Hai bisogno di un banner cookie per un link breve? Per il redirect in sé, no: un semplice 301 o 302 che non memorizza nulla sul dispositivo è un servizio richiesto dall'utente. Il consenso serve nel momento in cui il link breve imposta o legge un cookie non essenziale o un identificatore del dispositivo, per il retargeting o l'analisi cross-site, perché la Direttiva ePrivacy richiede quel consenso prima che la memorizzazione avvenga.
Questa singola frase nasconde due regole distinte, e i marketer continuano a confonderle. La Direttiva ePrivacy disciplina la memorizzazione o la lettura di qualsiasi cosa sul dispositivo dell'utente (il livello cookie). Il GDPR disciplina cosa fai poi con quei dati personali (il livello base giuridica). Un link breve può far scattare l'una regola, l'altra, entrambe o nessuna delle due, e sapere quale si applica ti dice se un banner sia legalmente obbligatorio oppure solo un'aggiunta rituale alla pagina, senza reale necessità.
Questo è un articolo del cluster compliance, quindi le norme sono citate e le fonti collegate per la consulenza legale del tuo team. Per il quadro completo dietro tutto questo, ovvero cosa il GDPR richiede a qualsiasi shortener, il cornerstone GDPR per gli URL shortener esamina gli Articoli rilevanti uno per uno.
La risposta breve per marketer e DPO
Il consenso riguarda la memorizzazione sul dispositivo, non il link in sé. Poniti una sola domanda: cliccare sul link breve fa sì che qualcosa venga scritto sul browser dell'utente o letto da esso, al di là di ciò che è strettamente necessario per eseguire il redirect?
- Se no: il click si limita a risolvere una destinazione e, al massimo, incrementa un contatore lato server; non c'è alcun trigger di consenso ePrivacy per lo shortener.
- Se sì: un cookie di tracciamento, un pixel, un identificatore di fingerprinting scatta durante il passaggio del redirect; il consenso è obbligatorio e deve arrivare prima della memorizzazione.
Il GDPR aggiunge poi una seconda domanda sul log dei click in sé, che quasi sempre contiene dati personali. Queste due domande hanno risposte diverse, e il resto di questo articolo le affronta una alla volta.
Quando un link breve non ha bisogno di consenso
Un redirect che non imposta alcun cookie si colloca sul lato "strettamente necessario" della Direttiva ePrivacy. L'Articolo 5(3) della Direttiva 2002/58/CE esenta la memorizzazione che sia "strettamente necessaria affinché il fornitore di un servizio della società dell'informazione esplicitamente richiesto dall'abbonato o dall'utente possa fornire tale servizio." Risolvere un link che l'utente ha cliccato deliberatamente è proprio quel servizio. Nessun banner è dovuto per quel passaggio.
Il livello GDPR però si applica comunque, perché il log dei click è un dato personale. Ogni redirect può registrare un indirizzo IP e uno user agent, e la Corte di Giustizia ha stabilito nella sentenza Breyer (C-582/14) che un indirizzo IP dinamico è un dato personale per chiunque sia in grado di identificare la persona dietro di esso. Serve quindi una base giuridica per il log, e per il conteggio aggregato dei click quella base è di solito il legittimo interesse ai sensi dell'Articolo 6(1)(f), a condizione di aver eseguito il test di bilanciamento, minimizzato ciò che conservi e impostato una finestra di conservazione breve.
In pratica questo significa che puoi contare i click, vedere quale campagna li ha generati e riportare la geografia a livello di paese senza chiedere a nessuno di accettare un cookie, purché l'analisi sia aggregata e gli identificatori non siano costruiti per isolare una singola persona. È questa la corsia in cui dovrebbe stare gran parte del tracciamento dei link, ed è gran parte di ciò che rende praticabile l'analisi dei click orientata alla privacy.
Quando un link breve ha davvero bisogno di consenso
Il banner diventa obbligatorio nell'istante in cui viene memorizzato un cookie non essenziale o un identificatore simile. La Corte di Giustizia ha fissato lo standard per quel consenso nella sentenza Planet49 (C-673/17): una casella pre-selezionata non è consenso, e l'utente deve compiere un'azione affermativa chiara prima della memorizzazione. Le linee guida EDPB sul consenso lo restringono ulteriormente: il consenso deve essere libero, specifico, informato e facile da revocare quanto da concedere.
I link brevi creano qui un fastidioso problema di tempistica. Se il tuo shortener deposita un cookie di retargeting sul proprio dominio di redirect, quella memorizzazione avviene durante il passaggio, prima ancora che l'utente raggiunga il tuo sito e il tuo banner di consenso. Il cookie è già impostato quando la tua piattaforma di gestione del consenso si carica. Chi lo ha impostato è responsabile di avere un consenso valido, e in quell'architettura nessuno lo ha raccolto. Non si tratta di una lacuna burocratica, ma di un cookie impostato senza una base giuridica: esattamente lo schema per cui i regolatori hanno già comminato sanzioni.
Quindi, se un link breve fa una qualsiasi delle cose seguenti, sei in territorio di consenso e devi essere in grado di dimostrarlo:
- Impostare un cookie di tracciamento o di retargeting al momento del click.
- Leggere o scrivere un fingerprint del dispositivo o un identificatore persistente.
- Attivare un pixel pubblicitario di terze parti tramite il redirect.
- Costruire un profilo cross-site dell'individuo per il targeting pubblicitario.
Cookie consent vs base giuridica GDPR: due livelli
L'errore che vedo più spesso è trattare "abbiamo una base giuridica ai sensi del GDPR" come se risolvesse la questione dei cookie. Non è così. Le due norme si sommano, e quella ePrivacy viene prima nel tempo.
La Direttiva ePrivacy chiede: puoi memorizzare o leggere questo sul dispositivo? Per qualsiasi cosa non essenziale, la risposta è sì solo con il consenso preventivo, e nessuna base giuridica del GDPR sostituisce quel consenso. Il legittimo interesse non può autorizzare l'impostazione di un cookie di marketing: la fase di memorizzazione richiede comunque il consenso. Solo dopo aver chiarito la questione della memorizzazione il GDPR pone la propria domanda: ora che detieni questo dato personale, qual è la tua base giuridica per trattarlo, e hai rispettato gli obblighi di trasparenza, conservazione e trasferimento che lo circondano?
Letta in questo ordine, la maggior parte delle configurazioni di tracciamento dei link si chiarisce rapidamente. Registrazione dei click aggregata e senza cookie: un solo livello (legittimo interesse GDPR), nessun banner. Retargeting basato su cookie: entrambi i livelli (consenso ePrivacy per impostare il cookie, poi consenso GDPR come base del trattamento), banner obbligatorio e deve scattare per primo.
Se il tuo shortener attuale ti impone il secondo schema quando tutto ciò che volevi era l'attribuzione delle campagne, vale la pena risolverlo a livello di strumento piuttosto che coprirlo con un banner più grande. Elido mantiene l'analisi dei click senza cookie e residente nell'UE, così il caso comune resta nella corsia senza banner.
Come mantenere i link brevi leggeri sul fronte consenso
Non puoi eliminare ogni obbligo: se fai retargeting, raccogli il consenso, punto. Ma puoi mantenere semplice il caso ordinario e ridurre la superficie che un banner deve coprire.
- Preferisci uno shortener che registra i click lato server senza alcun cookie sul dominio di redirect, così non c'è nulla per cui raccogliere il consenso durante il passaggio.
- Mantieni l'analisi aggregata. La geografia a livello di paese e il conteggio per campagna non hanno bisogno di isolare una persona; i profili per singolo utente sì.
- Minimizza e accorcia. Tronca o applica l'hash agli indirizzi IP dove puoi, e imposta una finestra di conservazione misurata in settimane, non in anni, supportata da un test di bilanciamento documentato.
- Mantieni i dati nell'UE. La residenza non elimina la questione del consenso, ma elimina l'analisi separata sui trasferimenti che uno shortener con sede negli USA aggiunge sopra: il gap che l'analisi is Bitly GDPR compliant approfondisce, e lo stesso motivo per cui Google Analytics solleva le proprie questioni GDPR.
- Inserisci una disclosure onesta nella tua informativa sulla privacy: cosa registra il redirect, su quale base, per quanto tempo.
Niente di tutto questo è consulenza legale per il tuo stack specifico, e uno shortener che si comporta bene non esenta il sito di destinazione dai propri obblighi in materia di cookie. Ma sposta lo shortener da "un altro fornitore di cui il mio banner deve tenere conto" a "un redirect che registra un click e si ferma lì." Per il lato residenza della stessa decisione, la residenza dei dati nell'UE per il marketing e la rassegna dei migliori URL shortener EU coprono chi si impegna a mantenere i dati nell'UE.
Leggi la serie cornerstone
Questo articolo fa parte del cluster compliance. Il cornerstone è GDPR per gli URL shortener: cosa vuole davvero vedere il tuo DPO: parti da lì per il quadro articolo per articolo, poi usa la pagina trust e solutions/compliance come materiale rivolto al procurement.
Articoli correlati sul blog
- GDPR per gli URL shortener: cosa vuole davvero vedere il tuo DPO
- Bitly è conforme al GDPR? La risposta onesta di una DPO
- Google Analytics è conforme al GDPR?
- Residenza dei dati nell'UE per gli strumenti di marketing: cosa chiede davvero il tuo DPO
- I migliori URL shortener EU, classificati per postura di residenza
Domande frequenti
I link brevi hanno bisogno di un banner cookie?
Il redirect in sé no: un semplice 301 o 302 che non imposta alcun cookie è un servizio richiesto dall'utente. Un banner diventa necessario quando lo shortener memorizza o legge un cookie non essenziale o un identificatore del dispositivo al momento del click, ad esempio per il retargeting o l'analisi cross-site, perché la Direttiva ePrivacy richiede il consenso prima che tale memorizzazione avvenga.
Uno shortener di URL imposta cookie?
Alcuni sì, altri no. I servizi costruiti attorno al retargeting e all'analisi cross-campagna in genere depositano un cookie di tracciamento o un identificatore sul dominio di redirect. Uno shortener orientato alla privacy può registrare un click lato server senza alcun cookie, ed è proprio questa la differenza tra la necessità di un banner di consenso e la sua assenza.
Il tracciamento dei link è consentito dal GDPR senza consenso?
Il conteggio aggregato dei click lato server può basarsi sul legittimo interesse ai sensi dell'Articolo 6(1)(f), a condizione di eseguire un test di bilanciamento e mantenere una conservazione breve, perché un log dei click contiene dati personali come gli indirizzi IP. Il tracciamento che profila un individuo attraverso più siti, o che si basa su un cookie non essenziale, richiede il consenso: sia ai sensi della Direttiva ePrivacy per la memorizzazione, sia ai sensi del GDPR per la profilazione.
I link brevi sono dati personali secondo il GDPR?
Gli eventi di click che li generano di solito lo sono. Ogni redirect può registrare un indirizzo IP e uno user agent, e la Corte di Giustizia ha stabilito nella sentenza Breyer che un indirizzo IP dinamico è un dato personale nelle mani di un soggetto in grado di identificare la persona. Quindi il flusso di click registrato da uno shortener rientra nell'ambito del GDPR anche quando il testo del link in sé è anonimo.
Chi è responsabile del consenso, il marketer o lo shortener?
Chi imposta il cookie è responsabile di averne il consenso. Se il tuo shortener deposita un cookie di tracciamento sul proprio dominio di redirect prima che l'utente raggiunga il tuo sito, quella memorizzazione è avvenuta al di fuori del tuo banner, ed è proprio qui che si crea il gap di conformità. Usare uno shortener che non imposta cookie non essenziali mantiene la responsabilità dove la tua piattaforma di gestione del consenso può effettivamente coprirla.
Prova Elido
Incolla un URL, ottieni un link breve
Senza registrazione. Il link vive 30 giorni. Iscriviti per conservarlo.
Gratis, nessuna registrazione richiesta · 2 al giorno