Il 23 giugno il Garante per la protezione dei dati personali ha reso noto un provvedimento contro un sito italiano che usava Google Analytics. Secondo l’autorità i dati raccolti finiscono negli Stati Uniti senza le garanzie richieste dal GDPR. Il Garante ha chiarito che il principio vale per tutti i titolari che usano lo strumento nello stesso modo, e ha dato 90 giorni per adeguarsi.
Il problema nasce nel 2020, con l’annullamento del Privacy Shield. Da allora le autorità europee ritengono che le garanzie disponibili non bastino a proteggere i dati dall’accesso delle agenzie statunitensi. Analytics raccoglie identificativi, indirizzo IP e informazioni sul dispositivo che, messi insieme, rendono riconoscibile un utente. Il Garante ha giudicato insufficiente anche l’anonimizzazione dell’IP offerta dallo strumento, perché tronca solo l’ultima parte dell’indirizzo e lo fa dopo la raccolta. Le autorità austriaca e francese erano già arrivate a conclusioni simili.
Google Analytics 4 introduce alcune impostazioni sulla privacy, ma il nodo di fondo, il trasferimento verso gli Stati Uniti, resta. Europa e Stati Uniti stanno negoziando un nuovo accordo che per ora non c’è.
Le strade che hai davanti
- Passare a uno strumento che conserva i dati in Europa o sui tuoi server, come le soluzioni di analytics installabili in proprio.
- Mettere in mezzo un proxy gestito da te, che riceve i dati, elimina o modifica quelli identificativi e solo dopo li inoltra. Tecnicamente è la via più complessa.
- Accontentarti delle statistiche essenziali ricavate dai log del server, senza strumenti esterni.
La scelta dipende dal tuo sito e dal rischio che sei disposto a correre, ed è una valutazione da fare con chi segue la privacy della tua organizzazione. Prima di tutto, però, fai l’elenco completo: non solo Analytics, ma ogni strumento di analisi e marketing che manda dati fuori dall’Unione. Se decidi di cambiare, avvia subito la raccolta in parallelo, così non perdi lo storico. Poi aggiorna informativa e cookie policy.
E metti per iscritto la valutazione che hai fatto, anche se la conclusione è aspettare. In caso di controllo, poter mostrare di aver ragionato sul problema pesa più di qualunque dichiarazione a posteriori.
