Privacy e cookie: a che punto siamo?

Nel 2022 abbiamo parlato tantissimo di cookie e privacy, temi che – purtroppo o per fortuna – ci accompagneranno anche quest’anno. Vale quindi la pena ricapitolare le tappe e le ultime novità per capire come possiamo muoverci per tempo in questo mondo in continua (e rapida) evoluzione.

Stato dell’arte

Dal 1° di Gennaio 2023 negli USA sono entrate in vigore due nuove normative in materia di cookie, che vanno a inasprire le regole vigenti per garantire maggior tutela agli utenti del web. Il CCPA Californiano, in vigore dal 1° Gennaio 2020, è stato ampliato ed è diventato il California Privacy Rights Act (CPRA). In questo documento vengono, tra le altre cose, aggiunti diritti di modifica e limitazione di uso dei dati personali dell’utente e definito in modo dettagliato il testo da inserire all’interno del cookie banner. La Virginia è un altro stato americano che ha raggiunto la California nell’emanare una legislazione in materia di protezione dei dati personali, con il Virginia Consumer Data Protection Act (VCDPA), su certi aspetti ancora più simile alle leggi europee.

Rimanendo su suolo statunitense, è d’obbligo ricordare che si è sempre più vicino ad nuovo accordo sul trasferimento dei dati tra Stati Uniti ed Europa, definito dai più “Privacy Shield 2.0” (ne avevamo già parlato qui). Lo scorso ottobre il presidente Biden ha firmato l’ordine esecutivo con le modifiche necessarie per “tranquillizzare” l’Europa in merito al passaggio dei dati personali tra Europa e Stati Uniti. Ora la palla è di nuovo in campo europeo: la buona notizia è che finalmente la Commissione Europea ha avviato il processo per adottare una decisione di adeguatezza. Una volta terminato il processo di adozione della decisione, rispettando quanto verrà lì delineato, si potranno trasferire liberamente i dati personali verso gli USA. Il processo di adozione dovrebbe terminare entro la primavera di quest’anno, ma non vi sono ancora date certe.

Come noto, in Europa cresce sempre di più l’attenzione alla privacy degli utenti e con essa aumentano di conseguenza le sanzioni alle grandi aziende che non seguono la normativa.

Il 29 Dicembre 2022 il CNIL Francese ha sanzionato Apple per 8 milioni di euro per la mancata richiesta di consenso all’advertising su iPhone di utenti francesi. La causa scatenante risulta essere un problema della versione iOS 14.6, sulla quale venivano attivati annunci personalizzati e raccolte di dati a scopi profilati su App Store, senza alcun consenso da parte dell’utente.
Durante i primi giorni del 2023, un altro grande player del mondo tech è stato sanzionato: si tratta di Meta, che ha ricevuto una sanzione da 390 milioni di euro da parte della Commissione per la protezione dei dati (DPC), Autorità Garante Irlandese. L’Autorità Irlandese, dopo essersi confrontata con gli altri Garante Europei, infatti, ha contestato a Meta diverse violazioni del GDPR, ma in particolare è stato confermato che la società non può utilizzare la base giuridica del contratto per finalità di personalizzazione dei servizi di pubblicità e di advertising comportamentale. La società guidata da Mark Zuckerberg fa fronte alla decisione spiegando la sua posizione in questo post, nel quale approfondisce come vengono trattati i dati nel rispetto, a loro avviso, del GDPR.

Ci sono poi casi in cui a partire da una multa il player tecnologico si è evoluto, anche tramite un confronto con le Autorità privacy: è di pochi giorni fa l’annuncio che l’autorità per la protezione dati Belga (Belgian DPA) ha approvato il piano d’azione proposto da IAB Europe, che prevede l’aggiornamento delle policy e delle procedure del Transparency & Consent Framework (maggiori dettagli).
I cambiamenti legati alla privacy delle grandi piattaforme tecnologiche, definite Gatekeeper, saranno sempre più frequenti. La Commissione Europea sta infatti lavorando da Marzo 2022 al Digital Markets Act. Questa normativa ha lo scopo di ridisegnare lo scenario attuale delle Big Tech, per garantire maggior equità e sicurezza per gli utenti e le aziende che utilizzano i loro strumenti.

Alcune aziende stanno cercando di cavalcare l’onda delle sanzioni sulla privacy e la mancanza di informazioni, sviluppando nuove soluzioni tecnologiche che permettano l’utilizzo dei dati proprietari. Un esempio è quello di Shopify, citato anche dal Finacial Times. La piattaforma canadese di eCommerce, infatti, vuole aggregare i numerosi dati dei suoi utenti e fornire ai business interessanti audience da poter sfruttare su strumenti terzi di advertising come Meta. La soluzione Shopify Audiences – attualmente ancora in fase di sviluppo – si ispira al modello già esistente di Amazon, ma non è ancora chiaro se potrà essere sfruttata a livello europeo.

Google intanto continua, lentamente, il suo passaggio a soluzioni privacy by design. Se Google Analytics 4 è sempre più strutturato e pronto per il passaggio che inizierà nell’estate 2023, la deadline per la rimozione dei cookie di terza parte da parte di Chrome è invece stata posticipata a Q3 del 2024. La scelta è dovuta soprattutto alle nuove soluzioni ad tech proposte nella Google Privacy Sandbox, le quali sono ancora in gran parte in revisione (anche da parte delle Autorità). Alcune delle proposte, infatti, non hanno superato la barriera dei regolatori della privacy europei (es: FLoC) causando numerosi ritardi e rielaborazioni. La personalizzazione degli annunci pubblicitari è il punto più critico di questo passaggio a cookieless, per cui Google sta cercando di far affermare sul mercato le proprie proposte cercando il miglior compromesso tra privacy dell’utente e performance delle attività pubblicitarie.
Tra le altre in test troviamo inoltre Google Pair (Publisher Advertiser Identity Reconciliation), un nuovo identificativo che ambisce a riconciliare i dati di prima parte rispettando al contempo la privacy dell’utente.

Su cosa concentrarsi nel 2023

Considerando i cambiamenti avvenuti lo scorso anno e lo stato attuale del digital marketing, pensiamo che il 2023 sposti l’attenzione sempre di più verso l’aspetto tecnico. Sarà probabilmente un anno di forte studio e testing delle nuove tecnologie ed è per questo che risulterà vitale l’unione tra il mondo advertising e quello informatico.
La mancanza di parte del dato fin qui raccolta verrà colmata con algoritmi di machine learning, i quali però devono essere ben configurati per poter essere di supporto e fornire risposte corrette.

I dati di prima parte che riusciremo a raccogliere saranno preziosi, vogliamo quindi darvi alcuni consigli su come sfruttarli al meglio:

• Prevedere una formazione GA4 per tutte le figure che utilizzano dati di Google Analytics, adattando possibilmente i corsi ai diversi interlocutori. Sfruttare poi il passaggio a GA4 per rinnovare la strategia di raccolta dato, ottimizzandola sulla nuova struttura. 
• Considerare l’utilizzo di uno strumento di monitoraggio dei dati e della compliance, per garantirne la correttezza in ogni momento. Uno di questi tool è Data Kojak, creato a partire dal know-how di Webranking.
• Unificare i dati dalle diverse fonti in una Customer Data Platform per poterli sfruttare nella creazione di audience e molto altro.
• Investire su UX, UI e personalizzazione del contenuto del sito e delle app, per migliorare e consolidare il rapporto con i propri clienti e aumentare il grado di fiducia.