Google Analytics (GA) è una delle piattaforme di analisi web più utilizzate, ma traccia dati che si qualificano come informazioni personali ai sensi del Regolamento generale sulla protezione dei dati (GDPR), la legge europea sulla privacy.
Per evitare sanzioni in caso di violazione del regolamento, l'utilizzo di GA deve essere conforme ai requisiti di privacy dei dati del GDPR.
In questa guida aziendale illustro i passaggi da seguire per garantire GDPR utilizzando GA4, l'attuale versione di Google Analytics.
- Come si utilizza Google Analytics 4 (GA4) nel rispetto GDPR?
- Una breve panoramica del GDPR perché ha un impatto sugli utenti di GA4
- Che cos’è Google Analytics e in che modo utilizza i dati personali?
- Google Analytics (GA4) è GDPR?
- In che modo Google sta rendendo GA4 GDPR?
- Come funziona la modalità di consenso di Google con Google Analytics?
- Come può aiutare Termly ?
- Google Analytics e GDPR: domande frequenti
Come si utilizza Google Analytics 4 (GA4) nel rispetto GDPR?
Ai sensi del GDPR, Lei, in qualità di titolare del sito web, è considerato il titolare del trattamento dei dati ed è responsabile della raccolta dei dati personali degli utenti in modo conforme al regolamento, compresi i dati raccolti tramite GA4.
Per raggiungere questo obiettivo in modo legale, segui tutti i passaggi indicati di seguito.
Fase 1: ottenere il consenso alla raccolta dei dati personali
Ottenere il consenso dell'utente è una delle basi legali per il trattamento dei dati personali ai sensi del GDPR, e per utilizzare Google Analytics in modo conforme è necessario il consenso esplicito degli utenti.
Google lo riconosce direttamente nella sezione della Guida di Analytics, di cui riportiamo lo screenshot qui sotto.
Affinché il consenso dell'utente sia valido ai sensi del GDPR, deve soddisfare la definizione legale descritta dal regolamento ed essere:
Per conformarsi alle norme sul consenso GDPR , è necessario ottenere un consenso affermativo e opt-in e fornire opzioni di opt-out per quanto riguarda l'uso di GA4, in modo che gli utenti possano facilmente cambiare idea in qualsiasi momento.
Per raggiungere questo obiettivo:
- Inserisci sul tuo sito web un banner di consenso a comparsa correttamente configurato che includa un link attivo alle tue informative sulla privacy e sui cookie.
- Assicurati che la tua informativa sulla privacy spieghi chiaramente che utilizzi Google Analytics, utilizzando un linguaggio di facile lettura e comprensione.
- Elenca nella tua informativa sui cookie tutti i cookie che GA4 inserisce nei browser degli utenti.
- Offri ai tuoi utenti la possibilità di acconsentire all'utilizzo di Google Analytics o di rifiutare del tutto i cookie, nonché la possibilità di revocare il proprio consenso in qualsiasi momento.
Se lo desideri, puoi anche consentire loro di personalizzare le opzioni a cui desiderano iscriversi o da cui desiderano cancellarsi, in modo più specifico. Tuttavia, evita di utilizzare caselle già selezionate, poiché non sono conformi al GDPR.
Per una completa conformità, assicuratevi che il trattamento dei dati non avvenga senza il consenso dei vostri utenti e che il trattamento avvenga solo dopo aver ottenuto il consenso.
Passo 2: Pseudonimizzazione degli ID utente di Google Analytics
Un altro metodo per rispettare le raccomandazioni sulla privacy degli utenti del GDPR è la pseudonimizzazione degli ID utente.
È tuttavia importante sottolineare che i dati pseudonimizzati rientrano ancora nella definizione di "dati personali" ai sensi del GDPR. In altre parole, la conformità al GDPR è ancora necessaria e di estrema importanza.
La pseudonimizzazione è un processo mediante il quale un dato viene alterato in modo tale da non poter più essere ricondotto alla persona a cui si riferisce senza l'ausilio di ulteriori dati.
È possibile ottenere questo risultato utilizzando un algoritmo che sostituisca i dati effettivi con altre informazioni (ad esempio, pseudonimi).
All'interno di Google Analytics, puoi:
- Utilizza un elemento denominato “user-id” per tracciare e collegare i dati di un singolo utente tra diverse sessioni e dispositivi,
- La combinazione di tali dati relativi a un singolo utente migliora l'accuratezza dei dati e delle analisi del GA,
- Tuttavia, questo monitoraggio accurato si basa su ID utente che si qualificano come dati personali, in quanto possono essere utilizzati per identificare i singoli utenti.
Sebbene la pseudonimizzazione di questi ID possa portare a dati di conversione leggermente meno accurati, vale la pena di conformarsi al GDPR ed evitare di ricevere multe salate.
Fase 3: Non conservare i dati più a lungo del necessario
Come molte leggi sulla protezione dei dati, il GDPR di conservare i dati personali solo per il tempo necessario al raggiungimento della finalità originaria per cui sono stati raccolti.
La vostra politica di conservazione dei dati nell'utilizzo di GA4 deve essere conforme a questo aspetto del regolamento.
Fortunatamente, questa funzione è integrata in GA4, in quanto è possibile scegliere tra due opzioni di ritenzione:
- 2 mesi
- 14 mesi
Esaminate e impostate il periodo di conservazione dei dati al minimo richiesto per le vostre operazioni.
Fase 4: Fornire agli utenti l'informativa sulla privacy e sui cookie
Il GDPR agli utenti dell'UE/SEE diversi diritti fondamentali, tra cui il diritto di essere pienamente informati.
Ciò significa che dovrai fornire a tali utenti un'informativa sulla privacy e una politica sui cookie accurate e conformiGDPR, in modo che possano prendere visione delle tue pratiche di trattamento dei dati.
Nello specifico, gli interessati al GDPR hanno il diritto di sapere:
- Quali informazioni personali vengono raccolte da loro
- Come si usa
- Per quanto tempo è stato reatinato
- Con chi è condiviso
- La vostra base giuridica per l'utilizzo dei dati
Dovete anche spiegare come gli utenti possono far valere questi diritti e quali dati condividete con Google (e con altre terze parti).
Poiché anche i cookie sono considerati informazioni personali, è necessario menzionarli nelle proprie politiche sulla privacy e sui cookie per conformarsi al GDPR.
GA4: Non è necessario anonimizzare gli indirizzi IP?
Quando esisteva ancora Universal Analytics, era necessario anonimizzare gli indirizzi IP per rimanere conformi al GDPR.
Tuttavia, GA4 ha preso il posto di Universal Analytics a partire dal 1° luglio 2023. Secondo Google, GA4 non registra né memorizza alcun indirizzo IP, rendendo superfluo il mascheramento dell'IP.
l'indirizzo IP è un codice unico che identifica ogni dispositivo connesso a Internet.
Tecnicamente, il GDPR considera gli indirizzi IP come dati personali, quindi il trattamento di queste informazioni sarebbe altrimenti soggetto a tutti i requisiti illustrati nel regolamento.
Una breve panoramica del GDPR perché ha un impatto sugli utenti di GA4
Il Regolamento generale sulla protezione dei dati (GDPR) è una normativa dell'Unione europea (UE) in materia di protezione dei dati e privacy entrata in vigore il 25 maggio 2018.
Conferisce ai cittadini dell’Unione europea e dello Spazio economico europeo (SEE) nuovi diritti in merito alle modalità con cui le imprese, le autorità pubbliche, le agenzie o anche altre persone fisiche trattano i loro dati personali.
Sebbene il GDPR sia un regolamento dell'UE, si applica alle aziende di tutto il mondo perché si concentra sulla posizione del consumatore (o dell'interessato, come viene definito nel GDPR), non sull'azienda.
Ciò significa che il GDPR si applica alle aziende negli Stati Uniti e nel resto del mondo e che le multe in caso di violazione del GDPR sono altrettanto severe che in Europa.
Per informazioni più approfondite, consultate questa guida approfondita GDPR . Oppure, se volete una sintesi semplificata, ecco la nostra guidaGDPR for Dummies.
Che cos’è Google Analytics e in che modo utilizza i dati personali?
Google Analytics è una piattaforma gratuita di Google che i proprietari di siti web o app possono utilizzare per tracciare i dati e il comportamento dei visitatori.
Il processo di tracciamento prevede la raccolta di dati quali:
- Visualizzazioni di pagina,
- Su cosa hanno cliccato gli utenti,
- Per quanto tempo sono rimasti sul tuo sito.
Questi dati statistici fondamentali su come gli utenti interagiscono con la tua piattaforma possono aiutarti a ottimizzare il sito, aumentare le vendite e raggiungere altri obiettivi.
La versione attuale si chiama Google Analytics 4 o GA4, ma ci sono state diverse iterazioni di questo servizio di Google, che potete conoscere nella tabella sottostante.
| Versione | Nome | Snippet di codice | Terminato |
| Google Analytics 1 (GA1) | Analitica Urchin | riccio.js | 9 maggio 2007 |
| Google Analytics 2 (GA2) | Analitica classica | ga.js | 2 aprile 2014 |
| Google Analytics 3 (GA3) | Analitica universale | analytics.js | 1° luglio 2023 |
| Google Analytics 4 (GA4) | Google Analytics 4 | gtag.js | Versione attuale |
Google Analytics inserisce nel browser degli utenti dei cookie internet contenenti un identificatore unico o ID cookie. Ai sensi del GDPR, gli ID dei cookie sono considerati dati personali in quanto possono essere utilizzati per identificare direttamente o indirettamente un individuo.
Le versioni precedenti del servizio tenevano traccia e registravano anche gli indirizzi IP, un'altra informazione personale ai sensi del GDPR.
Per impostazione predefinita, GA4 rende anonimi gli indirizzi IP e fornisce solo localizzazioni geografiche approssimative. Tuttavia, alcune autorità garanti della protezione dei dati (DPA) degli Stati membri stanno ancora valutando se ciò garantisca una protezione adeguata.
In ogni caso, se utilizzi Google Analytics, sei considerato il titolare del trattamento ai sensi del GDPR, mentre Google è il tuo responsabile del trattamento. Sia i titolari che i responsabili del trattamento sono soggetti a numerosi obblighi legali.
Google Analytics (GA4) è GDPR?
Sebbene Google abbia progettato la propria piattaforma Analytics in modo che sia GDPR, è possibile utilizzarla, involontariamente o intenzionalmente, in modo tale da violare il regolamento.
Tuttavia, sembra che Google abbia adottato misure per garantire che GA4, in quanto piattaforma, sia conforme GDPR .
Nella prossima sezione mi concentrerò sul modo in cui i cookie di Google Analytics possono essere conformi o violare parti del GDPR e citerò alcune sentenze degli Stati membri in materia.
Google Analytics e i cookie di Internet
Google Analytics 4 lascia dei cookie sul browser degli utenti e questi cookie sono soggetti ai severi requisiti di trattamento dei dati previsti dal GDPR.
Tuttavia, GA4 si basa su un numero inferiore di cookie rispetto alle altre iterazioni di questo servizio. Utilizza solo i seguenti:
- _ga - questo cookie viene utilizzato per distinguere gli utenti e ha una scadenza predefinita di 2 anni
- _ga_<container-id> — this cookie is used to persist the user’s session state and has a 2-year default expiration time
Tuttavia, l'implementazione di questi cookie di Google Analytics deve essere conforme al GDPR se ci si rivolge a persone nell'UE/SEE.
Ciò significa che dovete ottenere il consenso da parte di ciascun individuo prima che questi cookie vengano inseriti nei loro browser, altrimenti violate la normativa.
Se gli utenti rinunciano ai cookie, questa preferenza deve essere rispettata; pertanto, non è possibile inserirli nei loro browser.
Le decisioni GDPR su Google Analytics
Le autorità per la protezione dei dati di diversi Stati membri dell'UE hanno già rilasciato dichiarazioni sulla legalità dell'uso di Google Analytics ai sensi del GDPR.
Analizziamo in dettaglio le sentenze di conformità di questi Paesi.
- Austria: Nel 2022, l’Autorità austriaca per la protezione dei dati (DPA), la Datenschutzbehörde, ha annunciato che l’utilizzo di Google Analytics da parte di un sito web violava la sentenza Schrems II del 2020. Il caso Schrems II ha invalidato il quadro normativo dello Scudo per la privacy UE-USA (EU-US Privacy Shield), che in precedenza aveva favorito il trasferimento internazionale di dati personali tra gli Stati Uniti e gli Stati membri dell’UE/SEE. Tale decisione si è basata sulla possibilità che il governo statunitense potesse accedere ai dati personali dopo il loro trasferimento su server statunitensi senza informare adeguatamente gli interessati provenienti dall’UE/SEE e senza che questi ultimi avessero un controllo effettivo sul trattamento dei propri dati personali, il che costituisce una violazione diretta del GDPR.
- Danimarca: In Danimarca, l’autorità garante della protezione dei dati, Datatilsynet, ha annunciato nel 2022 di stare monitorando la decisione austriaca contro Google Analytics. L’autorità ha condotto un’indagine su Universal Analytics e GA4 e ha successivamente pubblicato delle linee guida relative all’utilizzo del servizio.
- Francia: GDPR febbraio 2022, l’autorità francese per la protezione dei dati, la Commission nationale de l’informatique et des libertés (CNIL), ha stabilito che l’utilizzo di Google Analytics da parte di un sito web violava l’articolo 44 del GDPR . Anche in questo caso, la decisione è stata motivata dal trasferimento internazionale di dati verso un Paese privo di adeguate garanzie in materia di protezione dei dati. Successivamente, la CNIL ha aggiornato le proprie linee guida sull’utilizzo di Google Analytics, suggerendo l’uso di un server proxy; tali linee guida sono disponibili qui in francese.
- Italia: Nel giugno 2022, il Garante, l’autorità italiana per la protezione dei dati, ha ritenuto che l’utilizzo di Google Analytics da parte di un sito web violasse il GDPR del trasferimento internazionale di dati verso un paese privo di adeguate garanzie in materia di privacy. La decisione faceva riferimento diretto agli indirizzi IP, che all’epoca venivano raccolti da Universal Analytics. Tuttavia, da allora, GA4 ha sostituito Universal Analytics e Google ha dichiarato che GA4 non traccia né registra gli indirizzi IP. Ma, come gli altri Stati membri, anche l’Italia fa riferimento alla possibilità che il governo degli Stati Uniti acceda a tali informazioni senza informare adeguatamente gli interessati dell’UE/SEE.
- Paesi Bassi: Nei Paesi Bassi, l’Autorità per la protezione dei dati ( Autoriteit Persoonsgegevens) sta esaminando almeno due reclami distinti relativi ai trasferimenti internazionali di dati e a Google Analytics. Entrambi i reclami riguardano le stesse questioni sollevate da Austria, Italia e Francia, e le indagini sono ancora in corso.
- Norvegia: Nel marzo 2023, anche l’autorità norvegese per la protezione dei dati, Datatilsynet, ha ritenuto che il trasferimento internazionale di dati personali tramite Google Analytics violasse il GDPR.
In che modo Google sta rendendo GA4 GDPR?
Google ha espresso il proprio impegno a rispettare le leggi sulla privacy come il GDPR e ha descritto dettagliatamente le modalità con cui mette in pratica questo impegno.
Hanno inoltre introdotto e implementato integralmente Google Analytics 4, un approccio analitico incentrato sulla privacy che ha sostituito il precedente Universal Analytics, il quale ha cessato di elaborare nuovi accessi a partire dal 1° ottobre 2023.
Ecco una breve sintesi delle pratiche di Google in materia di privacy:
- Il GDPR impone un rapporto giuridico tra il responsabile e l'incaricato del trattamento dei dati. Google Analytics lo fornisce attraverso i suoi termini e condizioni, che spiegano i termini del trattamento dei dati e il rapporto tra responsabile del trattamento e incaricato del trattamento.
- Il GDPR prevede requisiti rigorosi in materia di sicurezza dei dati, che Google si impegna a rispettare attraverso sistemi di protezione dei dati all'avanguardia e mantenendo certificazioni di sicurezza riconosciute a livello internazionale.
- Il GDPR stabilisce che gli incaricati del trattamento dei dati devono aiutare i responsabili del trattamento a identificare e segnalare qualsiasi violazione dei dati all'autorità di vigilanza competente e ai loro utenti. Google facilita questo compito grazie al suo programma di gestione degli incidenti 24/7.
- Il GDPR richiede che la privacy by design sia l'approccio predefinito per la costruzione di siti e software e richiede valutazioni d'impatto sulla protezione dei dati. Google incorpora entrambi questi concetti nelle sue pratiche di privacy.
- Il GDPR elenca la minimizzazione dei dati come uno dei suoi principi fondamentali. È necessario raccogliere solo i dati essenziali e conservarli solo per il tempo necessario allo scopo originale per cui sono stati raccolti. Google Analytics soddisfa questo requisito di conservazione dei dati offrendo ai proprietari dei siti web il controllo sulla durata di conservazione dei dati degli utenti.
Come funziona la modalità di consenso di Google con Google Analytics?
Nel 2020, Google ha introdotto la Modalità di consenso di Google per dare ai proprietari di siti web un maggiore controllo sui loro cookie pubblicitari e analitici in merito alle scelte di consenso degli utenti.
Ecco come funziona:
- Quando i consumatori visitano il tuo sito web per la prima volta, un banner di consenso chiede loro se hanno letto e accettato la tua informativa sulla privacy e quella sui cookie.
- La scelta dell'utente viene quindi comunicata a GCM tramite i g-tag.
- Se gli utenti accettano e danno il proprio consenso, i cookie analitici vengono memorizzati nei loro browser come di consueto.
- Tuttavia, se negano il consenso, i g-tag vengono aggiornati e non vengono inseriti cookie nei loro browser.
- GCM, invece, utilizza una tecnologia avanzata di mappatura dei dati basata sull'intelligenza artificiale per evitare lacune nei dati relativi alle conversioni.
La modalità di consenso funziona attualmente con i seguenti servizi di Google:
- Google Analytics
- Annunci di Google
- Proiettore
- Linker di conversione
Per poter accedere a tutte le sue funzionalità, è necessario utilizzare sul proprio sito web una gestione del consenso Platform CMP) compatibile, come Termly; siamo CMP ufficiali di Google CMP .
Come può aiutare Termly ?
Termly può aiutarvi a utilizzare Google Analytics e a conformarvi al GDPR offrendovi i nostri strumenti, verificati da avvocati, tra cui:
- generatore di informativa sulla privacyGDPR
- generatore di informativa sui cookieGDPR
- gestione del consenso PlatformGDPR
Se opportunamente configurato, il nostro CMP si integra perfettamente con la modalità di consenso di Google, in modo da poter utilizzare Google Analytics rispettando le scelte di consenso dei vostri utenti.
Inoltre, i nostri generatori di politiche vi pongono le domande appropriate per garantire che nelle vostre politiche sulla privacy e sui cookie compaiano clausole e dettagli adeguati, in modo da rispettare pienamente la normativa.
La parte migliore? Potete gestire tutto in un unico posto, direttamente dalla vostra dashboard Termly .
Ci occupiamo degli aspetti complessi della conformità alla privacy, in modo che possiate offrire ai vostri consumatori un'esperienza online sicura e conforme alla legge.
Google Analytics e GDPR: domande frequenti
Di seguito rispondo ad alcune delle domande più frequenti che Termly riguardo a Google Analytics e GDPR .
Google Analytics è GDPR?
Google Analytics non è necessariamente GDPR per impostazione predefinita; dovrai adottare alcune misure aggiuntive, come fornire un’informativa sulla privacy e una politica sui cookie conformi e ottenere il consenso esplicito e attivo dell’utente prima che qualsiasi cookie di GA venga attivato.
È inoltre importante sottolineare che la conformità al GDPR un processo in continuo evolversi.
Google Analytics raccoglie dati personali?
Google afferma che Google Analytics non raccoglie "informazioni di identificazione personale" o PII. Tuttavia, lascia dei cookie sui browser, che il GDPR considera informazioni personali.
Dovrete quindi adottare misure per ottenere il consenso degli utenti e comunicare adeguatamente l'uso dei cookie per ottenere la piena conformità al GDPR .
Quali cookie utilizza Google Analytics?
Google Analytics 4 utilizza i seguenti cookie di prima parte:
- _ga - questo cookie viene utilizzato per distinguere gli utenti e ha una scadenza predefinita di 2 anni
- _ga_<container-id> — this cookie is used to persist the user’s session state and has a 2-year default expiration time
Google Analytics può funzionare senza utilizzare i cookie?
Sì, se attivi la “Modalità consenso” di Google, potrai utilizzare Google Analytics senza ricorrere ai cookie, poiché questa funzione consentirà al tuo sito web di funzionare in base allo stato di consenso dei tuoi utenti.
Questo perché sono i g-tag, e non i cookie, a comunicare a GCM le scelte relative al consenso degli utenti.
Quali sono le alternative a Google Analytics?
Alcune alternative a Google Analytics sono le seguenti:
- Adobe Analytics
- Matomo Analytics
- Analisi plausibili
- Fathom Analytics
- Hotjar
- Clicky
Google Analytics è conforme ad altre leggi sulla privacy?
Sì, è possibile utilizzare Google Analytics nel rispetto delle normative vigenti in materia di protezione dei dati. Tuttavia, è necessario indicare l'utilizzo di GA nella propria informativa sulla privacy.
Ai sensi di leggi quali il California Consumer Privacy Act (CCPA), è inoltre necessario dare seguito alle richieste di revoca del consenso e di limitazione del trattamento dei dati presentate dai consumatori.
Le altre piattaforme di analisi sono conformi al GDPR?
Se configurate correttamente, è possibile utilizzare altre piattaforme di analisi in modo conforme al GDPR, tra cui:
- Analisi semplice
- PostHog
- Fathom Analytics
- Matomo Analytics
Google Analytics è uno strumento di dati essenziale per le aziende, ma utilizzarlo in modo conforme al GDPR significa adottare alcune misure aggiuntive.
Le autorità per la protezione dei dati nell'UE/SEE stanno ancora discutendo sulla legalità dei trasferimenti internazionali di dati relativi a Google Analytics e sul fatto che GA4 anonimizzi adeguatamente gli indirizzi IP, quindi è fondamentale intraprendere tutte le azioni necessarie per dimostrare che lo si sta utilizzando in modo GDPR.
Come minimo, presentate ai vostri utenti un'accurata informativa sulla privacy e sui cookie, spiegate il vostro utilizzo di GA4 e chiedete il consenso prima di inserire i cookie analitici nei loro browser, assicurandovi che possano facilmente ritirarlo in qualsiasi momento.
Utilizza Termlygeneratore di informativa sulla privacy e gestione del consenso per aiutarti a rispettare il GDPR molte altre importanti leggi sulla protezione dei dati.
Natasha Piirainen è una scrittrice specializzata in privacy con una laurea in inglese e filosofia conseguita presso il Wheaton College e oltre 10 anni di esperienza professionale nello sviluppo di contenuti basati sulla ricerca.
Leggi tutti i post di Natasha Piirainen
Revisionato da Teodor Stanciu, CIPP/E, CIPM
Teodor Stanciu è coordinatore legale e responsabile della protezione dei dati (DPO) con una laurea in giurisprudenza conseguita presso l'Università di Bucarest e un master in diritto dell'Unione Europea e diritto commerciale internazionale conseguito presso l'Università Radboud.
Leggi tutti i post recensiti da Teodor Stanciu, CIPP/E, CIPM
Conformarsi al GDPR GRATUITAMENTE
