Google Analytics viola il GDPR, e il GA4 non sembra essere la risposta

Il recente provvedimento del Garante della Privacy su Google Analytics pare stravolgere le regole del gioco per aziende, brand e editori che sino ad oggi hanno fruito del servizio di web analytics del gigante tech e che ora sono più esposti a possibili sanzioni.

Ma facciamo un passo indietro. Dopo le autorità austriache e francesi, anche il Garante italiano per la protezione dei dati personali ha stabilito che Google Analytics viola il GDPR. Un provvedimento forte per il mercato italiano dove il tool del gigante tech è probabilmente il più utilizzato in termini di web analytics. La stretta europea al colosso tecnologico non è, però, destinata a fermarsi.

Le Autorità per la protezione dei dati olandese (AP) e norvegese (Datatilsynet) hanno già dichiarato pubblicamente dubbi sulla conformità al GDPR di Google Analytics e già nei prossimi mesi si prevedono nuove prese di posizioni da parte di altri Paesi UE.  

Google Analytics e la privacy: cosa è successo

Sotto accusa, in tutti i casi, la gestione dei dati dei cittadini europei trasferiti negli Stati Uniti. Secondo le autorità citate i dati inviati in USA tramite Google Analytics non vengono adeguatamente protetti dal possibile accesso delle agenzie di intelligence statunitensi.

La tecnologia e la normativa sono in continua evoluzione alla ricerca di un corretto equilibrio di interessi. Nel luglio 2020, il Privacy Shield, il framework di riferimento utilizzato dalle organizzazioni per trasferire i dati dall’UE agli Stati Uniti, è stato giudicato illegale (con la sentenza Schrems II della Corte di Giustizia Europea).

“Sebbene alla fine di marzo 2022 l’UE e gli USA abbiano annunciato il raggiungimento di un accordo post Privacy Shield, non esiste ancora una proposta concreta. E, considerati gli elevati standard di protezione dei dati dell’Unione Europea, non è così scontato che ci sarà mai”, afferma Maciej Zawadziński, CEO di Piwik PRO.

Perché Google Analytics 4 non è la risposta secondo Zawadziński

Nel frattempo Google ha annunciato che la versione Universal Analytics (UA) verrà ufficialmente eliminata a partire dal 1° luglio 2023 in favore del suo successore, Google Analytics 4, che, però, presenta ancora diversi problemi in termini di privacy e conformità.

“Vista la grande rilevanza acquisita dal tema della protezione della privacy sia a livello legislativo che tra i consumatori, per le aziende, i brand e gli editori è giunto il momento di cercare valide alternative in grado di garantire la conformità al GDPR. Con una buona soluzione analitica, è, infatti, possibile raccogliere i dati in modo efficace e nel pieno rispetto della privacy degli utenti”, conclude Zawadziński.

Non tutti però la pensano così: l’anonimizzazione dell’IP per alcuni esperti è condizione sufficiente per essere in regola. C’è bisogno di maggiore chiarezza a livello statale, quindi.

Alla ricerca di un’alternativa

Quando si cerca un’alternativa conforme al GDPR, bisogna prendere in considerazione diversi importanti fattori di rischio. Ecco le 4 domande cruciali da porsi:
1. Dove si trovano i data center in cui vengono archiviati i dati degli utenti?
2. In quale Paese il fornitore è ufficialmente registrato e dove ha la sede legale?
3. I dati sono archiviati in forma criptata? Chi possiede le chiavi di crittografia?
4. I dati vengono trasferiti negli Stati Uniti in forma non criptata?

“Per essere sicuri di seguire le regole del GDPR – spieg Zawadzinski – è fondamentale scegliere un fornitore europeo capace di garantire l’archiviazione dei dati in data center presenti sul territorio europeo, l’esclusiva condivisione delle chiavi di crittografia con il brand o l’editore cliente e il trasferimento dei dati negli Stati Uniti in forma crittografata”.

“Impostare campagne di marketing efficaci basate sui dati degli utenti è l’obiettivo finale di tutti, ma il rispetto della normativa è imprescindibile per raggiungerlo con successo“. Lo afferma la Piwik PRO, in una nota stampa. Piwik, nel commentare quanto accaduto con GA, rilancia presentandosi come “una delle suite di analytics più complete e avanzate sul mercato”. “Il software – spiegano dall’azienza – è stato sviluppato per fornire preziose informazioni di marketing e la conformità al GDPR che oggi Google Analytics non garantisce. La raccolta dei dati diventa esattamente come dovrebbe essere: precisa e rispettosa”.