“Il mio sito utilizza Google Analytics: posso ancora mantenerlo attivo o violo la privacy?” e “cosa rischio se continuo a usarlo?” sono due domande che chiunque si occupa di privacy si sta sentendo ripetere da qualche tempo. Soprattutto dopo il provvedimento con il quale il Garante per la protezione dei dati personali si è espresso sul popolarissimo tool di analisi. In sintesi, l’Autorità ha ravvisato una violazione del Regolamento Europeo 2016/679 (GDPR). Seguendo la linea già dettata dai “colleghi” europei, che si sono occupati della stessa questione, anche il Garante ha posto l’accento sul trasferimento di dati attraverso cui funziona Analytics. Esportare questi dati negli USA comporta il rischio di esporli al penetrante potere di indagine delle Autorità statunitensi. La protezione garantita dal GDPR, quindi, svanisce.
Le ragioni del blocco ad Analytics
Che l’impiego di questi strumenti comporti un trattamento di dati personali è ormai chiaro a tutti. Il servizio di analisi, infatti, riceve ed elabora informazioni relative agli accessi e alle visite di un sito Internet. Queste informazioni, nella misura in cui possano essere anche solo riconducibili ad una persona, sono automaticamente qualificabili come dati personali. Si pensi all’indirizzo IP o agli altri indicatori univoci che consentono di risalire al browser, al sistema operativo o al dispositivo utilizzato. Dall’incrocio di questi dati, è possibile ottenere un’identità. Non solo: chi naviga “loggato” con il proprio account Google, consente l’accesso a dati ulteriori, contenuti nelle informazioni caricate sull’account.
Ebbene, il provvedimento del Garante ha imposto al gestore del sito di adottare le misure e gli accorgimenti necessari affinché il trattamento dei dati effettuato utilizzando Google Analytics sia conforme alla normativa privacy. A tale scopo, ha concesso un termine di 90 giorni, prescrivendo inoltre di sospendere i flussi di dati in caso di mancato adeguamento. Il provvedimento è ovviamente efficace solamente nei confronti del diretto destinatario. Questo significa che tutti gli altri gestori di siti che incorporano Analytics non devono considerarsi destinatari diretti di queste statuizioni. Ciò non di meno, farebbero bene a tenerne conto.
Un approccio di accountability: Analytics ci serve davvero?
Che fare, quindi? La prima cosa da chiedersi, in realtà, è se Google Analytics ci serve davvero. Nella realizzazione di un sito web, infatti, è diventato praticamente normale e scontato incorporarlo, ma è lecito chiedersi quanto frequentemente e con quanta attenzione vengano poi concretamente passate in rassegna le statistiche. Analytics è infatti uno strumento pensato per chi intende raccogliere dati sulle visite e sull’utilizzo del proprio sito. La disponibilità di questi dati è ovviamente finalizzata ad adattare i contenuti al pubblico, oppure a modificarli per cercare utenza nuova. Ma quanti lo fanno davvero? È realistico pensare che il piccolo artigiano o il singolo professionista, che magari hanno un sito come “vetrina” da usare per farsi trovare, trovino il tempo da dedicare a statistiche e dati?
Compiere questa indagine rispetto all’utilizzo di un tool di analisi sul proprio sito Internet, del resto, rappresenta anche una forma di accountabilty. Utilizzare questo tipo di applicativo comporta infatti la raccolta di dati personali relativi agli utenti e il loro successivo trattamento. Se questi dati non sono in realtà utili o comunque non vengono realmente utilizzati e valorizzati, perché raccoglierli? Perché conservarli? Il sistema delineato dal GDPR impone a chi tratta i dati personali di minimizzare le operazioni, di semplificare, di ridurre al minimo l’impatto sugli interessati. Chiedersi se Google Analytics serva davvero, ed eventualmente disinstallarlo, rappresenta pertanto una manifestazione di accountability e sgrava il gestore del sito da una serie di responsabilità.
Le possibili alternative
Se lo strumento di analisi è imprescindibile per le esigenze del gestore del sito, è bene sapere che esistono alternative a Google Analytics che sono rispettose della privacy. Si tratta di soluzioni che, non implicando trasferimenti di dati verso gli Stati Uniti, consentono ai dati di mantenere lo standard di protezione offerto dal GDPR. Alcuni esempi sono Matomo e Piwick. C’è inoltre uno strumento espressamente pensato per le PA italiane e si chiama Web Analytics Italia.
Conservare Analytics: cosa è bene sapere
L’ultima alternativa è chiaramente quella di conservare Analytics. Un approccio consapevole, però, non può non tenere in considerazione le indicazioni che il Garante ha impartito con il provvedimento citato sopra. Affinché l’utilizzo di Google Analytics possa ritenersi rispettoso del GDPR, infatti, debbono essere adottati degli accorgimenti volti ad assicurare gli utenti rispetto ad indebiti accessi. Il gestore del sito deve rammentare che è proprio lui, nella veste di titolare del trattamento, a doversi incaricare di questi accorgimenti. Lasciare tutto in mano a Google, fidandosi delle rassicurazioni ottenute, non è una risposta accettabile. A tal proposito, il Garante ha già fatto sapere che il sistema di anominizzazione offerto da Big G non è sufficiente: la chiave di cifratura, infatti, resta sempre a disposizione di Google. Né ci si può difendere sostenendo che il proprio sito non raccoglie dati sensibili o che il rischio di un accesso ai dati dei visitatori è remoto.
È bene sapere, in conclusione, che conservare Analytics attivo sul proprio sito comporta il rischio di ricevere un reclamo da parte di qualche utente, con quello che ne consegue. Senza contare che, come già qualche addetto ai lavori ha segnalato, oggi è il momento di Analytics, ma non è detto che ci si fermi qui. I tool che comportano il trasferimento di dati all’estero sono infatti molti. Già in passato, ad esempio, ci sono stati provvedimenti nei confronti di Mailchimp, a cui si contestavano sostanzialmente gli stessi argomenti. Ecco allora che questa potrebbe essere un’ottima occasione per ripensare il funzionamento del proprio sito, impostandolo nell’ottica della privacy by design e privacy by default, così da mettersi al riparo rispetto a possibili, sgradevoli, sorprese.
Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale