Da un provvedimento emanato dal Garante per la Privacy, è emerso che l'uso di Google Analytics non è completamente conforme al GDPR (Regolamento generale sulla protezione dei dati). Al centro del caso aperto dal Garante, il trasferimento dei dati dall'Europa agli Stati Uniti che avviene secondo modalità che non garantiscono un livello adeguato di protezione dei dati personali degli utenti.
Con questa valutazione si è conclusa l'istruttoria aperta dal Garante a danni di una società a cui è stato imposto lo stop all'uso di Google Analytics. Il provvedimento prevede un periodo di 90 giorni, entro i quali la società dovrà adeguare il trattamento dei dati secondo le garanzie del GDPR. Ma non è tutto. Il Garante per la Privacy ha voluto precisare che questo provvedimento potrà riguardare tutti gli altri siti pubblici e privati che utilizzano la piattaforma di analisi, potenzialmente sanzionabili in caso di non conformità.
Vediamo, nello specifico, l'irregolarità riscontrata dal Garante e quali sono i dubbi attuali sulla nuova versione Google Analytics 4 (GA4). In particolare, esistono alcune caratteristiche e configurazioni che potrebbero rimettere in regola i proprietari dei siti web che utilizzano questo servizio, ma sul quale non esiste ancora un consenso unanime.
Trasferimento e trattamento dei dati raccolti da Google Analytics
L'indagine del Garante ha fatto emergere che i gestori dei siti web che utilizzano la piattaforma di analisi raccolgono, mediante cookie, una serie cospicua di informazioni riguardanti gli utenti che visitano le pagine dei siti. Tra i molteplici dati raccolti, oltre alle informazioni relative al browser, al sistema operativo, alla risoluzione dello schermo, alla lingua selezionata, alla data e all'ora della visita al sito web, vi è anche l'indirizzo IP del dispositivo dell'utente. Come ribadito più volte dal Garante:
l'indirizzo IP costituisce un dato personale e anche nel caso fosse troncato non diverrebbe un dato anonimo, considerata la capacità di Google di arricchirlo con altri dati di cui è in possesso.
Ed è nella fase di trasferimento di tutti questi dati dall'Europa agli Stati Uniti che si verifica l'irregolarità denunciata dal Garante per la Privacy. Le autorità governative e le agenzie di intelligence statunitensi, infatti, avrebbero la possibilità di accedere ai dati personali trasferiti senza le medesime garanzie previste dalla normativa europea. Alla luce di questa considerazione, il Garante ha ritenuto che gli strumenti di trasferimento adottati da Google Analytics non garantiscono un livello adeguato di protezione dei dati personali degli utenti.
Si può utilizzare Google Analytics 4 (GA4) in conformità con il GDPR?
Una delle soluzioni che è possibile adottare per continuare tracciare e analizzare le performance dei siti web è quella di utilizzare la nuova versione della piattaforma, ossia Google Analytics 4. Questa versione, con i suoi recenti aggiornamenti, andrebbe a risolvere l'irregolarità riscontrata dal Garante sul trasferimento dei dati tra Europa e Usa e sulle mancate garanzie di privacy. Tuttavia non esiste un pronunciamento ufficiale che consideri gli ultimi aggiornamenti sulla privacy di Google come adatti a risolvere la problematica in tutti i casi.
In particolare, Google Analytics 4, dichiara di non registrare né archiviare gli indirizzi IP e in più consente di disattivare la raccolta dati di "Google Signals" (che viene usata principalmente per pubblicità e "ads" mirate) in base all'area geografica e i dati granulari su località e dispositivo usato.
Inoltre, le nuove modalità di trattamento dati dichiarate da Google, prevedono l'utilizzo di server localizzati all'interno dell'Unione Europea. I dati vengono trattati in modo da non includere dati sensibili, prima di essere elaborati su server localizzati al di fuori dell'UE.
Le conclusioni non sono semplici, e possono variare da caso a caso. Sicuramente passare da una precedente versione di Analytics a GA4 limita le responsabilità dei proprietari dei siti, ma non garantisce al 100% la conformità al GDPR, essendo necessarie configurazioni nei parametri della piattaforma che limitano la raccolta dati, da valutare sia dal punto di vista tecnico che legale, in base al caso specifico.
