Google Analytics e GDPR: raccoglie dati personali?
Parti dalla configurazione specifica: quale proprietà e configurazione di Google Analytics?
La risposta breve è: a volte. Stabilire se Google Analytics raccoglie dati personali ai sensi del GDPR dipende da ciò che un determinato sito invia, da come Google lo tratta e dalla possibilità di collegare le informazioni a una persona identificabile. Il proprietario del sito non può risolvere la questione limitandosi a indicare il nome del prodotto. Per questo, chiedersi «Google Analytics raccoglie dati personali secondo il GDPR?» richiede di esaminare la configurazione concreta.
Per prima cosa, individua la proprietà utilizzata. Un sito potrebbe usare Google Analytics 4 (GA4), una vecchia proprietà Universal Analytics o entrambe durante una fase di transizione. I metodi di raccolta e i controlli disponibili sono diversi, inoltre il funzionamento del prodotto può cambiare nel tempo. Verifica la configurazione attuale della proprietà e dei tag, senza affidarti a una vecchia guida d’installazione.
Esamina poi il sistema nel suo complesso. Un tag GA4 potrebbe essere gestito tramite Google Tag Manager, una piattaforma per la gestione del consenso, un tag pubblicitario o un plug-in che aggiunge automaticamente dei campi. Anche uno strumento per i moduli o un database clienti potrebbe trasmettere identificativi ad Analytics. La stessa proprietà può quindi sollevare questioni di privacy diverse su due siti web.
Definisci con precisione l’ambito: una proprietà, un insieme di tag e i dati che inviano effettivamente. Se un account ha proprietà separate per un blog pubblico e un servizio con accesso riservato, esaminale separatamente. Finalità e flussi di dati potrebbero essere diversi.
Segui una visita lungo il percorso dei dati di Analytics
Immagina che un visitatore apra la pagina di un prodotto da un risultato di ricerca. La pagina carica un tag di Google Analytics, che potrebbe inviare un evento, ad esempio una visualizzazione di pagina, insieme ai dettagli configurati dal sito. A seconda dell’implementazione, questi dettagli possono includere l’indirizzo della pagina, informazioni sul browser, il nome di un evento o un identificativo.
Google riceve ed elabora quindi la richiesta in base alla configurazione e alle condizioni applicabili al prodotto. Il sito potrebbe inoltre inviare informazioni tramite servizi collegati, come funzionalità pubblicitarie o segmenti di pubblico importati. Una visita non corrisponde necessariamente a un unico record isolato: le impostazioni possono influire su come gli eventi vengono associati, presentati nei rapporti o condivisi con altri strumenti.
Controlla attentamente l’indirizzo della pagina. Un URL può contenere un indirizzo e-mail, un termine di ricerca, il numero di un account o altri dettagli, se il sito li inserisce in un parametro di query. Per esempio, un link per reimpostare la password potrebbe includere un token. Se il tag registra l’URL completo, il sito potrebbe inviare più del semplice nome della pagina.
Può bastare una sola richiesta.
Questo non significa che ogni visita identifichi una persona per nome. Significa però che il proprietario del sito dovrebbe esaminare la richiesta e i sistemi collegati, invece di presumere che Analytics riceva solo conteggi anonimi. Per capire come verificare i dati inviati da GA4, gli strumenti per sviluppatori del browser, l’anteprima dei tag e una visita di prova possono aiutare a controllare che cosa viene inviato; annota i risultati per la proprietà esaminata.
Distingui la raccolta dei dati dalla loro natura di dati personali
La raccolta dei dati e la loro natura di dati personali sono questioni correlate, ma non identiche. Un evento di visualizzazione di pagina è un dato. Stabilire se si tratti di un dato personale ai sensi del GDPR dipende dal suo contenuto e dal contesto, compresa la possibilità di identificare una persona direttamente o indirettamente tramite informazioni a disposizione del sito o di un’altra parte.
Anche un identificativo dall’aspetto casuale può essere rilevante. Se consente di distinguere lo stesso browser nel tempo o può essere associato a un record cliente, potrebbe permettere di individuare una persona, anche se il rapporto di Analytics non mostra un nome. Se il sito può collegare un ID evento a un account con accesso, dovrebbe valutare tale collegamento, non limitarsi all’etichetta assegnata al campo.
Il contesto cambia la risposta.
Considera due record con lo stesso nome di evento, “view_item”. Uno è un conteggio generico relativo a una pagina prodotto pubblica. L’altro include un ID utente persistente che l’azienda può associare a un account e alla cronologia degli acquisti. L’etichetta dell’evento non è cambiata, ma è cambiata la possibilità di collegare il record a una persona.
Per questo motivo, alla domanda «Google Analytics raccoglie dati personali ai sensi del GDPR?» non si può rispondere con un sì o un no valido per tutti i siti. La valutazione pratica considera gli identificativi, i dati aggiuntivi, gli accessi e la possibilità di collegamento nel trattamento specifico. Gli identificativi e la privacy in Google Analytics, quindi, vanno valutati nel contesto: le informazioni pseudonimizzate non diventano automaticamente anonime solo perché non contengono nomi.
Verifica i campi e le funzionalità che possono cambiare la valutazione
Esamina i campi e le funzionalità che possono incidere sull’identificabilità o sulla quantità di informazioni raccolte. Non dare per scontato che una funzionalità sia attiva o disattivata solo perché era presente in una precedente guida alla configurazione. Controlla le impostazioni attuali della proprietà e la documentazione di Google.
Gestione degli indirizzi IP: verifica quali dati riceve ed elabora la versione attuale del prodotto e quali controlli sono disponibili. Non fare affermazioni sull’anonimizzazione degli IP basandoti su un’impostazione di una vecchia versione di Analytics.
ID utente: se il sito invia un identificativo dell’account, verifica se è stabile, se può essere associato a un cliente e se il sito è autorizzato a inviarlo per la finalità configurata.
Google Signals e funzionalità pubblicitarie: controlla se sono attivi, quali informazioni utilizzano e se modificano i rapporti o la condivisione dei dati della proprietà.
Parametri degli URL: verifica le pagine effettive per individuare dati personali nelle stringhe di query, nei frammenti e nei link di reindirizzamento. Un token o un indirizzo e-mail può finire nell’indirizzo della pagina anche se nessuno intendeva usarlo come campo di Analytics.
Dimensioni personalizzate ed eventi: esamina i nomi e i valori inviati dal sito. In una configurazione, un campo personalizzato chiamato «tipo di piano» può essere innocuo; un campo che contiene un indirizzo e-mail, una risposta in testo libero o un dato relativo alla salute solleva una questione diversa.
Controlla anche cosa succede ai dati una volta raggiunta la proprietà. Account collegati, esportazioni e integrazioni possono ampliare la platea di chi accede alle informazioni o le modalità di utilizzo. Un’impostazione che limita la raccolta non risponde a tutte le domande sull’uso successivo dei dati.
Il ruolo e le condizioni di Google: cosa chiariscono e cosa no
I documenti contrattuali di Google possono descrivere i ruoli di Google e del cliente per determinati trattamenti, comprese le circostanze in cui Google agisce da responsabile del trattamento. Leggi le condizioni applicabili al servizio e all’account e verifica che siano aggiornate. La sola descrizione di un prodotto non definisce l’intera posizione del sito ai sensi del GDPR.
Il proprietario del sito deve comunque valutare le proprie finalità, la base giuridica, la trasparenza, la configurazione e le eventuali comunicazioni o trasferimenti pertinenti. Un fornitore può mettere a disposizione impostazioni e condizioni contrattuali, ma ciò non rende automaticamente lecito ogni utilizzo di Analytics. Né la scelta di un banner di consenso dimostra che i tag si comportino come promesso dal banner.
I ruoli possono inoltre dipendere dal trattamento in questione. Il sito può decidere perché misurare le visite e quali eventi inviare, mentre un fornitore tratta le informazioni secondo specifiche condizioni di servizio. I dettagli contano: evita di assegnare i ruoli sulla base di un modello generico senza verificare il rapporto di servizio effettivo.
Per un piccolo editore, un passo pratico consiste nel tenere traccia della proprietà, dei tag, dei servizi collegati, delle finalità e delle condizioni pertinenti. Se il sito tratta informazioni sensibili o utilizza integrazioni pubblicitarie complesse, chiedi una consulenza qualificata in materia di privacy invece di considerare una schermata delle impostazioni come una verifica legale.
Una verifica mirata per il proprietario del sito
Una verifica breve e documentata è più utile di una vaga promessa di «usare impostazioni rispettose della privacy». Segui questi passaggi per ogni proprietà di Analytics:
Elenca la proprietà e i tag. Annota se il sito usa GA4, una proprietà meno recente, Google Tag Manager, plug-in o codice inserito direttamente. Indica anche le pagine in cui viene caricato ciascun tag.
Prova una visita. Apri una sessione pulita del browser, visita le pagine principali ed esamina le richieste in uscita con gli strumenti per sviluppatori del browser o una funzione di debug dei tag. Rileva i nomi degli eventi, gli indirizzi delle pagine e gli identificativi, quindi rimuovi o maschera gli eventuali valori sensibili.
Verifica il comportamento del consenso. Prova entrambe le opzioni nell’interfaccia di consenso del sito. Controlla se i tag di Analytics attendono, vengono bloccati o si comportano diversamente, quindi confronta i risultati con quanto dichiarato nell’informativa del sito.
Esamina eventi e integrazioni. Controlla gli eventi personalizzati, gli ID utente, i servizi pubblicitari collegati, le importazioni e le esportazioni. Chiedi al team responsabile di ogni integrazione quali dati invia e per quale motivo.
Controlla conservazione e accessi. Verifica le impostazioni di conservazione della proprietà, gli utenti dell’account e le destinazioni delle esportazioni. Revoca gli accessi che non sono più necessari per motivi aziendali e documenta le impostazioni correnti.
Correggi i dati inviati per errore. Ove possibile, rimuovi i dati personali dagli URL o dai valori degli eventi alla fonte. Se un campo non deve essere inviato, impediscine l’invio prima che raggiunga il tag, invece di affidarti soltanto a un filtro nei rapporti.
Ripeti la verifica dopo un restyling o l’installazione di un nuovo plug-in. Un nuovo flusso di pagamento, una procedura di accesso o un modulo possono modificare i dati inviati anche senza interventi diretti sulla proprietà di Analytics.
Fornisci ai visitatori una risposta precisa e circostanziata
Un’informativa sulla privacy utile dovrebbe descrivere le pratiche effettive del sito, non affermare genericamente che «Google Analytics è anonimo». Indica la finalità, ad esempio capire quali pagine visitano gli utenti, e spiega le categorie di dati raccolti, le eventuali condivisioni pertinenti e le opzioni a disposizione dei visitatori. Assicurati che il testo sia coerente con i tag osservati durante la verifica.
Spiega la base giuridica su cui il sito si fonda per ciascuna finalità pertinente e come il visitatore può esercitare i diritti applicabili. In alcune circostanze può essere necessario il consenso per determinate forme di tracciamento, ma il consenso non risponde a ogni questione relativa al GDPR: il sito deve valutare il trattamento e le norme applicabili.
Sii chiaro sui limiti. Se il sito usa un identificativo collegabile a un account con accesso, descrivilo con precisione; se non invia tale identificativo, non lasciare intendere il contrario. La risposta deve corrispondere alla proprietà, ai tag e al flusso di dati verificati sul sito, non a una descrizione generica di Google Analytics.
