cookie nova zakonodaja

Praviloma se podatki o seji shranjujejo na strežniku, piškotek pa služi identifikaciji posameznega odjemalca (in torej povezavo s podatki, shranjenimi na strežniku).

Namesto piškotkov lahko sicer identifikacijo hraniš v Session ID GET parametru ( Session ID - Wikipedia, the free encyclopedia) in se tako ogneš uporabi piškotkov - vendar je ta pristop z varnostnega vidika precej nepriporočljiv.

Saj se prenaša...ob vsakem zahtevku na stran se zraven pošljejo tudi cookie-ji za to stran, če seveda obstajajo.

Jezus, kakšno nepotrebno picajzlanje.

Na srečo te napake v ZEKOM-1 ni, če se ne motim.

Sicer pa se lahko enako vprašamo tudi, ali se pri FTPju prenašajo datoteke.

Pol če prav razumem ob uporabi seje teh problemov ni?

HardPhuck, sej ne razlagam forumasem, moj point je bil, da ce se pise zakon bi se mogu crno/belo ne pa neki napovprek brez da se preveri pol. In zakon, ki je omenjen, se ne nanasa na babice ampak mislim da bolj na web developerje. rok 1mesec je pa sploh najboljsa pogruntavscina :)

Sicer si ti bolj v pravu, ampak zihr bo slej k prej kak primer tud k bo padu na takih fintah. Ce bi pirceva malo bolj definirala dolocene stvari, in malo bolj "skoparila" pri drugih, bi vsi bolje ziveli. Pa se balkanski mamilasi bi sedeli :)

biasko je 3. jun 2013 ob 22:35 izjavil:

Živjo!

Eno vprašanje

Jaz uporabljam COOKIE in SESSION, da uporabniku onemogočim večkratni odgovor na anketno vprašanje. Cookie ima rok trajanja 24ur. Vem, da lahko vsak pobriše piškotek in zopet glasuje ampak tako pač imam.
Zanima me ali je to sporno oz. moram uporabnika obvestiti? Jaz mislim da ne.

Seveda ga moraš.

blackbfm je 4. jun 2013 ob 01:15 izjavil:

... Cookieji se prenasajo znotraj HTTP protokola kot stringi.

Mas mal pomesane pojme, protokol so statusne kode in ukazi get/post, struktura itd. Vsebina cookija pa je v bistvu datoteka.

Se enkrat nastudiri...

Štekam kaj hočeš povedat, samo se motiš. Napačne definicije maš v glavi, kaj je datoteka in kako deluje cookie...ni to nek random generiran string v smislu da se pojavi na tvojem kompu iz lufta..gre za ascii enkodiran podatek, ki se (če ne poteče takoj) shrani na disku..torej

Tudi session cookie naj bi bil sporen :-( Imam pa recimo ASP stran, ki jih sama postavi, tudi če jih ne uporabljam. Smatram, da je potem del tiste izjeme: "... razen piškotkov, ki naj bi bili nujno potrebni za delovanje strani".

Ja to je pa pooblaščenka rekla da je pa dovoljen oz. še bolje da narediš tako, da lahko zavrne in postavi piškotke, zavrne in vedno teži ali sprejme.

LOL, premalo ljudi piše o tem, kakšna kozlarija brez primere je to.

Dovoljene so določene vrste piškotkov. In sploh zadeva ni tako težko izvedljiva.
Če bi si vsaj kdo od vas dejansko prebral Smernice Informacijske Pooblaščenke, bi vsaj pol vprašanj na forumu dobilo odgovor.
Na 9. strani vam točno piše za katere piškotke je potrebna privolitev in za katere ne.

Zakaj bi želel alternativo Google analytics? Je res tako težko na dnu strani naredit frame in opozorit uporabnika, katere piškotke uporablja spletno mesto in zakaj?
Na spletu že imaš 1000 skript, da ne govorim o pluginih za Joomlo, WP in podobne, ki ti olajšajo delo.

Izjem je več kot samo avtentikacijski.

157. člen ZEKom-1 določa dve izjemi, pri katerih lahko upravljavec spletne strani uporablja piškotke, ne da bi od uporabnika vnaprej pridobil soglasje za uporabo:
1. piškotki, ki so potrebni izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, in
2. piškotki, ki so nujno potrebni za zagotovitev storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata.

Primeri piškotkov, pri katerih lahko govorimo o izjemah, kjer ni potrebna vnaprejšnja privolitev uporabnika:

Sejni piškotki, ki so uporabljeni za to, da si spletno mesto zapomni uporabnikov vnose v spletne obrazce, nakupovalno košarico, ipd. V tem primeru uporabnik aktivno vpisuje vsebino, oziroma jasno izrazi željo s tem, da klikne na gumb »dodaj v košarico« ali podobno. Taki piškotki so nujno potrebni, da si stran zapomni in izvede uporabnikovo zahtevo.
Piškotki za avtentikacijo uporabnika, ki so potrebni, da si spletno mesto uporabnika zapomni, potem, ko se je prijavil v storitev (npr. spletna banka, storitve, kjer se uporabnik vpiše s svojim uporabniškim imenom in geslom …). Piškotek je potreben, da uporabnik pridobi dostop do omejene vsebine. V nasprotnem primeru bi se uporabnik moral vpisati na vsaki pod-strani spletnega mesta. Običajno je za avtentikacijo dovolj sejni in ne trajni piškotek, zato uporaba trajnega piškotka, ki se ne izbriše, ko se uporabnik izpiše, ne more šteti za izjemo.
Piškotki, ki so potrebni zaradi varnosti in zavarovanja (npr. zaznavajo napačne vpise in tako preprečujejo zlorabe sistemov za vpisovanje in registracijo). Taki piškotki imajo običajno daljši rok trajanja, prav zaradi svojega namena.
Piškotki, ki omogočajo predvajanje multi-medijskih vsebin in so potrebni zato, da se predvaja video ali avdio vsebina na spletnem mestu (t. i. flash cookies, ker je najpogostejša tehnologija za predvajanje Adobe Flash). Ko je vsebina predvajana, naj bi takemu piškotku prenehal rok trajanja, saj ni več potreben za izvedbo storitve. Če se piškotek uporablja še za kak drug namen, ne more več veljati izjema.
Piškotki za prilagoditev nastavitev uporabnikovim željam, kot so nastavitve jezika ali način razvrščanja rezultatov/vsebine. Uporabnik tako zahtevo nedvomno izrazi z izborom določenega ukaza in brez piškotka tega ni moč izvesti. Če spletno mesto uporablja trajne piškotke, ki ne prenehajo po koncu seje, naj uporabnika o tem posebej obvesti (npr. ob izbiri določene preference naj bo obvestilo, da bo zato naložen piškotek).
Piškotki, ki so vezani na vtičnike (social media plug-in) družbenih omrežij in storitev: družbena omrežja omogočajo spletnim mestom, da v svojo vsebino integrirajo njihove produkte – tako lahko uporabniki delijo vsebine s svojimi prijatelji (različni gumbi, kot so všeč mi je, deli vsebino, priporoči …). Vtičniki uporabljajo piškotke, da lahko družbena omrežja identificirajo svoje člane, ko ti pridejo na spletno mesto z vtičnikom. Take piškotke lahko razumemo kot izjemo le pri uporabnikih, ki so prijavljeni v družbeno omrežje in hkrati obiščejo tudi druga spletna mesta, ki vsebujejo vtičnike. Piškotek mora prenehati, ko se uporabnik izpiše iz omrežja. Pri uporabnikih, ki niso prijavljeni v družbeno omrežje, ali sploh niso člani, takih piškotkov ne moremo šteti kot izjemo – za nalaganje piškotkov s strani vtičnikov je potrebno soglasje teh uporabnikov.

(Vir:Smernice Informacijske Pooblaščenke)

Je pa res, da so te smernice napisane zelo smešno in na nek način tudi laično. Ampak kaj želimo zakone je potrebno spoštovat.

Po nasvetu (Zige in nekaterih drugih uporabnikov) sem na Sublight strani privzeto izklopil vse cookie-je, tudi ASP.NET session cookie. Za to sem na žalost porabil vsaj kakšne 4 ure dela :(

F12 -> resources (Chrome)

Upam, da ne bom zaradi Musarjeve še na slo-techu klikal po dovoljenjih za piškotke. Jaz dovoljujem piškotke že vnaprej, samo tole klikanje je pa "tu mač". :)

Saj to je možno v brskalniku naštimat. Bi bilo dobro obvestit novo informacijsko pooblaščenko o zablodi Musarjeve in njeno željo po karierizmu. Podobno se je zgodilo, ko so v nekem obdobju njene vladavine (Musarjeve) morali vsi d.o.o. sestaviti Pravilnik o varovanju osebnih podatkov. K sreči je nekdo od prostojnih to videl in zahteval - spemenil zakon tik pred pričetkom veljavnosti.

Kako zaščititi ljudstvo pred neumnostmi raznih ministrstev in drugih nadebudnežev? :)

AmokRun je 18. feb 2015 ob 11:46 izjavil:

Vidim, da slo-tech uporablja google analytics pa nima nobenega opozorila glede piškotkov. Zakaj?

Zato ker v kodi s parametrom 'storage': 'none' prepovedo nastavljanje piškotkov v brskalniku:

<script>
window.ga=window.ga||function(){(ga.q=ga.q||[]).push(arguments)};ga.l=+new Date;
ga('create', 'UA-53250-3', {'storage': 'none', 'clientId': 'xxxxxxxxxxxxxxxxxxxxxx'});
ga('send', 'pageview', {'anonymizeIp': true});
</script>

V končni fazi pa je potem od Googla odvisno, ali bo to upošteval ali ne.
Google nima popolne analitike, slo-tech pa vseeno lahko sledi uporabnikom prek clientId parametra.

Naš vrli ZEKOM-1 pa izrecno prepoveduje le piškotke, ne pa tudi drugih mehanizmov shranjevanja podatkov v brskalniku (vsebinsko je isto, a ponesrečeni zakon bi se moral izogibati imena "piškotki") in browser fingerprinting-a.

urli je 18. feb 2015 ob 14:34 izjavil:

Teh birokratskih bedarij se do opozorila pač ne mislim iti...

Misliš, da te bodo najprej opozorili?

Koliko pa je kazen?

Ziga Dolhar je 18. feb 2015 ob 14:51 izjavil:

stb je 18. feb 2015 ob 14:42 izjavil:

Naš vrli ZEKOM-1 pa izrecno prepoveduje le piškotke, ne pa tudi drugih mehanizmov shranjevanja podatkov v brskalniku (vsebinsko je isto, a ponesrečeni zakon bi se moral izogibati imena "piškotki") in browser fingerprinting-a.

Ne bo držalo - 157. člen se ne omejuje le na "piškotke", ampak velja za kakršnekoli načine shranjevanja podatkov na terminalski opremi uporabnika ter dostopanja do njih.

Pa tudi če tega člena sploh ne bi bilo - v primeru kakršnekoli obdelave osebnih podatkov (bodisi s klasičnimi piškotki ali bolj zapletenimi metodami, npr. browser fingerprintingom) pridejo v poštev splošna določila Zakona o varstvu osebnih podatkov, ki kot pravilo zahtevajo predhodno soglasje.

Vem, da prepoveduje zelo na široko, opisno. Ime "piškotek" je omenjen le v naslovu člena, ampak tudi to ne bi smelo biti, ker si na podlagi tega marsikdo razlaga, da se zakon nanaša samo na piškotke. Nikjer ni poudarjeno "piškotki in podobne tehnologije".

noraguta je 18. feb 2015 ob 15:34 izjavil:

V duhu zakona bi bilo uporabnika treba obvestiti da se bodo na njegov terminal prenesli text, slike, javascript, etc ... Za vsako reč posebej.

Jp, vse to se lahko zlorabi za sledenje uporabnikom (določanje enoličnih imen in dolg cache timeout, potem pa merjenje časa za nalaganje posameznega elementa, na podlagi česar se lahko sklepa ali je dotični brskalnik stran že obiskal ali ne).

Pa DNS cache hit/miss se tudi da zlorabiti v te namene.