Il Garante per la protezione dei dati personali ha stabilito che un sito italiano che usava Google Analytics violava il GDPR, perché i dati dei visitatori venivano trasferiti negli Stati Uniti senza garanzie adeguate. La decisione riguarda un singolo caso, ma il Garante ha invitato tutti i gestori di siti a verificare la conformità entro 90 giorni.
Perché Google Analytics è stato bocciato
Dopo l’annullamento del Privacy Shield, di cui avevamo parlato nel 2020, i trasferimenti di dati verso gli USA sono possibili solo con garanzie aggiuntive. Secondo il Garante, quelle adottate non bastano: le autorità americane potrebbero accedere ai dati. E l’anonimizzazione dell’IP offerta da Universal Analytics non è sufficiente, perché avviene dopo il trasferimento.
La decisione segue quelle analoghe delle autorità di Austria e Francia.
Cosa rischiano i siti
Chi continua a usare Google Analytics senza garanzie adeguate si espone a sanzioni. Il Garante ha annunciato verifiche dopo i 90 giorni concessi per adeguarsi.
Le strade possibili
- Sospendere Google Analytics finché il quadro non sarà chiarito.
- Usare strumenti di statistiche con server in Europa e configurati per non identificare i visitatori.
- Valutare soluzioni tecniche avanzate, come il server-side tagging, che filtrano i dati prima che lascino l’Europa.
- In ogni caso, aggiornare informativa, cookie policy e banner.
La situazione è in evoluzione: Unione europea e Stati Uniti stanno lavorando a un nuovo accordo sul trasferimento dei dati.
Vuoi verificare se le statistiche del tuo sito sono conformi al GDPR? Contattaci: ti aiutiamo a scegliere la soluzione giusta per la tua attività.