«I dati finiscono in Usa»: vietato l’uso di Google Analytics

3' di lettura

Comincia la stretta del Garante Privacy italiano, come già quello francese e quello austriaco, su Google Analytics. Giovedì ha ammonito la società Caffeina Media srl, che usava questi strumenti sul proprio sito, chiedendole di toglierli entro 90 giorni.

Ma l'invito riguarda informalmente tutte le società che utilizzano gli analytics di Google, perché il problema è generalizzato.

Il Garante ha infatti concluso che Analytics compie un trasferimento di dati europei all'estero illecito per l'attuale normativa.

«Dall’indagine del Garante è emerso che i gestori dei siti web che utilizzano Google Analytics raccolgono, mediante cookie, informazioni sulle interazioni degli utenti con i predetti siti, le singole pagine visitate e i servizi proposti», si legge in una nota del garante.

«Tra i molteplici dati raccolti, indirizzo Ip del dispositivo dell'utente e informazioni relative al browser, al sistema operativo, alla risoluzione dello schermo, alla lingua selezionata, nonché data e ora della visita al sito web. Tali informazioni sono risultate oggetto di trasferimento verso gli Stati Uniti. Nel dichiarare l'illiceità del trattamento è stato ribadito che l'indirizzo Ip costituisce un dato personale e anche nel caso fosse troncato non diverrebbe un dato anonimo, considerata la capacità di Google di arricchirlo con altri dati di cui è in possesso».

Si è arrivati a questo punto dopo che la Corte di Giustizia europea nel 2020 ha annullato gli strumenti giuridici con cui avvenivano questi trasferimenti dati da Europa a Usa, perché la normativa statunitense non dava garanzie in termini di sorveglianza governativa su quei dati.Usa ed Europa stanno contrattando un nuovo accordo di collaborazione sul trasferimento dati e fino ad allora si è in un limbo di incertezza per le aziende che usano servizi americani.

«Il Garante ha evidenziato, in particolare, la possibilità, per le Autorità governative e le agenzie di intelligence statunitensi, di accedere ai dati personali trasferiti senza le dovute garanzie, rilevando al riguardo che, alla luce delle indicazioni fornite dall'Edpb (Raccomandazione n. 1/2020 del 18 giugno 2021), le misure che integrano gli strumenti di trasferimento adottate da Google non garantiscono, allo stato, un livello adeguato di protezione dei dati personali degli utenti», ha spiegato infatti il Garante.

Allo scadere del termine di 90 giorni, il Garante procederà, anche sulla base di specifiche attività ispettive, a verificare la conformità al Regolamento Ue dei trasferimenti di dati effettuati dai titolari.

Caffeina Media, insomma, rischia una sanzione e sarebbe una escalation rispetto a quanto fatto finora in Europa. In Francia e Austria ci si è limitati a una diffida, alla luce appunto dell'attuale incertezza normativa.

«Le imprese devono valutare di dismettere questo strumento perché non è chiaro se si possa usare negli Unione europea - spiega Anna Cataleta, avvocato esperto di privacy -. Dovrebbero fare come la Pa italiana, che sta dismettendo Google Analytics. Per legge infatti la PAadeve valutare strumenti alternativi a Google Analytics, open source, per legge; dotati con meccanismi di anonimizzazione forte, by design e non solo ex post come fa Google».

Considerata la diffusione di Google Analytics, si apre insomma una fase di attenzione per moltissime imprese italiane dotate di sito web. «Con l'occasione l'Autorità richiama all'attenzione di tutti i gestori italiani di siti web, pubblici e privati, l'illiceità dei trasferimenti effettuati verso gli Stati Uniti attraverso Gopogle Analytics, anche in considerazione delle numerose segnalazioni e quesiti che stanno pervenendo all'Ufficio».

«E invita tutti i titolari del trattamento a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali», scrive infatti il Garante.