#Ideas

Il 23 giugno 2022 il Garante Italiano della privacy ha disposto la cessazione dell'utilizzo di Google Analytics, in quanto l’Autorità ne ha rilevato l’illiceità dei trasferimenti dei dati effettuati verso gli Stati Uniti. Si è aperta quindi una questione di notevole interesse per tutte le organizzazioni, pubbliche e private, chiamate a decidere a stretto giro come comportarsi di fronte al provvedimento dell'Autorità.

La protezione della privacy dei cittadini europei

Qual è il fulcro del problema secondo il Garante? La questione principale sta nel luogo in cui vengono conservati ed elaborati i dati: Google Analytics infatti trasferisce i dati dei cittadini europei in server americani. Il Surveillance Act degli Stati Uniti (FISA) obbliga Google a divulgare i dati personali dei cittadini dell'UE su richiesta delle Autorità pubbliche americane, in quanto “fornitore di servizi di comunicazione elettronica”. Secondo i tribunali europei, l'applicazione del FISA rende impossibile garantire un'adeguata protezione dei dati personali. Pertanto il trasferimento di dati personali negli Stati Uniti è considerato illegale.

Cosa significa per le aziende?

Le aziende italiane chiamate ad agire in risposta al provvedimento del Garante per la privacy, si trovano a dover valutare le seguenti 3 opzioni:

1. Richiesta del consenso all'utente

Riformulare la cookie policy e il relativo banner, escludendo i cookies di Google Analytics da quelli essenziali, privi di consenso e richiedendo pertanto esplicito consenso all'utente. Il consenso (esplicito) per i trasferimenti extra-UE è previsto dal GDPR all’art. 49.1.a, tra le deroghe in specifiche situazioni. Questa casistica, però, può essere utilizzata solo per trasferimenti “occasionali”, come chiarito dallo European Data Protection Board (EPDB) nelle Linee guida 2/2018 e quindi non rappresenta una via effettivamente percorribile.

2. Google Analytics 4

L’azienda californiana ritiene che GA4 sia rispettoso della privacy perché provvede all’anonimizzazione degli indirizzi IP degli utenti durante la raccolta dei dati, ma secondo il Garante l’anonimizzazione effetuata da GA4 non può considerarsi completa e sicura vista la capacità di Google di arricchire il dato con altre informazioni in suo possesso. Permangono inoltre ulteriori problematiche di GA4 relative ad alcune caratteristiche del software:

• Non dà la possibilità agli utenti di scegliere il Paese dove verranno conservati i loro dati e non fornisce nemmeno nessun tipo di informazione a riguardo;
• I dati degli utenti che non hanno fornito il consenso possono comunque includere informazioni identificative nei parametri URL (ad es. GCLID);
• Sebbene l’opzione non sia attivata di default nelle proprietà di nuova creazione, GA4 consente di condividere i dati con altri prodotti Google utilizzati per costruire i profili dei visitatori per scopi pubblicitari.

Mantenere o implementare Google Analytics (GA4), pertanto, implica per il titolare del trattamento dei dati la consapevolezza che permangono alcune criticità fondamentali:

• la mancata possibilità per il titolare al trattamento di poter gestire in autonomia il dato, accettando l'autonomia delle scelte e delle azioni di Google quale Responsabile nominato al momento dell'implementazione di GA4;
• la mancanza di garanzia da parte di Google che non effettui il trasferimento all'estero dei dati degli utenti;
• la possibilità da parte di Google di arricchire i dati incrociandoli con altre informazioni in suo possesso sugli utenti, rendendo vana l'anonimizzazione del dato

3. Strumenti Analytics a norma con il GDPR

La terza ed ultima alternativa consiste nell’implementazione di un tool alternativo a GA4, che permetta un’esaustiva raccolta e analisi dei dati, ma nel totale rispetto delle normative europee.

Ci sono numerose piattaforme di Analytics, quella che a nostro avviso è la migliore sia dal punto di vista della completezza degli strumenti che delle funzionalità relativa alla privacy è PiwikPRO. 

Piwik PRO, una soluzione europea

Una valida alternativa ad Analytics è Piwik PRO, una suite di analisi dati per web e app che presta particolare attenzione alla privacy degli utenti e alla sicurezza. 

La piattaforma è valutata positivamente delle autorità di regolamentazione perché consente agli utenti di disattivare il monitoraggio dell'analisi web, rende anonimi gli indirizzi IP e può essere utilizzato senza bisogno del consenso. Non si pone inoltre nessun "problema di Schrems": sviluppo del prodotto, hosting e supporto tecnico si svolgono all'interno dell'UE.

Dal punto di vista operativo può essere installato "on-premise" su server di proprietà (senza costi di licenza), oppure "on-cloud" su server della piattaforma. 

Per assicurare un’esaustiva analisi dei dati, permette di esportarli tramite API, ad esempio verso Google Spreadsheet o Google Data Studio.

La piattaforma è composta da 4 moduli chiave che permettono una conoscenza approfondita dei propri utenti, coprendo tutte le principali aree di interesse, dalla raccolta all’elaborazione dei dati:

• Analytics: consente la raccolta di dati su siti web, app, prodotti digitali e aree riservate. I clienti hanno la possibilità di personalizzare le modalità di raccolta e analisi dei dati con report integrati su pubblico, comportamento, acquisto e conversione. Inoltre, l'analisi può essere approfondita con report personalizzati e accedendo ai dati grezzi.
• Tag Manager: I tag possono essere aggiunti allo stack di analisi senza dover assumere un team IT. Il cliente crea, testa e assegna rapidamente i tag da modelli predefiniti o con codice personalizzato.Le impostazioni dei tag possono essere coordinate con Analytics e Consent Manager per adattarsi a qualsiasi approccio di raccolta dati.
• Consent Manager: consente di gestire i consensi e le richieste degli stakeholder nella stessa piattaforma in cui vengono raccolti i dati. Inoltre, categorizza i dati provenienti da Analytics e Tag Manager in modo che i dati raccolti corrispondano sempre al consenso ricevuto.
• Customer Data Platform: crea una visualizzazione unica del cliente, importa ed esporta i dati da fonti online e offline in modo sicuro e migliora le attività di marketing cross-channel.

In conclusione, nonostante le recenti sentenze europee contro Google Analytics, le aziende possono continuare a raccogliere ed elaborare i dati dei propri utenti attraverso alternative molto valide al software californiano. Piwik PRO, garantisce infatti funzionalità di analisi complete che sostituiscono completamente Analytics, garantendo la conformità ai più elevati standard di sicurezza e alle leggi sulla privacy.