La riproduzione di sessione è la cosa più invasiva che un sito comune fa a chi lo visita, e la questione del consenso che le sta intorno è più interessante di quella sul contarli. Si applicano due regole separate, la maggior parte degli strumenti di serie non ne soddisfa nessuna, e soddisfare la prima non ti tira fuori dalla seconda.
Questo è come funzionano le regole in pratica, non è consulenza legale. Se le tue pagine mostrano dati sanitari, finanziari o di minori, chiedi a qualcuno di qualificato.
Due domande, non una
Archivia qualcosa sul dispositivo di chi visita? È l'articolo 5, paragrafo 3, della Direttiva ePrivacy (in Italia, l'art. 122 del Codice della privacy, d.lgs. 196/2003, applicato dal Garante) ed è la domanda a cui risponde un banner cookie. Riguarda l'atto di scrivere sulla macchina di qualcuno o di leggere da lì, qualunque sia la tecnologia: un cookie, il localStorage, o un'impronta digitale.
Quello che cattura sono dati personali, e qual è la tua base giuridica? È il GDPR, e si applica che sia stato archiviato qualcosa o no. La riproduzione di qualcuno che compila un modulo, muove un mouse e scorre la propria storia degli ordini è un dato personale su quella persona in qualunque lettura. Quindi uno strumento può essere davvero libero da archiviazione e avere comunque bisogno di una base giuridica per la registrazione in sé.
La maggior parte della discussione su questo copre solo la prima domanda, perché è la prima ad avere un banner attaccato.
La prima domanda - che cosa la registrazione archivia di solito
Per cucire più pagine viste in una sola riproduzione, uno strumento deve riconoscere lo stesso browser attraverso quelle pagine viste. Il modo solito è un identificativo in un cookie o nel localStorage, che è archiviazione sul dispositivo e ha bisogno del consenso nel SEE e nel Regno Unito.
Non deve per forza essere così. L'identificativo si può ricavare sul server da quello che la richiesta già porta, e ruotarlo perché non sopravviva alla giornata, lo stesso meccanismo dell'analitica senza cookie. Una riproduzione montata in quel modo non tocca mai la macchina di chi visita, e l'articolo 5, paragrafo 3, non ha niente in cui mordere.
Quello che costa è reale e vale la pena dirlo: le registrazioni non si possono unire fra un giorno e l'altro, quindi «mostrami tutto quello che questa persona ha fatto la settimana scorsa» non è una domanda a cui quello strumento risponda. Per scoprire perché un processo di acquisto perde gente, non conta. Per seguire la storia intera di un cliente con un nome, conta.
La seconda domanda - una base giuridica, qualunque cosa tu abbia archiviato
La registrazione tratta comunque dati personali, quindi ai sensi del GDPR ti serve una base. In pratica è o il consenso o il legittimo interesse, e il legittimo interesse vuol dire fare e tenere un test di bilanciamento, cioè scrivere perché il tuo interesse a migliorare la pagina prevalga sull'interesse di chi visita a non essere filmato mentre la usa.
Quella valutazione diventa più difficile quanto più la riproduzione cattura, ed è per questo che quello che uno strumento registra di serie conta più del banner:
- I campi dei moduli. Una riproduzione che cattura quello che si digita cattura password, numeri di carta, risposte mediche e qualunque altra cosa qualcuno scriva. Nessun test di bilanciamento sopravvive a quello. Qualunque strumento che valga la pena usare maschera il contenuto dei campi e non lo offre come opzione.
- Le parole sulla pagina. Cosa separata da quello che le persone digitano, e più facilmente dimenticata. Una pagina di conto, una conferma d'ordine o una cartella clinica mostrano dati personali a chi visita, e una riproduzione che li mostra a te è una copia di quei dati dentro un altro sistema.
- Le categorie particolari. Salute, religione, orientamento sessuale, appartenenza sindacale. Se una pagina può mostrare una di queste, la riproduzione di quella pagina richiede un'altra conversazione, e di solito richiede di essere spenta per quella pagina.
Che cosa controllare in qualunque strumento tu usi
- I campi dei moduli sono mascherati, e si può spegnere? La risposta giusta alla seconda metà è no.
- Il testo della pagina viene catturato, ed è una tua decisione? Uno strumento che la prende per te ha fatto una scelta giuridica per conto tuo.
- Puoi escludere una pagina o un elemento? Ti servirà per almeno una pagina.
- Archivia un identificativo sul dispositivo? Se lo fa, il banner non è facoltativo.
- Rispetta il Global Privacy Control? Il GPC è un rifiuto giuridicamente riconosciuto in diversi stati degli USA, e arriva come un'intestazione di richiesta che il tuo strumento la legga o no.
- Per quanto tempo vengono tenute le registrazioni, e ne puoi cancellare una?
Come risponde Skomi
Il contenuto dei campi dei moduli non viene mai registrato, in nessuna configurazione. Non è un valore di serie nella registrazione di sessione di Skomi; non c'è nessuna impostazione, in nessuna modalità.
Quanto testo della pagina viene catturato è una scelta per singolo sito, e ci sono tre risposte. Strict non cattura nessun testo, quindi una riproduzione mostra impaginazione, struttura e interazione senza parole. Balanced maschera quello che sembra un dato personale: i numeri e qualunque cosa somigli a un indirizzo email. Relaxed cattura il testo della pagina ed è il valore di serie, con il ragionamento che una riproduzione senza parole dentro è difficilissima da usare. Un sito le cui pagine mostrano dati personali vuole una delle prime due, e quella è una decisione che può prendere solo chi possiede il sito.
Qualunque cosa si può escludere. Un attributo data-skomi-mask maschera una regione e data-skomi-unmask ne esenta una al suo interno, la classe skomi-block impedisce del tutto che un elemento venga catturato, e un sito può elencare selettori CSS che non vengono mai registrati.
Il Global Privacy Control è rispettato per singolo sito, ed è spento finché non lo accendi. Quando è acceso, a una richiesta che porta Sec-GPC: 1 si risponde senza registrare niente, verificato sul server, quindi funziona per ogni browser indipendentemente da che cosa la pagina abbia in cache. Si applica soltanto alle registrazioni e alle mappe di calore: la metà dell'analitica non archivia nessun indirizzo e nessun identificativo fra siti, cosa che la rende un cattivo bersaglio per un segnale rivolto al tracciamento fra contesti.
Sul dispositivo di chi visita di serie non resta niente, quindi con l'impostazione di serie la prima domanda qui sopra non si pone nemmeno. La seconda sì: ti serve comunque una base per registrare, e quella è tua da reggere e non nostra.
Le registrazioni scadono prima di ogni altra cosa. La finestra fa parte del tuo piano ed è la più corta dei tre periodi di conservazione che Skomi tiene.
Le mappe di calore sono la stessa domanda, più piccola
Una mappa di calore è costruita a partire dalla stessa cattura (clic, movimento e profondità di scorrimento contro una pagina), quindi la questione dell'archiviazione è identica. Quello che differisce è la seconda domanda: un aggregato di dove hanno cliccato mille persone è molto più facile da giustificare di un video di una di loro, e una mappa di calore costruita senza archiviazione sul dispositivo e senza testo di pagina è quanto di più discreto la misurazione del comportamento riesca a essere.
Se stai soppesando se far girare la riproduzione, quella differenza è quella utile: quando ti servono le registrazioni di sessione e quando no.
Behavior è dove tutte e due girano dentro Skomi, con il mascheramento applicato ai campi di serie invece che come un'impostazione di cui ti devi ricordare. Se stai soppesando gli strumenti proprio su questo punto, Microsoft Clarity documenta un obbligo di consenso proprio per chi visita dall'UE, e che cosa succede senza.