Disattivazione del servizio di Google Analytics 3

Pagina pubblicata in data 23 agosto 2022
Aggiornata il 25 agosto 2022

Gentili Clienti,

l'estate 2022 sarà ricordata da coloro che operano nel settore del web come l'estate del caso “Caffeina Media Srl”. La web agency, infatti, è diventata suo malgrado famosa a causa del fatto che è stata ammonita dal Garante della privacy ad adeguarsi alla normativa vigente e ad adottare le dovute cautele circa il trasferimento dei dati all'estero entro il termine di 90 giorni, decorso il quale si provvederà alla sospensione dei flussi di dati verso gli USA.

Il provvedimento del Garante non ha emesso alcuna sanzione nei confronti di “Cafferina Media Srl” e non è universale. Riguarda cioè, per adesso, una singola azienda. L'assenza di sanzione dipende, probabilmente, dal fatto che ha voluto tenere in considerazione che sono centinaia di migliaia le aziende europee con un sito web che usa Google Analytics e che si sono trovate, nei fatti, in un vuoto normativo non colmato.

Con questa decisione il Garante della privacy ha vietato, di fatto, l'uso di Google Analytics. Almeno fino a che non arriverà un nuovo accordo che garantisca ai dati dei cittadini europei trasferiti negli USA un livello di protezione adeguato alle previsioni del GDPR.

LA DECISIONE

In conseguenza di questo, ho cercato in questi mesi estivi di individuare una soluzione. Purtroppo, al momento non è chiara quale azione prendere, se non richiedere da parte di Google LLC una dichiarazione ufficiale scritta che i dati presenti nei server europei non siano trasferiti negli USA, e soprattutto la garanzia che questi dati non siano accessibili dalle agenzie governative statunitensi.

Ad oggi non ho ricevuto una riposta ufficiale dall'azienda di Mountain View, a parte i comunicati stampa che però non valgono da un punto di vista legale. Per questo motivo a partire dal prossimo 12 settembre 2022, i siti presenti all'interno dei server direttamente gestiti dalla nostra agenzia di marketing e comunicazione saranno interessati da un intervento di aggiornamento “eccezionale”.

Disattiveremo da tutti i siti il servizio Google Analytics (prima di pensare “come faccio a vedere le statistiche” ti invito a riflettere su quando è stata l'ultima volta che hai fatto un'analisi delle statistiche del tuo sito web). Questo non significa non avere più statistiche. Abbiamo, infatti, individuato delle soluzioni alternative.

LA SOLUZIONE

Le possibili soluzioni per sono tre:

1) Disinstallare Google Analytics dal sito web (azione che compiremo noi a partire dal 12 settembre) e attendere che l'Unione Europea prenda nuovi accordi con gli Stati Uniti.

2) Disinstallare l'attuale versione Google Analytics 3 dal sito web ed installare la nuova versione di Google Analytics 4, che è già disponibile in versione beta, e che sarà distribuita in versione definitiva a partire dalla primavera 2023.
Allo stato attuale la versione 4 sembra garantire che i dati degli utenti non saranno trasferiti nei server statunitensi. Ma è altrettanto vero che Google LCC e la sua sede europea sono soggette alla normativa statunitense, e quindi il problema sollevato dal Garante per la privacy non è detto che non si possa nuovamente presentare.
GA4 è un software completamente differente e, nel caso voi sceglierete questa soluzione, vi sarà richiesto un compenso economico una tantum per il settaggio e chiederemo al cliente una dichiarazione che funga da manleva nei confronti della nostra agenzia in caso di eventuali “buchi” normativi.

3) Oggi il mercato offre differenti sistemi di monitoraggio efficaci quanto Google Analitycs sviluppati nel rispetto del GDPR. Si tratta di soluzioni a pagamento che mi permettono un'osservazione. Nessuna azienda offre i propri servizi gratuitamente. Quando si può usufruire di un servizio gratuito come Google Analytics o Gmail è chiaro che “qualcun altro” paga per noi. In questo caso chi paga, paga per accedere ai dati generati dal nostro comportamento online.
Questo è a mio avviso il punto debole di tutta la questione, e fino a quando non ci sarà un impianto normativo chiaro, il problema del trasferimento dei dati sarà sempre dietro l'angolo.

IL MOTIVO NEL DETTAGLIO

Il Garante della Privacy con il provvedimento del 9 giugno 2022 e con il comunicato stampa dello scorso 23 giugno ha dichiarato:

Il sito web che utilizza il servizio Google Analytics (GA), senza le garanzie previste dal Regolamento UE, viola la normativa sulla protezione dei dati perché trasferisce negli Stati Uniti, Paese privo di un adeguato livello di protezione, i dati degli utenti.

Quanto affermato dal Garante per la privacy arriva a conclusione di una complessa istruttoria avviata sulla base di una serie di reclami e in coordinamento con altre autorità privacy europee.

Dall'indagine del Garante è emerso che i gestori dei siti web che utilizzano GA raccolgono, mediante cookie, informazioni sulle interazioni degli utenti con i già menzionati siti, le singole pagine visitate e i servizi proposti. Tra i molteplici dati raccolti, indirizzo IP del dispositivo dell'utente e informazioni relative al browser, al sistema operativo, alla risoluzione dello schermo, alla lingua selezionata, nonché data e ora della visita al sito web.

Tali informazioni sono risultate oggetto di trasferimento verso gli Stati Uniti. Nel dichiarare l'illiceità del trattamento è stato ribadito che l'indirizzo IP costituisce un dato personale e anche nel caso fosse troncato non diverrebbe un dato anonimo, considerata la capacità di Google di arricchirlo con altri dati di cui è in possesso.

Questa tipologia di trattamento dati è, dato l'attuale contesto normativo, illegittima.

Sempre il 23 giugno, sul blog di Google, è uscita la replica del gigante di Mountain View al comunicato stampa del Garante. In cui l'azienda afferma di non monitorare le persone, né di creare profili in base al loro comportamento su internet.

Prima del 2015 il flusso di dati verso gli Stati Uniti era regolamentato dal “Safe Harbor”, ma in modo estremamente blando. Nel 2013 questo sistema cambia. Le rivelazioni di Edward Snowden sul gigantesco e illimitato sistema di sorveglianza di massa dell'NSA e della CIA con l'accordo di Google, Facebook e Apple sconvolgono il mondo. Gli USA spiano tutti, cittadini americani e non, con la collaborazione delle Big Tech. Sui giornali scoppia il cosiddetto “DataGate”. Così nel 2015 l'Unione Europea annulla il “Safe Habor”.

L'anno dopo arriva il “Privacy Shield” con il quale il governo degli Stati Uniti si impegna ad aumentare le tutele riguardo i dati dei cittadini europei.

Nel luglio del 2020 la Corte di Giustizia dell'Unione Europea ha dichiarato non valida la decisione della Commissione UE che, nel 2016, aveva dichiarato il Privacy Shield adeguato in termini di protezione dei dati.

Il “Privacy Shield” regolava il trasferimento dati UE-USA e istituiva una serie di protezioni per i dati di cittadini e imprese europee trasferiti in server USA. Per la Corte di Giustizia, “semplicemente”, tale accordo non offriva sufficienti garanzie. Inoltre, i programmi di sorveglianza americani vanno oltre i limiti previsti dalla normativa europea su privacy e dati. Insomma, il “Privacy Shield” non rispettava il GDPR e la sorveglianza massiva di Stato invade lo spazio privato del cittadino.

Contestualmente a questo provvedimento, il Garante ha anche messo nero su bianco una specifica riguardante gli indirizzi IP. L'indirizzo IP è in tutto e per tutto un dato personale. Nel caso di Google, aggiunge, va anche ritenuto che non sia possibile renderlo un dato anonimo, neppure “troncandolo”. D'altronde, spiega il Garante, Google dispone di così tanti dati da “avere la capacità di arricchirlo con altri dati di cui è in possesso”. Vanificando quindi l'anonimato.

CONCLUSIONE

Questa decisione del Garante della privacy è vero che riguarda Google Analytics, ma è anche vero che riguarda un tema inerente la gestione dei dati in generale. Per questo motivo in questi mesi abbiamo “sospeso temporaneamente” l'aggiornamento ai siti web da un punto di vista del codice.
Attività che sarà ripresa e completata entro la fine del mese di settembre.

Dott. Francesco Russo