Indice
L’ammonimento del 9 giugno 2022 del Garante, che intimava ad un’azienda di eliminare il tracciamento presente di Google Analytics, ha destato particolare clamore e per questo abbiamo chiesto a Debora Pagano di E-MADE di scrivere per Toolperstartup una piccola guida pronta all’uso.
L’antefatto
Il provvedimento viene da molto lontano, infatti, già nel mese di maggio un gruppo di attivisti avevano notificato tramite pec a circa 8000 enti pubblici l’uso illecito del software di analytics di Google sui loro siti. Il polverone sollevato non ha lasciato indifferente il nostro Garante, che ha preso seriamente le considerazioni degli attivisti nell’analisi del reclamo di un cittadino contro la Caffeina Media S.r.l presentato ad agosto del 2020, a pochissima distanza della famosa sentenza Schrems II.
Tale sentenza riteneva non applicare l’accordo internazionale tra Stati Uniti ed Unione Europea in materia di Protezione dei dati.
La situazione italiana
Il Garante Italiano è stato il primo a parlare di GA?
No! L’autorità della protezione dei dati austriaca e francese avevano già, nei mesi passati, espresso il loro punto di vista rispetto a tale tema sanzionando l’uso dei trasferimento dei dati verso gli Stati Uniti. Il provvedimento del nostro garante è quindi pienamente in linea con le altre autorità europee. Il garante francese ha chiarito che le informazioni fornite da Google non permettono di stabilire con chiarezza quando avvenga il processo di anonimizzazione, se prima o dopo il trasferimento negli Stati Uniti. Il provvedimento di oggi fa quindi riferimento ad eventi del 2020 quindi a GA3, all’epoca infatti GA4 era ancora in versione beta. Il Garante ha ammonito, e non ancora sanzionato, l’azienda concedendo infatti un periodo di 90 giorni per adeguarsi al provvedimento.
Quali sono i reali effetti di questo ammonimento?
In realtà riguarda tutti i siti che oggi sono presenti sul web che utilizzano tale Google Analytics!
Alcuni potrebbero obiettare che gli ip sono anonimizzati…il garante della protezione dei dati, ha invece ritenuto che questo tipo di anonimizzazione non sia sufficiente a garantire la giusta tutela richiesta dalla normativa: l’utente può essere individuato comunque, all’Ip infatti potrebbe essere associate ad altre informazioni presenti sul browser soprattutto nel caso di navigazione in l’utente che abbia effettuato l’accesso ad un account di Google.
Il provvedimento pone attenzione, inoltre, su un altro punto estremamente importante: le misure supplementari che il Titolare del trattamento dovrebbe mettere in atto per garantire un maggiore livello di protezione dei dati degli utenti, per esempio la cifratura dei dati. Sappiamo per certo da Google che i dati sono cifrati ma il problema è che la multinazionale stessa ha le chiavi di cifratura, sarebbe opportuno che queste fossero detenute dal Titolare del trattamento, così che Google non possa decifrare i dati.
Il garante si limita ad ammonire l’azienda ma non fornisce soluzioni reali, perché?
Secondo il principio di accountability è il Titolare del trattamento che deve decidere se adottare ulteriori misure rispetto a quelle già messe in atto da Google. La decisione quindi rimane in capo al Titolare del trattamento.
Cosa deve fare il Titolare del Trattamento?
- Può decidere di continuare a utilizzare Google Analytics, scelta per le aziende che amano il rischio, ricordo che online esistono diversi siti che con l’indirizzo del sito verificano la conformità con la cookies law e indicando anche i nomi dei cookie utilizzati.
- Può potrebbe decidere di dismetterlo senza sostituirlo.
- Può cercare soluzioni alternative.
Le soluzioni alternative a Google Analytics
Abbiamo detto che esistono comunque alcuni software che garantiscono, almeno al momento, il rispetto della normativa:
- Matomo Analytics: alternativa semplice e gratuita, mette a disposizione anche un plugin per WordPress che riproduce i dati analitici del software Matomo.
- Utilizzo di un fornitore di Analytics che abbia azienda e hosting in Europa: questa soluzione comporta un abbonamento mensile/annuale a un servizio cloud (Saas, software as a service) come nel caso di Usermaven che abbiamo recensito pochi giorni fa. I dati vengono inviati a server Europei.
- Software Open-Source installato su Hosting del sito: Questo comporta l’installazione di un software di tracciamento sull’hosting + una configurazione tecnica e una manutenzione tecnica ordinaria e straordinaria.
Prima comunque di prendere in considerazione una di questa alternative è bene confrontarsi con il reparto marketing per capire il reale valore delle informazioni che derivano da Google Analytics e che ruolo hanno nella nostra strategia aziendale. Troppo spesso infatti si installa Google Analytics “perché tutti fanno così” e poi non si utilizzano queste metriche per sviluppare la propria strategia di vendita e il business.
