I Garanti privacy austriaci e francesi, hanno pronunciato insieme al Garante Privacy italiano in materia sull'uso di Google Analytcs.
Le Autorità si sono espresse nel senso di vietare l'uso di Google Analytics sui siti web.
Per quale motivo Google Analytics è stata dichiarato "illegale"?
Indice
Il 17 agosto 2020 un utente che utilizzava il sito www.caffeinamagazine.it gestito dalla società Caffeina Media srl emette un reclamo segnalandolo al Garante delle Privacy in cui scopre che il sito avrebbe trasferito a Google LLC, con sede negli Stati Uniti, i dati personali che lo riguardano.
Tale trasferimento sarebbe avvenuto in assenza delle garanzie previste dal GDPR.
l sito magazine avrebbe presentato le seguenti argomentazioni a difesa del reclamo:
Sicuramente molte delle argomentazioni difensive poste in essere dalla società gestore del sito, rappresentano probabilmente argomentazioni che avrebbe indicato qualsiasi altra azienda.
II Garante Privacy ha detto no all'uso di Google Analytics.
Google Analytics è uno strumento di web analytics fornito da Google LLC in modo gratuito a siti web, ecommerce e APP, che consente a questi ultimi di analizzare in modo dettagliato statistiche sugli utenti con l'intento di fornire informazioni utili per la gestione del marketing sui diversi canali di acquisizione.
Anche il sito sopra citato, come molti altri, ha utilizzato Google Analytics nella sua versione gratuita per finalità statistiche.
Il Garante Privacy dopo un indagine ha rilevato che il sito ha raccolto, mediante cookies salvati sul browser degli utenti, informazioni in ordine alle modalità di interazione di questi ultimi con il sito web, nonché con le singole pagine e con i servizi proposti.
Nel provvedimento il Garante Privacy ricorda che l'indirizzo IP costituisce un dato personale se consente di identificare un dispositivo di comunicazione elettronica, rendendo pertanto indirettamente identificabile l’interessato in qualità di utente.
Tutto ciò soprattutto ove l'indirizzo IP sia associato ad altre informazioni relative all'utilizzo del browser utilizzato, con riferimento alla data e all'ora della navigazione.
La piattaforma di Google Analytics mette a disposizione dei gestori dei siti web l’opzione all'interno del sistema di configurazione del tag html, la possibilità di “IP-Anonymization” che comporta l’invio a Google Analytics dell’indirizzo IP dell’utente con oscuramento dell’ottetto meno significativo.
La società ha dichiarato che la suddetta opzione, alla data della presentazione del reclamo, non era stata attivata indicando di aver aderito alla stessa solo successivamente.
Alla luce di quanto complessivamente rilevato, il Garante Privacy ha evidenziato che l’utilizzo di Google Analytics da parte dei siti web implica il trasferimento dei dati personali dei visitatori dei suddetti siti verso Google LLC con sede negli Stati Uniti.
Tali trasferimenti, in quanto effettuati verso un paese terzo che non garantisce un livello di protezione adeguato ai sensi della normativa di protezione dei dati (ossia gli Stati Uniti), devono essere posti in essere in conformità al Capo V del GDPR.
Il Garante ricorda che la Corte di Giustizia dell’Unione Europea, con la pronuncia del 16 luglio 2020 (c.d. Schrems II) ha:
A seguito di un iter molto specifico e puntuale sulla normativa USA in materia di protezione dei dati personali degli utenti, il Garante Privacy ha riscontrato che negli USA non sussiste un livello di protezione dei dati adeguato in base agli standard europei imposti dal GDPR.
Nemmeno l'azione di misure supplementari ha impedito di sancire illiceità di Google Analytics.
In questo caso nemmeno la cifratura dei dati personali, sono sufficienti ad evitare i rischi di un accesso, ai fini di sicurezza nazionale, ai dati trasferiti dall'Unione europea da parte delle Autorità pubbliche degli Stati Uniti.
Le tecniche di cifratura adottate prevedono che la chiave di cifratura sia comunque in capo a Google LLC che la detiene, in qualità di importatore.
"L’Utente dovrà adottare e rispettare le norme sulla privacy corrispondenti e ottemperare a tutte le leggi, norme e regolamenti applicabili in materia di raccolta di informazioni dai Visitatori. L’Utente dovrà pubblicare norme sulla privacy che avvisino dell’utilizzo di cookie al fine di raccogliere dati. L’Utente deve rendere noto l’utilizzo di Google Analytics e le modalità con cui vengono raccolti ed elaborati i dati. . . . L’Utente metterà in atto misure commercialmente ragionevoli affinché ciascun Visitatore riceva informazioni chiare e complete in merito all’archiviazione e all'accesso dei cookie o altre informazioni sul dispositivo del Visitatore e fornisca il relativo consenso, laddove tale attività avvenga in relazione al Servizio e laddove la fornitura di tali informazioni e la raccolta del relativo consenso siano richiesti dalla legge."
Ecco cosa va fatto per rispettare che un sito web, un ecommerce o un APP che utilizza Google Analytics rispetti i termini di Google (e la legge):
Testo preso da Iubenda
In generale, si applicano le leggi nazionali/locali della sede della tua azienda, così come le leggi che regolano i paesi in cui hanno sede i tuoi utenti. Questo può essere piuttosto complicato online, in quanto, a meno che non blocchi alcuni paesi, ti potresti trovare a dover soddisfare requisiti al di là dei confini geografici e delle giurisdizioni legali. Ecco perché è sempre consigliabile avvicinarsi a questo tema tenendo sempre a mente le più severe normative applicabili, come le europee GDPR e Cookie Law.
In conclusione, il Garante Privacy ha statuito l'illiceità dell'uso di Google Analytics tramite il sito internet.
Il Garante ha evidenziato che in relazione alla natura e alla gravità della violazione, le operazioni di trattamento oggetto di contestazione non hanno avuto ad oggetto categorie particolari di dati personali.
Con riguardo all'elemento soggettivo del trasgressore, occorre considerare che la società ha erroneamente assunto come idonee, sulla base delle informazioni rese da Google, le misure supplementari adottate da quest’ultima senza esercitare alcun potere decisionale in merito alle stesse.
Alla luce di ciò, il Garante Privacy non ha emesso una sanzione pecuniaria ma ha richiesto al sito di eliminare Google Analytics dal proprio sito.
Testo preso da Legalblink
Soluzione tecnologica. Quello che è emerso, e di cui si sta discutendo, è che anche a livello tecnico ci sono strumenti che possono essere utilizzati per impedire ai dati di uscire dall'Europa. Google in sostanza con il rilascio di GA4 si è mosso in questa direzione.
Secondo alcuni esperti nell'ultima versione di Google Analytics esistono parametri che permettono di gestire i dati personali degli utenti e di gestire gli stessi con server di Google situati in Europa.
Quindi esisterebbe una serie di configurazioni che è possibile gestire, attivare ed implementare per permettere di rispettare le indicazioni della GDPR.
Il nodo giuridico. In un articolo su Agenda Digitale Guido Scorza del consiglio del Garante della Privacy ha dichiarato che la soluzione non può essere né tecnica e neppure politica.
“Serve un accordo capace di sanare la situazione venutasi a creare in seguito alla sentenza Schrems II, che ha annullato il Privacy Shield”. Accordo che attualmente non c’è.
Testo preso da ilsole24ore
Hai necessità rendere a norma il tuo ecommerce secondo le nuove normative di Policy Privacy e Cookie Law contattaci ti forniremo la miglior proposta in linea con le tue aspettative.