La FantaPrivacy del FantaSanremo.

Poche cose sono certe nella vita come il Festival di Sanremo.

Con esso, mi aspetto anche il FantaSanremo. Bello, più volte ho espresso ammirazione per l'idea e apprezzo quel brio che ha dato al festival. Una simbiosi vincente.

Ma...   

c'è sempre un "ma" e, di solito, quello che precede il "ma" è aria fritta.

Ecco cosa segue il mio "ma":  le edizioni passate del FantaSanremo sono state gestite con  gigantesti buchi nel rispetto del GDPR. Informativa, consensi, cookie, trasparenza, limitazione delle finalità e via discorrendo.

Nell'antico mondo di twitter (poi X) ho pubblicato diversi contributi relativi al Fantasanremo e penso che fosse evidente l'intento: dare una mano. Ovviamente, anno dopo anno, vedendo che l'incuria prevalere sulla volontà di rispettare le norme sulla protezione dei dati personali, l'entusiasmo si è un po' ammosciato.

C'è anche un altro motivo per cui mi interesso tanto di Fantasanremo e merita un paio di paroline: è un fenomeno di costume che coinvolte le folle. Leggo numeri pazzeschi: 2,8 milioni di giocatori, oltre 4,2 milioni di squadre create, quasi 500 mila leghe, oltre 115 milioni di impression sui social, milioni di persone che desiderano solo divertirsi e desiderano farlo serenamente. Maltrattare i loro dati personali è immorale, ingiusto e illecito. Inoltre, il Fantasanremo, oltre all'aspetto ludico, muove una certa quantità di interessi e molti SPONSOR si affiancano all'iniziativa. lo fanno sia per appiccicare il proprio logo alle varie squadre e incassare visibilità, sia per condividere i dati degli utenti. Ecco, questa è la parte inquietante della vicenda, l'aspetto che frena bruscamente l'entusiasmo e che preme forte sull'acceleratore della centrifuga per coglioni rotanti: grandi aziende come gli sponsor di Fantasanremo non si possono permettere di trattare (ricevere, condividere, usare, ecc.) dati personali acquisiti in modo meno che perfetto, magari in modo maccheronico, approssimativo e con gigantesche voragini negli adempimenti di protezione dei dati personali.

Sono ansioso di vedere gli sponsor 2025 e di fare due chiacchiere con ciascuno dei loro DPO. Sarà interessante prospettare le mie intenzioni a riguardo... intenzioni che, peraltro, dipendono unicamente da come i ragazzi di FantaSanremo decideranno di relazionarsi con i loro obblighi in materia di protezione dei dati personali.

Ciò che è stato:

A modo mio, cercai di dare una mano nel lontano 2023: (qui)

S1E9 #QualifiedDPO Ce la prendiamo con i santi? S A N R E M O? Quasi, parliamo di

Ragazzi, avete la visibilità di una partita della nazionale e vi impegolate con la privacy? Ma non lo avete un DPO a cui chiedere?

 

Ci sono due modi per accedere... tramite SOCIAL-LOGIN (che Dio ci scampi) o con registrazione diretta. I disclaimer sono leggermente differenti. Questo è quello con la registrazione classica con email. Non si può procedere senza cliccare e direi che è un click cumulativo

 

 

 

 

A parte l'evidente rischio di sanzioni da parte del Garante per violazione del GDPR, direi che la conseguenza peggiore è questa: i dati condivisi con gli sponsor NON SONO UTILIZZABILI per fini di marketing. Anzi, non li potevate nemmeno condividere. E' illecito farlo.

 

Forse è meglio che avvisiate gli sponsor: Pandora Ticketone Lavazza Philadelphia Crodino 3Bee Se usassero questi dati si macchierebbero di trattamento illecito e non penso che la prenderebbero benissimo: per loro la sanzione sarebbe elevata perchè è proporzionale al fatturato!

Chi si registra con Google o Facebook trova un dislaimer differente e la spunta non è obbligatoria. Ma è comunque sbagliato. Anche qui, con un unico gesto, si accetta l'informativa e si acconsente alla comunicazione per fini di marketing.

 

...E le condizioni d'uso e il regolamento? Niente? qui non vi serve che vengano accettati? Bizzarro! Transeat. Stavo per dimenticarmi del cookiebanner... non lo vedo perchè uso Brave come browser ma lo sono andato a cercare. Che dire? Che non funziona!

 

 

Nel cookiebot c'è una cosa che non capisco... sono tutti a zero, non ci sono i dettagli dei cookie NON TECNICI. Per esempio qui dite che non fate analytics. Ma non è vero. L'analytics sul sito c'è eccome. Sono confuso.

 

 

Mi sa che bisogna aggiungere un dettaglio: chi si iscrive imposta email e password, senza ricevere nessun messaggio per convalidare la proprietà dell'email Significa che chiunque può iscrivere ogni email, degli amici o dei nemici... e dare per loro consensi a vanvera.

Questi, ignari, riceveranno pubblicità dagli sponsor senza nemmeno capire perchè! e quando si lamenteranno si sentiranno dire... "Lei si è iscritto e ha dato il consenso in data X alle ore Y." Potrei suggerire alcune email da registrare... tipo quella del Garante.

 

Per fortuna si può fare recupero password e cancellarsi... e anche qui

 

Se si inserisce una mail registrata si ottiene un feedback diverso da email non registrate. Anche questo è un problema da risolvere. Da sistemare!

 

 

 

 

Prosit

 

Fine contributo 2023

Sempre a modo mio, anche nel 2024 ho provato a dare una mano a FantaSanremo:  (qui)

 

L’anno scorso ho cercato di dare una mano segnalando una serie di stupidaggini Mi sarei immaginato una gestione scintillante e perfettamente compliant. sono stato troppo ottimista. Con alma e dall'inizio: COOKIE BANNER Entriamo nel sito e troviamo un bel cookie banner. Male

Non mi pare la cosa più intelligente del mondo. Peraltro, anche il GDPR chiede di minimizzare i trattamenti, non di moltiplicarli. Nel dettaglio il cookiebanner espone 4 cookie: - uno necessario ed è quello del cookiebot stesso

- uno relativo a preferenze relative a lingua a geolocalizzazione. Avrei da ridire su questo perché la geolocalizzazione non è una preferenza, questo è ben altro, è profilazione. Benvenga un'opzione a riguardo, ma questo non è un consenso.

- L'ultimo cookie dichiarato è statistico e riguarda i google analytics, conservati per due anni. Ragazzi belli di Fantasanremo, due anni sono troppo. L’analytics lo tenete 6 mesi, come chiede il garante. se lo tenete di più serve, quanto meno, un consenso che non chiedere.

Dare la possibilità di disattivare il cookie è un’altra cosa. si chiama diritto di opporsi al trattamento ed è tipico dei trattamenti effettuati sulla base del legittimo interesse. Chiedete al vostro DPO, vi confermerà che state facendo una minchiata.

In sostanza, il cookie banner, per quello che viene dichiarato, manco ci dovrebbe essere. Andando a guardare dentro meglio, si scopre che dichiarate una cosa inesatta e dovreste chiedere un vero e proprio consenso… ma così non è.

Qualcuno vi definirebbe furbetti. io sono meno indulgente e per me questa è una violazione del GDPR fatta alla luce del sole, ai danni degli utenti che voi, con tutta evidenza, considerate dei dementi da spennare.

Ci sarebbe anche un problemino, dopo la scelta, non c’è modo di cambiare idea. Anche se dite nell’informativa che il consenso è revocabile, non date alcun modo (semplice) per farlo.

 

 

Guardiamo meglio cosa implica questo cookie bot: nulla di buono. Il cookie bot tratta dati per 12 mesi. Il garante ne autorizza 6. siete sicuri che sia una buona idea conservare questi dati per il doppio del tempo? io non credo.

Ma quali dati usa il cookiebot? Ce lo dice il cookiebot. Bisogna andarle a cercare sul sito del fornitore e spulciare il documento DPA (Data Protection Agreement) per scoprire che sono trattati:

il consenso (ok) per ogni categoria individuata, con data e ora l’url cioè l’indirizzo web la lingua (ancora) i dettagli del browser (nome del browser, sistema operativo) l’indirizzo IP che, ricordiamolo, è un dato personale e che viene usato per ricavare la geolocalizzazione

Non penso che l’utente medio sia felice di attivare tutti questi trattamenti e condivisioni al solo fine di mostrare un cookie bot che, senza questi trattamenti ,non sarebbe necessario avere Per ora facciamo finta che vada bene così, ma intanto controlliamo se è tutto vero

Da una analisi, veloce sommaria, senza troppo accanimento, emerge questa triste realtà: ci sono altri cookie non dichiarati nel cookie banner. Pofferbacco, e adesso? come la mettiamo?

 

 

Qui troviamo: il cookiebot, e va bene Plausible (di cui non avete parlato) Google analytics (ok) Youtube (novità inaspettata) Ma non solo, navigando saltano fuori anche i SOCIAL LOGIN di Apple e Google.

Quindi, siamo stati avvertiti del cookiebot, siamo stati avvertiti e abbiamo potuto dare un consenso per google analytics… e tutto il resto? Gli analytics aggiuntivi di Plausibile? Youtube? Apple e Google come social login? Niente? nemmeno un accenno?

E pensare che servirebbe un consenso anche per questi…. che bricconcelli. Altra bella violazione del GDPR. Basterebbe questo per incazzarsi ma resto calmo per poter andare avanti… ma guardo il footer delle pagine web e mi incazzo di nuovo.

 

Cookie Policy + Privacy Policy + Informativa Ad abundantiam? Mi vedo la riunione tra il DPO e l’AD: Capo, l’anno scorso ci hanno fatto un culo così , quest’anno possiamo fare meglio? Si! Allora rifacciamo l’informativa? No facciamone 2. basteranno? Dai, facciamone 3!

Forse sfugge un concetto: l’informativa deve essere chiara e comprensibile. Cosa pensate che possa capire una persona che se ne trova davanti tre che dicono quasi la stessa cosa ma con delle differenze? Personalmente vi subisserei di richieste di chiarimento.

 

Favorisco un quadro sinottico, tanto per farci due risate assieme: L’informativa sui cookie (14-12-2023) è inutile, dice cose generali, non parla dei cookie presenti in questo sito e rimanda all’informativa presente nel cookiebot.

 

 

Peccato che dopo aver cliccato OK o OK nel cookiebot, questo scompaia e non ci sia più modo di richiamarlo. In effetti, non c’è più modo di modificare il consenso eventualmente espresso. Pessima idea.

 

 

L’informativa denominata “privacy policy” del 15/12/2023 e quella denominata “informativa” del 19/01/2024 sono amiche? sono parenti? amanti, ferse?... io non ho mica capito perchè ne abbiate pubblicate due, non identiche

Nella informativa più recente, leggo (2.b) che farete MARKETING sulla base del legittimo interesse. Siete proprio sicuri sicuri che questa sia una buona idea? Perché il Garante perde il sonno quando un’azienda giustifica i trattamenti per finalità pubblicitarie in questo modo.

Proprio non gli piace. E lo capisco, sarebbe così semplice basarsi sul consenso! Usare il legittimo interesse, cioè senza chiedergli niente, sa un po 'di presa per il culo dell’utenza. ma sono certamente io che pensavo male, non era vostra intenzione prevaricare le libere scelte

In questa informativa manca una cosa obbligatoria: la durata del trattamento, per ogni trattamento individuato. Vi consiglio aggiungerla, così com’è è sanzionabile. Oltre al fatto che sia in violazione di legge, la gente non sa per quanto cazzo di tempo trattate i loro dati.

Io cercherei di essere più trasparente. E anche più coerente. nella cookie policy avete dichiarato trattamenti che durano 12 mesi… ci sono cookies di durata 2 anni…. mi sembra molto strano quello che affermate: siete sicuri che cancellate tutto al 31/12? anche Gli analytics?

anche google? anche i social login? anche youtube? anche il cookiebot? Inoltre Nella sezione “conservazione dei dati” avete scritto una castroneria: soft spam effettuato sino a revoca del consenso. Ma come, poche righe sopra avete basato il soft spam sul legittimo interesse?

dovreste mettervi d’accordo con il vostro cervello e partorire una versione dell’informativa un po’ più coerente di questa. nemmeno ve le faccio notare le differenze tra la informativa di dicembre 2023 e quella di gennaio 2024. Fate prima a lasciare solo quella che preferite.

Peraltro, all’atto della registrazione, fate dichiarare all’utente di aver acquisito solo l’informativa del 2024… le altre no. Io francamente sono perplesso.

 

A proposito di registrazione, chiedete un consenso aggiuntivo, a parte rispetto a quelli del cookiebot. Dite che il consenso è revocabile ma io non sono riuscito a trovare dove si possa revocare. Ho cercato sulla app, sul sito web, niente.

 

Chissà, forse date per scontato che la gente sia così estasiata dal vostro marketing da non pensare nemmeno all’ipotesi che voglia smettere di riceverlo. Si, lo penserei anch’io fossi in voi. Vediamo cosa ne pensa il vostro DPO?

 

 

Dopo la registrazione arriva una mail da guinness. Di solito, chi si registra, riceve una mail con un link di conferma. Questo evita le iscrizioni a vanvera, il furto di identità e la possibilità di iscrivere indirizzi farlocchi ed altrui.

 

Voi no, avete inventato questo: io mi iscrivo (magari con l’indirizzo Altrui) e Altrui riceve un messaggio di conferma e, secondo voi, Altrui dovrebbe cliccare per dire che non è lui ? E se non si sbriga, dopo 48 ore resta iscritto a suo nome… e nemmeno vi conosce

 

 

Ma ve lo siete sognato di notte dopo una indigestione di ‘Nduja? Vi rendete conto di quanto questo procedimento sia folle e lontano da ciò che il GDPR prevede?

 

Ragazzi di fantasanremo, già l’anno scorso volevo aiutarvi e nemmeno l’avete capito, quest’anno, se possibile, siete riusciti a fare persino di peggio. Io non sono sicuro di potervi dare una mano.

 

 

Per curiosità, quante mille mila persone hanno riempito i vostri database dei loro dati? Tutte autentiche e confermate, vero? Forse questo interesserà il

@GPDP_IT

 

Volete un’altro consiglio? volentieri. Alla registrazione fate dichiarare consapevolezza sull’uso delle immagini caricate. Bene. Perchè nella schermata del caricamento non c’è la stessa avvertenza?

 

 

Che senso ha dirlo all’atto della registrazione (peraltro con conferma di lettura obbligatoria ) e poi non riproporre laddove si può verificare il rischio di caricamento di materiali inadatti all’uso che se ne farà?

 

 

A pensare male, sembra che contiate sul fatto che la gente si possa dimenticare di ciò che ha cliccato. A voler pensare bene…. no, non saprei, non mi viene in mente niente.

 

 

Direi basta, per ora Con il cuore: potete fare di meglio. Avete un DPO: fatelo lavorare, coinvolgetelo, ascoltatelo. Qui ci sono talmente tanti problemi nella gestione degli adempimenti relativi al GDPR che, se fossi uno sponsor, vi manderei nelle miniere a scavare lunarium.

 

Prosit

 

Fine contributo 2024

 

 

 

Oggi

 

Siamo alla fine del 2024 e sono certo che ci sia grande fermento dietro le quinte. Appena verrà pubblicato il nuovo sito per il Sanremo 2025 mi presenterò alla porta, anche perché, ricordiamolo, sono un "interessato" e dentro al pancione di FantaSanremo ci sono i miei dati personali. 

 

Spero di trovare un sito a norma, con tutte le sue cosine a posto: l'informativa completa chiara e corretta, i testi giusti nei form di iscrizione, i cookie minimi necessari, un numero onesto di tracciatori che però chiedano il consenso prima di mercificare l'utente, il cookie-banner... controllo tutto, promesso. 

 

Francamente, dopo avervi regalato su un piatto d'argento una analisi utile per fare tutte le modifiche necessarie e dopo averla ampliata l'anno successivo, mi sento un po frustrato e, inoltre, dopo tutto questo tempo, ho la netta impressione che i miei dati siano stati maltrattati un po' troppo. 

 

Forza ragazzi, non è difficile, chiamate un DPO e fatevi dare una mano.