Si torna a parlare di Google Analytics e del suo complicato rapporto con gli adempimenti privacy. L’occasione, in particolare, è fornita da una pronuncia dell’Agencia Espanola Proteccion Datos (il Garante spagnolo), che si discosta dalla linea finora seguita dalle Autorità europee. Il filone è sempre quello dei reclami presentati, uniformemente su tutto il territorio UE, da NOYB, la ONG guidata dal noto attivista Max Schrems.
Ad oggi, questi reclami hanno sempre portato ad un accoglimento delle tesi presentate. Recentemente, anche il Garante italiano si è espresso nel senso di ritenere che l’utilizzo di Google Analytics possa comportare una serie di criticità dal punto di vista della protezione dei dati personali. L’allarme suona, in particolare, quando i dati raccolti, che si riferiscono ad utenti che navigano sul sito, vengono trasferiti a Google per consentirne l’elaborazione e la creazione di statistiche. Il fatto che si scambino dati con un soggetto di diritto USA, dove la normativa privacy non è rigida come in Europa, rischia di rappresentare una violazione degli standard di sicurezza.
La decisione del Garante Spagnolo
Ebbene, il Garante spagnolo non la vede così. Nel caso specifico, oggetto del reclamo era il sito della Real Academia Espanola, un soggetto no profit che si occupa della divulgazione e della conoscenza della lingua spagnola. Il sito, quindi, incorporava Analytics per poter avere un quadro sommario dei visitatori. Ed infatti la RAE, chiamata a difendersi, ha sostanzialmente affermato di non aver mai operato l’identificazione dei visitatori e di non aver mai avuto a disposizione i mezzi e gli elementi per poterlo fare. Ha chiarito che l’uso di Analytics è stato limitato alla generazione di statistiche aggregate e che i dati non sono stati comunicati a terzi soggetti.
Indicazioni ritenute sufficienti dal Garante spagnolo. Che, infatti, non ha elevato nessun provvedimento nei confronti della Real Academia. Le motivazioni, estremamente scarne, non consentono però di ricavarne elementi di discussione particolarmente carnosi. Semplicemente, l’Agencia ha ritenuto che l’Academia non abbia utilizzato le informazioni a sua disposizione per identificare i visitatori del suo sito. In questo modo, viene meno l’idea stessa di trattamento di dati “personali”, non essendo cioè ipotizzabile l’identificabilità dei soggetti. Nella decisione dell’Autorità ha influito inoltre la circostanza che l’Academia ha cessato di utilizzare Analytics successivamente alla pubblicazione della sentenza Schrems II. Così come, molto probabilmente, ha inciso la circostanza che si tratti di un soggetto che non opera sul Web con finalità commerciali.
Gli spunti
Detto questo, questa decisione è in ogni caso utile per ripensare all’argomento e chiederci se dietro alle pronunce precedenti non ci fosse un eccesso di rigore e di formalismo. Il Garante spagnolo, infatti, evidenzia gli scopi perseguiti dal titolare del sito, che con Google Analytics cerca semplicemente di avere un identikit generico dei propri navigatori. Chi usa Analytics non ha interesse ad identificare i propri utenti, ma li considera come una massa, un gruppo i cui comportamenti vanno studiati, per essere poi orientati. Le pronunce che stigmatizzano l’impiego del tool di analisi lo fanno partendo dal presupposto che tecnicamente sia possibile risalire all’identità dei singoli internauti. Non si chiedono, però, se qualcuno abbia realmente questo interesse e se, in concreto, lo faccia.
L’analisi della navigazione online prescinde da questo tipo di indagine. Gli strumenti messi a disposizione del titolare di un sito, infatti, si caratterizzano proprio perché prescindono dall’identificazione dei singoli soggetti. Le valutazioni e le strategie che il titolare del sito può prendere, dopo aver esaminato le statistiche, non richiedono di identificare i navigatori. Al netto della motivazione scarna, di cui si è detto, questo provvedimento potrebbe quindi portare a spostare l’attenzione degli interpreti rispetto alla decisione concernente la liceità del tool: da “cosa potenzialmente si può fare” con Analytics a “cosa in concreto si fa”.
Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale