uniti, in quanto le tecniche di cifratura adottate prevedono che la disponibilit\u00e0 della chiave di cifratura sia in capo a Google LLC che la detiene, in qualit\u00e0 di importatore, in virt\u00f9 della necessit\u00e0 di disporre dei dati in chiaro per effettuare elaborazioni e fornire servizi.<\/p><\/blockquote>\n

      Quanto qui affermato dal nostro Garante ha un impatto profondo su moltissime situazioni<\/b>.<\/p>\n

      Esempio? Facile, il mio cellulare aziendale iPhone esegue un backup degli indirizzi su iCloud servizio Apple localizzato negli States e con cifratura non end-Torino-end<\/b>, quindi con chiave di cifratura in mano ad Apple. Ho sempre detto “me ne frego in quanto Apple non consegna i dati al Governo<\/i>” \u00a0– cosa vera – ma di cui abbiamo detto la Corte non tiene conto<\/b>.<\/p>\n

      Quindi? Non faccio pi\u00f9 il backup del cellulare (che include ad esempio la rubrica telefonica)? Non posso, perch\u00e9 se non lo facessi non sarei comunque in compliance con l’articolo 5 e 32 del GDPR non prendendo le misure di sicurezza adeguate per evitare la perdita dei dati (articolo 5.1 punto f). In sostanza, siamo in una situazione da Kobayashi Maru<\/a>.<\/p>\n

      Che fare quindi?<\/h3>\n

      La domanda del mese. Disinstalliamo le GA?<\/b> Ipotizzandolo quali sono le alternative? Chi le conosce bene? Chi le ha testate in modo adeguato?<\/p>\n

      Per curiosit\u00e0, in questo ultimo periodo mi sono andato a leggere un po’ di recensioni sui servizi alternativi a GA. Alcuni sono negli USA e quindi siamo punto e a capo, altri sono a pagamento e questo \u00e8 oggettivamente un grosso problema (ignorarlo sarebbe ridicolo), altri che sono free e che sono su territorio europeo vengono definiti come poco performanti, alcuni imprecisi (come si pu\u00f2 fare un’analitica imprecisa?) oppure con aggiornamenti poco frequenti. In sostanza mi si sta dicendo, disinstalla GA e metti al suo posto un servizio peggiore.<\/p>\n

      E non entro nel discorso del backup del mio iPhone altrimenti non ne usciamo pi\u00f9.<\/p>\n

      Sulle GA4<\/b> le nuove analitiche by Google<\/a> ancora poco si sa ma a breve proporremo un approfondimento per capire se siano o possano diventare una soluzione.<\/p>\n

      Biscotti veramente avvelenati!<\/p>\n","protected":false},"excerpt":{"rendered":"

      Biscotti avvelenati che\u00a0fanno male alla salute dei nostri siti, lo dicono i Garanti. La notizia \u00e8 ormai vecchia, La Data Protection Authority austriaca in primis, seguita da quelle francese e italiana hanno detto che usare Google Analytics non rispetta i criteri di sicurezza\u00a0nell’esportazione dei dati personali richiesti dalla Corte di Giustizia Europea nella sentenza Schrems […]<\/p>\n","protected":false},"author":8,"featured_media":3300,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[46,75],"tags":[34,421,422,26,424,133,423,426,166,31,33,420,161,425,367,148,36],"yoast_head":"\nBiscotti avvelenati - Jaera<\/title>\n<meta name=\"description\" content=\"Biscotti avvelenati quelli che derivano dalle analitiche di Google su cui molti Garanti si sono pronunciati negativamente.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Biscotti avvelenati - Jaera\" \/>\n<meta property=\"og:description\" content=\"Biscotti avvelenati quelli che derivano dalle analitiche di Google su cui molti Garanti si sono pronunciati negativamente.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/\" \/>\n<meta property=\"og:site_name\" content=\"Jaera\" \/>\n<meta property=\"article:published_time\" content=\"2022-07-08T08:03:47+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2023-03-03T09:03:49+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2022\/07\/biscotti-avvelenati-scaled.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"2560\" \/>\n\t<meta property=\"og:image:height\" content=\"1564\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Gianrico Gambino\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"Gianrico Gambino\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"7 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/\",\"url\":\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/\",\"name\":\"Biscotti avvelenati - Jaera\",\"isPartOf\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/#website\"},\"datePublished\":\"2022-07-08T08:03:47+00:00\",\"dateModified\":\"2023-03-03T09:03:49+00:00\",\"author\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/ddd1226013078115e6fd57dc81bb834d\"},\"description\":\"Biscotti avvelenati quelli che derivano dalle analitiche di Google su cui molti Garanti si sono pronunciati negativamente.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/www.jaera.it\/blog\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Biscotti avvelenati\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#website\",\"url\":\"https:\/\/www.jaera.it\/blog\/\",\"name\":\"Jaera\",\"description\":\"Consulenza professionale e servizi per aziende\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.jaera.it\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/ddd1226013078115e6fd57dc81bb834d\",\"name\":\"Gianrico Gambino\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/02\/Gian750x1000.jpg\",\"contentUrl\":\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/02\/Gian750x1000.jpg\",\"caption\":\"Gianrico Gambino\"},\"sameAs\":[\"http:\/\/www.jaera.it\"],\"url\":\"https:\/\/www.jaera.it\/blog\/author\/gianrico-gambino\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Biscotti avvelenati - Jaera","description":"Biscotti avvelenati quelli che derivano dalle analitiche di Google su cui molti Garanti si sono pronunciati negativamente.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/","og_locale":"it_IT","og_type":"article","og_title":"Biscotti avvelenati - Jaera","og_description":"Biscotti avvelenati quelli che derivano dalle analitiche di Google su cui molti Garanti si sono pronunciati negativamente.","og_url":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/","og_site_name":"Jaera","article_published_time":"2022-07-08T08:03:47+00:00","article_modified_time":"2023-03-03T09:03:49+00:00","og_image":[{"width":2560,"height":1564,"url":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2022\/07\/biscotti-avvelenati-scaled.jpg","type":"image\/jpeg"}],"author":"Gianrico Gambino","twitter_card":"summary_large_image","twitter_misc":{"Scritto da":"Gianrico Gambino","Tempo di lettura stimato":"7 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/","url":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/","name":"Biscotti avvelenati - Jaera","isPartOf":{"@id":"https:\/\/www.jaera.it\/blog\/#website"},"datePublished":"2022-07-08T08:03:47+00:00","dateModified":"2023-03-03T09:03:49+00:00","author":{"@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/ddd1226013078115e6fd57dc81bb834d"},"description":"Biscotti avvelenati quelli che derivano dalle analitiche di Google su cui molti Garanti si sono pronunciati negativamente.","breadcrumb":{"@id":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.jaera.it\/blog\/biscotti-avvelenati\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.jaera.it\/blog\/"},{"@type":"ListItem","position":2,"name":"Biscotti avvelenati"}]},{"@type":"WebSite","@id":"https:\/\/www.jaera.it\/blog\/#website","url":"https:\/\/www.jaera.it\/blog\/","name":"Jaera","description":"Consulenza professionale e servizi per aziende","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.jaera.it\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"it-IT"},{"@type":"Person","@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/ddd1226013078115e6fd57dc81bb834d","name":"Gianrico Gambino","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/image\/","url":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/02\/Gian750x1000.jpg","contentUrl":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/02\/Gian750x1000.jpg","caption":"Gianrico Gambino"},"sameAs":["http:\/\/www.jaera.it"],"url":"https:\/\/www.jaera.it\/blog\/author\/gianrico-gambino\/"}]}},"_links":{"self":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/3288"}],"collection":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/comments?post=3288"}],"version-history":[{"count":8,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/3288\/revisions"}],"predecessor-version":[{"id":3307,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/3288\/revisions\/3307"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/media\/3300"}],"wp:attachment":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/media?parent=3288"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/categories?post=3288"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/tags?post=3288"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}