Guida alla conformità alla legge giordana sulla protezione dei dati personali per il consenso ai cookie: Legge n. 24 del 2023 per gli editori nel 2026
La Giordania è diventata il primo paese del Levante a promulgare uno statuto completo di protezione dei dati con la Legge sulla protezione dei dati personali n. 24 del 2023, pubblicata nella Official Gazette il 17 settembre 2023, con un periodo di grazia di sei mesi che l'ha portata in vigore vincolante nel marzo 2024. La Legge è amministrata dal Consiglio per la protezione dei dati personali, un organo indipendente istituito dalla Legge sotto il Ministero dell'economia digitale e dell'imprenditorialità, con responsabilità di supervisione quotidiane e l'autorità di emettere regolamenti esecutivi, designare giurisdizioni adeguate per il trasferimento transfrontaliero e imporre sanzioni amministrative. Entro il 2026, il Consiglio è dotato di personale, i regolamenti esecutivi coprono la superficie procedurale e sostanziale, e l'applicazione giordana è passata da una possibilità teorica a un track record documentato. L'implicazione per gli editori è chiara: un atteggiamento di consenso ai cookie che funzionava sotto il sistema frammentato precedente al 2023 non è più sufficiente, e un atteggiamento che soddisfa il GDPR soddisferà il PDPL giordano solo quando l'integrazione tenga conto dei punti specifici in cui i regimi divergono.
Cosa richiede effettivamente il PDPL giordano
La Legge si applica al trattamento dei dati personali di individui ubicati in Giordania indipendentemente da dove sia stabilito il titolare o il responsabile del trattamento, e ai titolari e responsabili del trattamento ubicati in Giordania indipendentemente da dove si trovino gli interessati. L'ambito territoriale è quindi ampio e copre la maggior parte degli editori che servono lettori giordani; il caso limite più comune — un editore non giordano senza infrastruttura giordana ma con visitatori giordani — si risolve facendo riferimento al fatto che il titolare abbia attivamente diretto i servizi verso la Giordania. I dati personali sono definiti in senso ampio come qualsiasi informazione che identifichi o renda identificabile una persona fisica; i dati personali sensibili — inclusi i dati relativi all'origine etnica, all'opinione politica, alle convinzioni religiose, alla salute, alla vita sessuale, ai precedenti penali e ai dati finanziari — sono soggetti a una soglia di consenso più elevata e a protezioni procedurali aggiuntive.
La Legge stabilisce le basi legittime per il trattamento, il set standard di diritti degli interessati — accesso, rettifica, cancellazione, limitazione, opposizione e portabilità — un quadro di responsabilità titolare-responsabile del trattamento con nomina obbligatoria del responsabile della protezione dei dati per le categorie a rischio più elevato, obblighi di notifica di violazioni al Consiglio entro 72 ore dalla presa di conoscenza, controlli sui trasferimenti transfrontalieri basati sulle decisioni di adeguatezza del Consiglio o sulle garanzie approvate, e un regime di sanzioni amministrative con sanzioni fino a JOD 1 milione per violazione più sanzioni penali per le categorie più gravi, incluso il trasferimento transfrontaliero non autorizzato e il trattamento di dati sensibili senza base appropriata.
Come il PDPL tratta il consenso ai cookie
Il PDPL giordano non contiene una disposizione separata in stile ePrivacy sui cookie; i cookie e le tecnologie analoghe di archiviazione e accesso rientrano nel quadro generale del consenso. Lo standard è un accordo esplicito, libero, specifico e informato evidenziato da un atto affermativo — la famiglia di requisiti che il GDPR ha stabilito come riferimento globale e che la Giordania ha importato con il proprio strato procedurale. Il Consiglio, nelle sue linee guida emesse, ha confermato che le caselle pre-spuntate, il consenso implicito dedotto dalla navigazione continuata e i banner di consenso raggruppato non soddisfano la soglia della Legge. Ciò posiziona la Giordania in linea con la traiettoria globale e significa che l'atteggiamento che gli editori già mantengono per il traffico SEE è il punto di partenza corretto per il traffico giordano.
L'effetto pratico è che i cookie e le tecnologie analoghe che non sono strettamente necessari per fornire il servizio che l'utente ha attivamente richiesto non devono essere impostati prima che l'utente abbia dato il consenso. I cookie strettamente necessari — identificatori di sessione, contenuti del carrello, token di sicurezza, cookie di bilanciamento del carico — possono essere impostati sulla base che l'utente ha attivamente richiesto il servizio. Tutto il resto — analisi, pubblicità, personalizzazione, test A/B, riproduzione di sessione e qualsiasi tag di terze parti — richiede il consenso preventivo.
Come il PDPL giordano diverge dal GDPR in pratica
Tre differenze contano quando si collega un CMP. In primo luogo, il PDPL richiede ai titolari del trattamento che trattano i dati personali di più di una soglia di interessati definita dal Consiglio, o che trattano dati personali sensibili, di registrarsi presso il Consiglio e ottenere una licenza di trattamento — un'autorizzazione documentata che deve essere rinnovabile nel ciclo definito dal Consiglio e presentata su richiesta. In secondo luogo, le regole del PDPL sui trasferimenti transfrontalieri richiedono che il Consiglio designi le giurisdizioni di destinazione; i trasferimenti verso giurisdizioni non designate richiedono il consenso esplicito dell'interessato, garanzie contrattuali approvate dal Consiglio o una delle deroghe di legge restrittive. In terzo luogo, il PDPL impone la nomina obbligatoria di un responsabile della protezione dei dati per i titolari oltre la soglia definita dal Consiglio, con il DPO nominato nei fascicoli del titolare presso il Consiglio e che funge da punto di contatto per le richieste degli interessati e le domande del Consiglio.
Come appare un banner per cookie conforme ai sensi del PDPL
I requisiti tecnici convergono con ciò che ogni CMP moderno già produce, ma l'etichettatura, la documentazione e il registro dei consensi devono riflettere le specificità giordane. Il banner di primo livello deve presentare all'utente una scelta reale — accetta, rifiuta, gestisci — dove l'opzione di rifiuto è almeno altrettanto prominente dell'opzione di accettazione. Il consenso raggruppato è vietato, quindi il secondo livello deve consentire l'opt-in per categoria coprendo come minimo le analisi, la pubblicità e qualsiasi trattamento dipendente dal trasferimento transfrontaliero. Le categorie devono essere per impostazione predefinita disattivate; il banner non deve caricare tag finché l'utente non li ha attivati in modo affermativo.
L'informativa sulla privacy accessibile dal banner deve identificare il titolare del trattamento, il numero di registrazione del titolare presso il Consiglio ove applicabile, le categorie di dati personali raccolti, la base giuridica per ogni finalità di trattamento, il periodo di conservazione dei dati, le categorie di destinatari compresi eventuali responsabili del trattamento situati fuori dalla Giordania, i diritti dell'interessato ai sensi della Legge, le coordinate del DPO dove la nomina è obbligatoria e le coordinate del Consiglio per i reclami. Un'informativa che soddisfa lo standard dell'articolo 13 del GDPR si sovrappone sostanzialmente, ma le righe relative alla registrazione presso il Consiglio e al contatto del DPO devono essere aggiunte esplicitamente.
Il modello di integrazione che supera una revisione del Consiglio
L'implementazione di riferimento ha quattro parti mobili. La prima è un CMP che supporta l'opt-in per categoria con disattivazione predefinita e espone la scelta dell'utente tramite una stringa di consenso strutturata che l'editore può mantenere. La seconda è uno strato di caricamento dei tag — un gestore di tag lato server o un gateway nativo CMP — che applica rigorosamente lo stato del consenso prima che venga impostato qualsiasi cookie non essenziale. La terza è un registro dei consensi, archiviato lato server, che registra per ogni evento di consenso la scelta dell'utente per categoria, il timestamp, la versione del banner e un identificatore IP troncato o con hash, in modo che il titolare possa produrre il record su richiesta del Consiglio. La quarta è un percorso di revoca almeno altrettanto semplice della concessione originale — tipicamente un collegamento permanente di riapertura del banner nel piè di pagina.
- Tag di analisi — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — devono caricarsi solo dopo che la categoria analisi è stata concessa. Ogni piattaforma supporta una configurazione condizionata dal consenso che impedisce la scrittura di cookie prima che il gateway si apra.
- Tag pubblicitari — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, bidder programmatici di intestazione — devono essere analogamente subordinati al consenso; e dove il partner pubblicitario trasferisce dati fuori dalla Giordania verso una giurisdizione che il Consiglio non ha designato, la giurisdizione destinataria e la base del trasferimento devono comparire nell'informativa sulla privacy.
- Strumenti di riproduzione di sessione e mappe di calore — Hotjar, Microsoft Clarity, FullStory, Contentsquare — devono trovarsi dietro un gateway separato e più rigoroso perché il Consiglio si è allineato alle linee guida internazionali che indicano il rendering dei campi di input come una categoria che richiede consenso esplicito e granulare.
- Le comunicazioni sui trasferimenti transfrontalieri devono essere specifiche per ogni giurisdizione destinataria e fare riferimento alla decisione di adeguatezza del Consiglio, a una garanzia approvata o al consenso esplicito dell'interessato come base giuridica.
Convalida, registrazione e postura di audit per il 2026
Un deployment giordano difendibile nel 2026 deve superare quattro verifiche tecniche. In primo luogo, una sessione browser pulita servita da un indirizzo IP giordano deve produrre zero cookie non essenziali prima che il banner sia stato azionato. In secondo luogo, il percorso di rifiuto totale deve dare lo stesso risultato di una sessione senza azioni — nessun tag di analisi, nessun tag pubblicitario, nessuno script di riproduzione di sessione. In terzo luogo, un flusso di accettazione totale deve produrre solo i tag per i quali l'utente ha dato il consenso, e il registro dei consensi deve contenere un record corrispondente. In quarto luogo, un flusso di revoca deve interrompere immediatamente ulteriori attivazioni di tag, far scadere i cookie impostati durante la sessione acconsentita e attivare qualsiasi segnale di cancellazione o opt-out a valle richiesto dai partner destinatari.
Al di là delle verifiche tecniche, è la postura di registrazione e audit che rende un deployment difendibile. I titolari del trattamento che trattano dati personali di residenti giordani al di sopra delle soglie definite dal Consiglio devono possedere la relativa registrazione presso il Consiglio e la licenza di trattamento; il fascicolo di registrazione — insieme al registro dei consensi, all'informativa sulla privacy, ai risultati della valutazione d'impatto sulla protezione dei dati per i trattamenti ad alto rischio, alla documentazione della nomina del DPO e alle autorizzazioni per i trasferimenti transfrontalieri — costituisce la documentazione che il Consiglio può richiedere durante una revisione di conformità. Un CMP correttamente configurato con un registro lato server, uno strato di caricamento dei tag che applica lo stato del consenso, un'informativa sulla privacy che nomina ogni destinazione di trasferimento transfrontaliero, le righe di contatto del DPO e del Consiglio, e la documentazione di registrazione nel fascicolo è ciò che trasforma il PDPL giordano da incognita normativa in una parte difendibile della postura di consenso di un editore nella regione del Levante.