Google Analytics, l’autorità per la tutela della privacy dichiara illegale il trattamento dei dati

Il provvedimento adottato dall’Autorità italiana (n. 224/2022) segue quelli dell’Unione Europea, della Francia e dell’Austria che vietano il trasferimento di dati personali di cittadini dell’UE verso Paesi in cui non esiste un livello adeguato di protezione dei diritti e delle libertà delle persone.

L’ordinanza del 10 giugno 2022 nei confronti di Caffeine Media S.r.L.

La denuncia di un cittadino nei confronti di un’azienda che gestisce un sito web ha portato alla definizione di importanti norme di principio da parte del Garante della privacy italiano. Il sito web utilizzava Google Analytics 3 senza le garanzie previste dalla normativa europea, violando le leggi sulla protezione dei dati perché trasferiva le informazioni degli utenti negli Stati Uniti, dove non esiste un livello adeguato di protezione dei dati personali.

L’indagine del Garante ha rilevato che i gestori di siti web utilizzano i cookie per raccogliere informazioni sulle interazioni degli utenti con il sito, sulle singole pagine visitate e sui servizi offerti. Tra i vari tipi di dati raccolti, l’indirizzo IP del dispositivo dell’utente e le informazioni sul browser, il sistema operativo, la risoluzione, la lingua selezionata, la data e l’ora della visita e l’URL di riferimento. Tali informazioni sono risultate oggetto di trasferimento verso gli Stati Uniti. Il Garante ha anche affermato che l’indirizzo IP costituisce un “dato personale” e anche se fosse abbreviato non diventerebbe anonimo a causa della capacità di Google di arricchire i dati con altri dati in suo possesso (come la posizione dell’utente).

Dopo aver condotto un’indagine, il Garante ha emesso un provvedimento che ordina alla società di conformarsi al GDPR entro 90 giorni. Il tempo indicato è stato considerato adeguato per consentire all’operatore del sistema di adottare le misure appropriate per trasferire i dati negli Stati Uniti. Se tali misure non fossero state adottate entro il termine stabilito, i flussi di dati effettuati attraverso GA verso gli Stati Uniti sarebbero stati sospesi.

Il Garante ha rilevato, in particolare, il rischio che funzionari governativi e agenzie di intelligence statunitensi possano accedere ai dati personali trasferiti, evidenziando che, alla luce della Raccomandazione n. 1/2021 del 18 giugno 2020, le misure integrative degli strumenti adottate da Google non garantiscono, allo stato, un adeguato livello di sicurezza dei dati personali degli utenti.

Quali sono le indicazioni del Garante privacy

Il provvedimento in discussione è particolarmente interessante perché con esso l’Autorità indirizza l’attenzione di tutti i webmaster italiani, pubblici e privati, verso l’illegalità dei trasferimenti verso gli Stati Uniti tramite GA. Inoltre, visto il numero di segnalazioni e quesiti che stanno pervenendo all’ufficio, riteniamo utile che l’Autorità pubblichi una dichiarazione ufficiale in merito. E invita, inoltre, tutti i titolari del trattamento a verificare la conformità alla normativa in materia di protezione dei dati personali delle modalità di utilizzo dei cookie e degli altri strumenti di tracciamento utilizzati sui propri siti web, prestando particolare attenzione a Google Analytics e servizi analoghi. Allo scadere dei 90 giorni, il Garante effettuerà specifiche ispezioni per verificare se il titolare del trattamento si è conformato alla Direttiva UE sulla protezione dei dati personali.

Conclusioni

Ci si aspettava che il Garante della privacy prendesse una posizione chiara su questo strumento, viste le dichiarazioni dei Garanti europei della protezione dei dati (GEPD), del Garante francese della privacy e del Garante austriaco della privacy.

I principali vantaggi includono: proprietà garantita dei dati; controllo totale dei dati; facilità nel cambiare piattaforma; elevata modularità e personalizzazione della piattaforma; assenza di sampling o campionamento (una procedura che analizza un sottoinsieme di tutti i dati per scoprire le informazioni più importanti in un grande insieme di dati). Qualunque sia la decisione presa, la documentazione sul trattamento dei dati deve essere adattata e rendicontata secondo il principio di responsabilità (accountability).

Lo staff SEO di Comunicati Stampa FVG implementerà nei prossimi giorni (11-12 Giugno 2022) le opportune modifiche per adeguare sia la Privacy by Design del sito e sia la documentazione sul trattamento dei dati oltre a mettere in atto altre soluzioni per ottemperare al principio di accountability, come il passaggio a GA4 Server Side e all’utilizzo di altri sistemi di tracciamento alternativi a Google Analytics con conservazione dei dati su un server situato all’interno della Comunità Europea in conformità alle normative stabilite dal garante alla luce della sentenza “Schrems II” sul trasferimento dei dati personali extra SEE.

PER INFORMAZIONI TECNICHE E CONSULENZE

Per Informazioni o consulenze in merito all’adeguamento dei siti alle nuove normative, al passaggio a GA 4 o altre implementazioni di Web Analyticspotete contattarci presso Stefano Bortuzzo  SB SEO al numero 327 269 44 88 o alla mail consulenze@stefanobortuzzo.it