# Direttiva EU sui cookie **URL:** \ **Category:** IT\ **Created:** [March 10, 2011, 10:36am UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347 "2011-03-10T10:36:35Z")\ **Posts on this page:** 7\ **Page:** 1
**Author:** ![dubstep](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/d/cdc98d/32.png) [@dubstep](https://www.ruby-forum.com/u/dubstep)\ **Post date:** [March 10, 2011, 10:36am UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/1 "2011-03-10T10:36:35Z")
Apprendo oggi leggendo slashdot che il 25 maggio entrerà in vigore una direttiva dell’EU che tra le altre cose regola l’utilizzo dei cookie. E’ stata pensata più che altro per impedire il tracciamento degli utenti a scopo pubblicitario, ma di fatto ha ripercussioni un po’ ovunque, anche sul classico Remember Me delle login. Vi do come riferimento [http://www.carmelofontana.com/2011/02/come-cambia-la-disciplina-dei-cookies.html](http://www.carmelofontana.com/2011/02/come-cambia-la-disciplina-dei-cookies.html) che spiega molto bene di quel che si tratta. Da quel che ho letto in giro difficilmente verrà fatta rispettare subito, perché come hanno capito anche i legislatori ci sono non pochi problemi tecnici ed organizzativi da risolvere, non ultimo quello che i framework comunemente usati si basano su un uso alquanto libero dei cookie e che andranno adeguate anche tutte le vecchie applicazioni già in uso (qui potrebbe aprirsi un bel mercato, anche se immagino che tanti nostri clienti preferiranno lasciar tempo al tempo). Passo quindi a chiedervi quali potrebbero essere le ripercussioni sul modo di progettare le applicazioni Rails. Inizio io con un esempio e due considerazioni. Esempio: rubyforum imposta due cookie agli utenti non loggati. Negli header della risposta che si vedono con wget -S [Rails - Ruby-Forum](http://www.ruby-forum.com/forum/rails) ci sono Set-Cookie: return\_to=%2Fforum%2Frails; path=/ Set-Cookie: \_ruby-forum.com\_session=; path=/; expires=Sun, 20-Mar-2011 09:26:17 GMT; HttpOnly e questo non sarebbe più permesso ai siti delle aziende EU. Considerazioni: 1. Non si dovrebbe più assegnare dei cookie (cookie[:xyz] = …) a meno di aver avuto l’ok esplicito dell’utente. 2. Si dovrebbe disabilitare qualsiasi session store fino all’ok dell’utente, ma non mi pare che si possa disabilitarlo solo per certe rotte. Quindi l’unica soluzione praticabile fin da ora mi pare che sia confinare gli utenti su un sito statico fino al loro consenso all’uso dei cookie, che sarà un link che porterà al sito dinamico. Ma come fare a bloccare i bookmark a pagine generate da Rails? Inoltre questa sarebbe la fine delle home page con contenuti dinamici: bisognerebbe staticizzarle, generandole magari anche ogni minuto con un job in background. E temo che questo sia solo l’inizio. Chi vuol dare una mano a fare l’elenco di quello che si dovrà cambiare nelle nostre applicazioni quando verrà fatta rispettare la direttiva? Se non altro il test di conformità sarà semplice: si apre firebug con firecookie e se si vede apparire un cookie prima del consenso, allora si saprà che non siamo a norma. Paolo ---
**Author:** ![pm3](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/p/a87d85/32.png) [@pm3](https://www.ruby-forum.com/u/pm3)\ **Post date:** [March 10, 2011, 10:42am UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/2 "2011-03-10T10:42:33Z")
On Mar 10, 2011, at 10:36 AM, Paolo M. wrote: > CUT Delirante. Io sono incorporato negli States, direi che me ne frego, o violo la legge. Fa molto piacere notare che non solo l’Europa e i vari stati componenti falliscono sotto ogni punto di vista nella creazione di un ecosistema fiscale startup-friendly, ma riescono anche a dare insperati vantaggi ai paesi civili, in modo da rendere l’apertura di startup in Europa, come dire … improbabile. Pazienza. ngw – [926381, 23200231779, 1299022, 1045307475].collect { |a| a.to\_s( 36 ) }.join( " " ) Nicholas W. (ngw) removed\_email\_address@domain.invalid > **[NoFeed Ltd ~ Nicholas Wieland (ngw)](https://nofeed.org/)** > > Nicholas Wieland, freelance Ruby and Ruby On Rails developer, DevOps, project and egineering manager. Story, informations, contacts. ---
**Author:** ![pm3](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/p/a87d85/32.png) [@pm3](https://www.ruby-forum.com/u/pm3)\ **Post date:** [March 10, 2011, 10:47am UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/3 "2011-03-10T10:47:34Z")
> > CUT > Delirante. > Io sono incorporato negli States, direi che me ne frego, o violo la legge. Stavo pensando la stessa cosa:-) > Fa molto piacere notare che non solo l’Europa e i vari stati componenti > falliscono sotto ogni punto di vista nella creazione di un ecosistema fiscale > startup-friendly, ma riescono anche a dare insperati vantaggi ai paesi civili, in > modo da rendere l’apertura di startup in Europa, come dire … improbabile. Eh, ‘civile’… ognuno ha le sue cazzate, perche` il mondo e` pieno di cretini, ovunque tu vada:-) Da bravo pessimista, potrei citare le tante cose stupide di tutti i paesi che ho vissuto. – David N. Welton [http://www.welton.it/davidw/](http://www.welton.it/davidw/) [http://www.dedasys.com/](http://www.dedasys.com/) ---
**Author:** ![pm3](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/p/a87d85/32.png) [@pm3](https://www.ruby-forum.com/u/pm3)\ **Post date:** [March 10, 2011, 10:53am UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/4 "2011-03-10T10:53:14Z")
2011/3/10 Nicholas W. [removed\_email\_address@domain.invalid](mailto:removed_email_address@domain.invalid) > On Mar 10, 2011, at 10:36 AM, Paolo M. wrote: > > > CUT > > Delirante. sono d’accordo, anche perche’ la direttiva EU si presta a _molte_ interpretazioni nelle leggi nazionali che la dovranno implementare, tanto che ad esempio pare che alcuni stati ritengano gia sufficiente la normativa attuale… il testo della direttiva e’ il seguente: 1. Member States shall ensure that the storing of information, or the gaining of access to information already stored, in the terminal equipment of a subscriber or user is only allowed on condition that the subscriber or user concerned has given his or her consent, having been provided with clear and comprehensive information, in accordance with Directive 95/46/EC, inter alia, about the purposes of the processing. _This shall not prevent any technical storage or access for the sole purpose of carrying out the transmission of a communication over an electronic communications network, or as strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service_. L’ultima frase e’ importante, perche’ si presterebbe ad una interpretazione ‘ragionevole’ (non si deve chiedere il permesso per cookie che sono _necessari_ all’erogazione di un servizio _richiesto_ dall’utente) ma temo che qui si vedranno all’opera le diverse sensibilita’ dei governi nazionali (e allora poveri noi…) Luca ---
**Author:** ![pm3](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/p/a87d85/32.png) [@pm3](https://www.ruby-forum.com/u/pm3)\ **Post date:** [March 10, 2011, 11:45am UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/5 "2011-03-10T11:45:57Z")
On Thu, Mar 10, 2011 at 10:52 AM, Luca M. [removed\_email\_address@domain.invalid](mailto:removed_email_address@domain.invalid) wrote: > che qui si vedranno all’opera le diverse sensibilita’ dei governi nazionali > (e allora poveri noi…) sembra anche a me, ma rimane non chiaro cosa si configura come richiesta: - quando si registra, mettendo la checkbox in pi, 99% si - quando si registra, considerando che stato richiesto un servizio 90% si - quando non si registra ma compie un’azione esplicita, e.g. se permetti di creare dei doc online senza registrazione, quanto esplicito? - quando non si registra, compie un’azione ma non chiaro quanto esplicita (se manda un commento a un articolo, quanto esplicito?) – blog en: [http://www.riffraff.info](http://www.riffraff.info) blog it: [http://riffraff.blogsome.com](http://riffraff.blogsome.com) work: [http://cascaad.com](http://cascaad.com) ---
**Author:** ![pm3](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/p/a87d85/32.png) [@pm3](https://www.ruby-forum.com/u/pm3)\ **Post date:** [March 10, 2011, 12:14pm UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/6 "2011-03-10T12:14:47Z")
In ogni caso la “direttiva” deve essere recepita dal legislatore nazionale… quindi: staremo a vedere. Il 10 marzo 2011 12:10, Luca M. [removed\_email\_address@domain.invalid](mailto:removed_email_address@domain.invalid) ha scritto: > > > > Luca > > * * * > > Ml mailing list > removed\_email\_address@domain.invalid > [http://lists.ruby-it.org/mailman/listinfo/ml](http://lists.ruby-it.org/mailman/listinfo/ml) – Carlo P. email: removed\_email\_address@domain.invalid twitter: @carlopecchia ---
**Author:** ![pm3](https://www.ruby-forum.com/letter_avatar_proxy/v4/letter/p/a87d85/32.png) [@pm3](https://www.ruby-forum.com/u/pm3)\ **Post date:** [March 10, 2011, 12:10pm UTC](https://www.ruby-forum.com/t/direttiva-eu-sui-cookie/204347/7 "2011-03-10T12:10:23Z")
2011/3/10 gabriele renzi [removed\_email\_address@domain.invalid](mailto:removed_email_address@domain.invalid) > sembra anche a me, ma rimane non chiaro cosa si configura come richiesta: > > - quando si registra, mettendo la checkbox in pi, 99% si > - quando si registra, considerando che stato richiesto un servizio 90% si > - quando non si registra ma compie un’azione esplicita, e.g. se > permetti di creare dei doc online senza registrazione, quanto > esplicito? > - quando non si registra, compie un’azione ma non chiaro quanto > esplicita (se manda un commento a un articolo, quanto esplicito?) credo che lo spirito della direttiva fosse di _costringere_ i siti a rivelare se e quali meccanismi _di terze parti_ utilizzino per il tracking degli utenti, quindi (in teoria) nessuno dei casi che citi sarebbe dovuto rientrare nei casi previsti, purche’ tutti quei cookie siano gestiti dal servizio stesso a cui accedi. Purtroppo il condizionale e’ d’obbligo… Interessante anche questo commento: > **[Stupid EU cookie law will hand the advantage to the US, kill our startups...](https://techcrunch.com/2011/03/09/stupid-eu-cookie-law-will-hand-the-advantage-to-the-us-kill-our-startups-stone-dead/)** > > As if European startups weren't already at a notional disadvantage in addressing smaller markets, having access to less venture capital and being geographically spread out, a new EU-wide law proposes to hobble its innovation companies by slapping big... Luca