Sello de confianza VeriSign (DigiCert)

El sello de confianza VeriSign/DigiCert es ampliamente libre de cookies. Su funcionamiento principal consiste en cargar una imagen desde seal.digicert.com, lo que no requiere cookies. Algunas implementaciones heredadas o dinámicas pueden establecer una cookie técnica de corta duración para almacenar en caché el estado del sello o verificar el certificado, pero no se utiliza para publicidad ni rastreo conductual.

Generalmente no se requiere consentimiento para un sello estático cargado bajo interés legítimo. Dado que el sello sirve a un propósito genuino de comunicación de seguridad y no realiza rastreo conductual, la mayoría de las Autoridades de Protección de Datos aceptan el interés legítimo como base legal. Sin embargo, si el sello establece cookies no esenciales, las normas de ePrivacy exigen consentimiento previo para esas cookies.

La base legal adecuada bajo el RGPD es el interés legítimo (artículo 6(1)(f)). El operador del sitio web tiene un interés genuino en mostrar la validez del certificado SSL a los visitantes, y ese interés no queda anulado por los derechos de los visitantes dado el mínimo de datos implicados. Se debe documentar una breve Evaluación de Interés Legítimo (EIL) para respaldar esta base.

Sí. DigiCert es una empresa estadounidense y la carga del sello transmite la dirección IP y el User-Agent del visitante a servidores de DigiCert en EE.UU. Esta es una transferencia a un tercer país en virtud del Capítulo V del RGPD. La transferencia debe estar cubierta por el Marco de Privacidad de Datos UE-EE.UU. o Cláusulas Contractuales Tipo, y debe divulgarse en su política de privacidad.

No suele requerirse una EIPD completa para un sello estático, ya que representa un riesgo bajo para las personas: sin perfilado, sin rastreo conductual y solo se transmite un dato mínimo (dirección IP). Sin embargo, la transferencia de datos a EE.UU. debe evaluarse como parte de su evaluación de impacto de transferencias. Documente el tratamiento en su Registro de Actividades de Tratamiento.

Para una implementación conforme: documéntelo en su Registro de Actividades de Tratamiento bajo interés legítimo; divulgue la transferencia de datos de DigiCert a EE.UU. en su política de privacidad con la garantía aplicable (CCT o Marco de Privacidad de Datos UE-EE.UU.); liste seal.digicert.com en su aviso de cookies; realice una breve Evaluación de Interés Legítimo; y considere alojar localmente una imagen estática del sello para eliminar el flujo de datos a terceros.

Las alternativas respetuosas con la privacidad incluyen: (1) alojar localmente una imagen estática del sello descargada de DigiCert, eliminando la solicitud de red a terceros; (2) usar un indicador de confianza basado en texto o solo CSS que no cargue recursos externos; (3) mostrar el icono de candado en la barra de direcciones del navegador, que es integrado y no requiere ningún servicio de terceros. Cualquier alternativa que evite solicitudes externas elimina completamente el problema de transferencia de datos.

En su política de cookies o aviso de privacidad, agregue una entrada bajo "Seguridad" o "Servicios de terceros": nombre el servicio como DigiCert Site Seal (anteriormente VeriSign), descríbalo como un sello de confianza que contacta seal.digicert.com para verificar su certificado SSL, indique que la dirección IP del visitante se transmite a DigiCert en EE.UU., especifique la base legal como interés legítimo, y note que no se establecen cookies de rastreo. Actualice este aviso cuando cambie el proveedor del sello o los dominios.