La risposta breve è che non è automaticamente illegale, e non va nemmeno automaticamente tutto bene. Tutte e due queste affermazioni vengono ripetute con sicurezza e nessuna sopravvive al contatto con le decisioni vere.

Questo è un riassunto per chi sta decidendo su uno strumento, non è consulenza legale.

Che cosa hanno deciso davvero le autorità per la protezione dei dati

Fra il 2022 e il 2023, le autorità di controllo di Austria, Francia, Italia, Danimarca, Finlandia, Norvegia e Svezia hanno giudicato illecite installazioni precise di Google Analytics. I reclami venivano da noyb, l'organizzazione per la privacy fondata da Max Schrems, ed erano stati presentati contro molti siti insieme.

Il ragionamento riguardava le trasferimenti internazionali, non l'analitica. Dopo che la Corte di giustizia ha annullato il Privacy Shield UE-USA nella sentenza Schrems II, i trasferimenti verso gli Stati Uniti hanno avuto bisogno di un'altra base giuridica. Le autorità hanno concluso che le clausole contrattuali tipo su cui Google si appoggiava non bastavano da sole, perché non impediscono alla legge sull'intelligence degli Stati Uniti di arrivare ai dati. Le misure supplementari che Google aveva aggiunto (cifratura in transito, l'opzione di troncare un indirizzo IP) non hanno cambiato la cosa, perché Google riusciva comunque a leggere i dati.

Due dettagli di quelle decisioni si perdono nel raccontarle, e contano tutti e due:

  • Troncare l'IP non è bastato. L'autorità austriaca ha concluso che la combinazione di un identificativo di client con altri dati identificava comunque la persona, quindi togliere una parte dell'indirizzo IP non rendeva i dati non personali.
  • Erano decisioni su siti precisi, con configurazioni precise, in un momento preciso. Non erano un divieto generale del prodotto.

Che cosa ha cambiato il Data Privacy Framework

Nel luglio 2023 la Commissione europea ha adottato una decisione di adeguatezza per il Data Privacy Framework UE-USA. Per un'azienda statunitense che si autocertifichi ai sensi del DPF (e Google lo fa) i trasferimenti possono appoggiarsi a quella decisione di adeguatezza invece che alle clausole contrattuali tipo.

Questo cambia davvero la posizione su cui poggiavano le decisioni del 2022-23. Quelle decisioni riguardavano l'assenza di un meccanismo di trasferimento valido, e adesso ce n'è uno.

L'avvertenza è che questo è il terzo quadro del genere. Il Safe Harbour è stato annullato nel 2015, il Privacy Shield nel 2020, e noyb ha annunciato l'intenzione di contestare il DPF il giorno stesso in cui è stato adottato. Una contestazione non è un annullamento, e sarebbe sbagliato dirti che il quadro sta per cadere. È altrettanto sbagliato pianificare come se la questione fosse chiusa per sempre, visto che le due risposte precedenti sono durate circa cinque anni ciascuna.

Che cosa deve ancora essere vero

La questione dei trasferimenti è quella che ha preso i titoli. Non è l'unica, ed è nelle altre che la maggior parte delle installazioni di GA4 è davvero vulnerabile.

Consenso, ottenuto come si deve. L'analitica non è strettamente necessaria, quindi nell'UE ha bisogno del consenso prima che qualunque cosa sia archiviata sul dispositivo o letta da lì: in Italia è l'art. 122 del Codice della privacy (d.lgs. 196/2003), applicato dal Garante, e GA4 archivia un identificativo. Il consenso dev'essere libero, specifico, informato e inequivocabile. Un banner con solo un pulsante «Accetta» non è niente di tutto ciò. E nemmeno uno che imposta l'identificativo prima che tu clicchi.

Consent Mode configurato correttamente. Il Consent Mode di Google cambia il comportamento di GA4 quando il consenso è negato, ma di serie continua a mandare segnali senza cookie e a modellare il buco. Se le cifre modellate ti vadano bene è una questione di misurazione; se i segnali ti vadano bene è una questione giuridica, e dipende da una configurazione che devi controllare invece che dare per scontata.

Una documentazione che potresti produrre. Ai sensi dell'articolo 5, paragrafo 2, del GDPR devi essere in grado di dimostrare la conformità. Vuol dire una valutazione d'impatto sulla protezione dei dati dove è richiesta, un registro dei trattamenti, una politica di conservazione che applichi davvero, e un consenso documentato.

Tutto quello che ci hai aggiunto sopra. La maggior parte dei problemi di GA4 nella pratica non è GA4. Sono lo User-ID che si è rivelato un hash di un'email, l'indirizzo della pagina che porta un codice o un numero d'ordine in un parametro, o la carica di commercio elettronico che comprende il nome di un cliente.

Che cosa vuol dire per una decisione

Se GA4 lo fai già girare e ha un consenso come si deve, una configurazione come si deve e la documentazione, la decisione di adeguatezza ti dà oggi una posizione difendibile. Strapparlo via questo pomeriggio sulla base di un titolo del 2022 è una reazione esagerata.

Se stai scegliendo adesso, l'inquadramento onesto è di rischio. Tenere i dati nell'UE con un responsabile del trattamento dell'UE toglie del tutto la questione dei trasferimenti dal tuo registro dei rischi invece di risponderle. Vale qualcosa, e quanto dipende dal tuo settore, dal tuo regolatore, e da quanto ti va di rimettere in discussione questa cosa alla fine del decennio.

C'è anche un semplice argomento operativo che non ha niente a che vedere con il diritto: se la tua analitica ha bisogno del consenso, stai misurando soltanto le persone che hanno acconsentito, che non sono un campione casuale del tuo traffico.

Dove si colloca Skomi

Skomi conserva i suoi dati nell'UE e ricava l'identità di chi visita sul server da un sale che ruota ogni giorno, quindi sul dispositivo di chi visita non viene scritto niente e non viene letto niente. Non c'è nessun trasferimento da valutare e, con l'impostazione di serie, nessun consenso da raccogliere.

È anche un prodotto più piccolo di GA4, e la pagina di confronto elenca quello a cui rinunci accanto a quello che guadagni, comprese le righe che GA4 vince, che sono reali.

Fonti che vale la pena leggere di persona

  • La decisione della DSB austriaca del dicembre 2021, la prima della serie e la più dettagliata sul perché troncare l'IP non bastava.
  • Le decisioni della CNIL su Google Analytics e le sue successive linee guida sulla misurazione dell'audience esentata.
  • La decisione di adeguatezza della Commissione europea per il Data Privacy Framework UE-USA, luglio 2023.
  • Le raccomandazioni 01/2020 dell'EDPB sulle misure supplementari, che espongono la valutazione che le autorità hanno applicato.

Chi ti dice che questa cosa è semplice non le ha lette.

Quello che Skomi fa invece è essere senza cookie di serie: sul dispositivo di chi visita non viene scritto niente, quindi non c'è nessun trasferimento di un identificativo da soppesare, ed è su quello che il prodotto Analytics è costruito, invece che su una modalità in cui si entra. Il campo più ampio dei sostituti, con il nostro collocato onestamente in mezzo, sta su alternative a Google Analytics.