Newsgroup: it.diritto.internet
Titolo: Gli IP dei visitatori e privacy

  Nel mio sito, per raccogliere delle statistiche oppure per motivi di
sicurezza, posso memorizzare la lista degli accessi (IP, data, orario)
degli ultimi tot giorni (es.60)?
  Posso farlo, posso farlo solo se avverto gli utenti (come la
videosorveglianza nei negozi), o non posso farlo?
  Da un certo punto di vista la vedo come una sorta di violazione. Da un
altro punto di vista, mi dico: dall'IP non si può risalire all'identità
della persona se non a seguito di denuncia alle autorità. Quindi anche se
aggiungessi ai miei log versione del s.o., del browser, pagine visitate,
referrer, etc. questi dati non sarebbero cmq "anonimi"?
  Grazie
-- 
  Narcolessico
 
http://binaryunit.blogspot.com

Ho dimenticato di specificare che mi interessava anche la legislazione
internazionale: ponevo la domanda per un sito in inglese, i cui visitatori
non sarebbero solo italiani.
-- 
  Narcolessico
 
http://binaryunit.blogspot.com

 della persona se non a seguito di denuncia alle autorità.
La legge non distingue tra questi due casi, parla in modo generico di
persone identificabili.
-- 
 Candido

Candido ha scritto:

Vuoi dire che gli IP sono considerati identificabili, e dunque non è
possibile loggare senza il consenso (o senza avvertimento)?
-- 
  Narcolessico
 
http://binaryunit.blogspot.com

 possibile loggare senza il consenso (o senza avvertimento)?
Non è nulla di complicato, ti basta un'adeguata informativa, come è
ormai presente in molti siti, ad esempio forum ecc. dove vi è la
necessità di loggare quel tipo di dato.
-- 
 Candido

 degli ultimi tot giorni (es.60)?
Scusa chi te lo impedisce? sai che ci sono persone che lavorano
seriamente con i dati sensibili e non sanno nemmeno cosa sia la
196/2003?
Se proprio ti da problemi, nell'indirizzo ip cancella l'ultima cifra
cosi non è riconducibile a persona fisica
Saluti

 cosi non è riconducibile a persona fisica
Sì ma così le statistiche le posso fare, ma i motivi di sicurezza li
perdo...
-- 
  Narcolessico
 
http://binaryunit.blogspot.com



Approfitto del thread per una domanda, perché questa risposta mi pare abbia
una implicazione *enorme*.
Quando ci si collega ad un sito il proprio browser spedisce una quantità di
informazioni sul visitatore che sono rese immediatamente disponibili dal
server, come per esempio:
- il browser utilizzato
- il sistema operativo
- eventuali framework installati
- l'IP address utilizzato per collegarsi, il che non significa
necessariamente l'indirizzo del pc (es. se si usa un router ADSL per
condividere l'accesso ad internet l'IP comunicato è quello acquisito dal
router, comune agli n pc alle "spalle" del device stesso)
Affermare che è necessario una adeguata informativa per gestire queste
informazioni significa che TUTTI i siti internet dovrebbero dotarsi di un
avviso simile, in quanto le informazioni spedite dal browser sono fruibili
da tutti i server (Windows o Linux che sia). 
Anche senza la registrazione del log di accesso il sito web viene a
conoscenza di questi dati.
A maggiore ragione tutti i siti di analisi traffico, basati sulla
registrazione dei log di accesso, dovrebbero avere questa informativa, cosa
che non succede. Il primo servizio che mi viene in mente è  shinystats, 
http://www.shinystat.com/it/free/info_free.html
dove non mi sembra sia evidenziata la necessità di informare i propri
visitatori in merito alla creazione di statistiche sulle visite. Idem come
sopra Google Analytics.
Inoltre questa informativa dovrebbe essere nella homepage di ogni sito web,
ed in ogni caso sarebbe visualizzata in ritardo, in quanto già alla prima
connessione le informazioni del browser sono rese disponibili.
PaF

 sopra Google Analytics.
Io non prenderei posizioni paranoiche sulla questione :-)
Se non erro, la legge sulla privacy si riferisce alla custodia ed uso 
che si fa dei dati, non al loro rilevamento. Se cosi' fosse, qualsiasi 
dato statistico ne sarebbe soggetto, per cui anche dire che alla tale 
manifestazione di piazza (/opinioni/, quindi dati *sensibili*) c'erano 
300mila persone, significherebbe chiedere una liberatoria a ciascuno 
dei partecipanti.
Se i dati vengono utilizzati per costruire delle statistiche generiche, 
non credo ci sia alcuna restrizione. Poi, naturalmente, se faccio 
statistiche di un tal sito a tema che ricade nei dati sensibili, basate 
ad esempio sulla provenienza o sull'eta' o sul sesso o religione, ecco 
che mi creo da solo il problema :-)
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Server, Security

 sopra Google Analytics.
Intervengo solo sulla questione Google Analytics, perché ti sbagli !
Seppure penso non lo faccia quasi nessuno, le condizioni d'uso delle
statistiche d'uso di Google da implementare in un proprio sito
prevedono che tu metta la seguente dicitura :
" Questo sito web utilizza Google Analytics, un servizio di analisi
web fornito da Google, Inc. ("Google"). Google Analytics utilizza dei
"cookies", che sono file di testo che vengono depositati sul Vostro
computer per consentire al sito web di analizzare come gli utenti
utilizzano il sito. Le informazioni generate dal cookie sull'utilizzo
del sito web da parte Vostra (compreso il Vostro indirizzo IP)
verranno trasmesse a, e depositate presso i server di Google negli
Stati Uniti. Google utilizzerà queste informazioni allo scopo di
tracciare e esaminare il Vostro utilizzo del sito web, compilare
report sulle attività del sito web per gli operatori del sito web e
fornire altri servizi relativi alle attività del sito web e
all'utilizzo di Internet. Google può anche trasferire queste
informazioni a terzi ove ciò sia imposto dalla legge o laddove tali
terzi trattino le suddette informazioni per conto di Google. Google
non assocerà il vostro indirizzo IP a nessun altro dato posseduto da
Google. Potete rifiutarvi di usare i cookies selezionando
l'impostazione appropriata sul vostro browser, ma ciò potrebbe
impedirvi di utilizzare tutte le funzionalità di questo sito web.
Utilizzando il presente sito web, voi acconsentite al trattamento dei
Vostri dati da parte di Google per le modalità e i fini
sopraindicati". "
Sinceramente trovo inutile farsi le paranoie per i log di IP di un web
server, ci sono da quando esiste internet e non vedo come possano
ledere il tuo diritto alla privacy se non vengono incrociati con altri
dati.
Gabriele

 dati.
Io sono d'accordo su tutto, il mio post voleva esplicitare le conseguenze
di quanto ha scritto Candido, se veramente l'IP da solo dovesse essere
considerato un dato sensibile.
Ciao
PaF

 da tutti i server (Windows o Linux che sia). 
Ma io non ho mica affermato questo. :)
Quado io mi collego a un sito è indispensabile che il mio indirizzo ip
venga trattato poiché è così funziona la rete. Questo è diverso, però,
dal loggare gli indirizzi ip che passano sul sito e conservare quelle
informazioni.
E sì, ci sarebbe da discutere sulla liceità del trattamento di molti
servizi online, almeno di quelli europei..
-- 
 Candido

 considerato un dato sensibile.
Mai detto che sia un dato sensibile..
-- 
 Candido

Candido ha scritto:

direi su qualsiasi servizio di statistiche
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"Being disintegrated makes me ve-ry an-gry!" <huff, huff>

Narcolessico wrote:

Io direi che: 
- puoi farlo e in qualche circostanza DEVI farlo (diritto//dovere).
- se dai ampia informativa ai tuoi utenti che lo fai e delle finalita'.
- sicuramente non tratti dati sensibili e forse neanche identificativi.
Ricorda che un indirizzo IP (alla pari di un numero di telefono) identifica
un terminale di rete, non una persona fisica (i fondamentali!). C'e' da
fare un lavoraccio (che compete all'autorita' giudiziaria nella maggior
parte dei casi) per sapere chi c'era ad una certa ora a fare certe cose
dietro ad un certo terminale di rete che corrispondeva ad un certo IP.
Diverso discorso se i tuoi utenti sono soggetti ad AUTENTICAZIONE UTENTE (e
quindi registri IP e nome utente appaiandoli di volta in volta). Anche in
questo caso comunque no problem se lo fai a fini leciti e se glielo dici
(informativa).
--
AB

 un terminale di rete, non una persona fisica (i fondamentali!).
La legge sulla praivasi non prevede che si debba risalire
necessariamente a una persona fisica, ma parla - genericamente - di
persona.
Non è comunque necessario che si arrivi a determinare chi fosse
materialmente al computer poiché l'identificazione della linea permette
di risalire alla persona - fisica o giuridica - intestataria della
stessa.
-- 
 Candido