Di recente, il Garante della Privacy ha ammonito un’azienda a causa dell’uso di Google Analytics, che è risultato non essere conforme alla normativa prevista dal GDPR.
Pur creando scompiglio, il provvedimento dell’autorità italiana non è stato esattamente un fulmine a ciel sereno, ma simula le decisioni prese dapprima dall’autorità austriaca per la protezione dei dati personali e successivamente da quella francese.
Indice dei contenuti:
Google Analytics e le decisioni dei Garanti
Per ricercare le motivazioni che hanno portato alcuni Garanti della Privacy di Paesi UE a ritenere illegittimo l’utilizzo di Google Analytics, facciamo un passo indietro.
Google Analytics è un servizio di analisi web, concesso in forma gratuita da Google, che sfrutta i cookies per fornire dati e statistiche dettagliate sui visitatori di un sito web. La piattaforma consente ai gestori di raccogliere informazioni rispetto a una serie di dati, fotografando i comportamenti, le caratteristiche demografiche, economiche e tecniche degli utenti. Tra queste rientrano l’indirizzo IP, il sistema operativo, la versione del browser, la lingua selezionata, data e ora della visita, la localizzazione geografica dell’internauta.
Google Analytics trasferisce questi dati negli Stati Uniti e più precisamente in California, dove ha sede il colosso, ovvero in un Paese che non prevede un livello di protezione conforme con gli standard del GDPR. In particolare, l’indirizzo IP costituisce un dato personale e, pur se parzialmente oscurato con “IP Anonymization”, non diverrebbe un dato anonimo considerata la capacità di Google di combinarlo con altri dati in suo possesso, ad esempio l’indirizzo email.
Questa la ragione che ha spinto il Garante della Privacy austriaco a pronunciarsi in merito all’uso dei cookies di Google Analytics; a ruota anche l’authority d’oltralpe ha ritenuto che il servizio violasse il GDPR. La stretta contro GA nasce da una serie di reclami presentati in tutti i paesi continentali nel 2020 da NOYB, centro europeo per i diritti digitali. Le denunce fanno seguito alla sentenza della Corte di Giustizia UE, che aveva invalidato l’accordo (Privacy Shield) sui trasferimenti transatlantici di dati personali a scopo commerciale tra l’UE e gli USA.
Quale la soluzione?
Il vuoto normativo creatosi con l’invalidazione del Privacy Shield da parte della Corte di Giustizia ha di fatto dato il via a una nuova negoziazione sull’asse Europa-Stati Uniti.
In attesa del nuovo accordo e dal momento che il monito del Garante ha interessato l’uso di Google Analytics 3, una soluzione potrebbe consistere nell’abbandono della versione che decadrà comunque il 1° luglio 2023 per passare a GA4. A inizio 2022, Google ha lanciato una nuova release di Analytics introducendo alcune misure aggiuntive in fatto di trattamento dei dati. Tuttavia, anche se in assenza di esplicite indicazioni da parte delle autorità, alcune considerazioni convergono nel ribadire che la nuova versione non si presta ad essere completamente GDPR compliant.
In sostanza, quando un cliente richiede l’anonimizzazione degli indirizzi IP, Analytics li maschera non appena è tecnicamente possibile. Questa funzionalità, che scarta gli ultimi 8 bit dell’indirizzo IP dell’utente, in GA 4 non è necessaria, poiché a detta del colosso di Mountain View gli indirizzi IP non vengono registrati né archiviati. Tuttavia, anche se GA4 Google promette di non archiviare l’intero indirizzo IP, non vi è completa certezza sul fatto che Google possa ricevere i dati ed evitare la loro trasmissione in USA.
Per chi vuole un grado di sicurezza in più, la configurazione di GA4 con tracciamento Server-Side (che ha un costo di licenza mensile) è la soluzione migliore in modo che i dati raggiungano un server localizzato in UE.
In alternativa, potresti vagliare le proposte presenti sul mercato, alcune gratuite e altre a pagamento.
Alternative a Google Analytics
Le piattaforme di analisi web gratuite spesso hanno funzionalità limitate, ma possono comunque rappresentare un giusto compromesso. Chi gestisce un sito web più strutturato, al contrario, potrebbe avere necessità di disporre di una soluzione avanzata. Di seguito, illustriamo qualche alternativa a Google Analytics in linea con la normativa del GDPR.
Plausible
Si tratta di una soluzione open source e leggera, pensata per favorire la facilità d’uso rispetto alla quantità di funzionalità. La dashboard, infatti, ricorda molto quella di Google Analytics, ma le statistiche sono consultabili da un’unica interfaccia.
Plausible non utilizza cookie, ciò significa che è conforme al GDPR. Utilizzando questo strumento, tutte le misurazioni del sito vengono eseguite in modo assolutamente anonimo. L’obiettivo di Plausible è tracciare le tendenze e il traffico generale di un sito web, non i singoli visitatori.
La piattaforma, inoltre, si appoggia su un’infrastruttura europea e non effettua alcun tracciamento cross-site o cross-device.
Matomo
Dopo Google Analytics, è il software più utilizzato per raccogliere report dettagliati e in tempo reale sui visitatori. Offre agli utenti la possibilità di importare lo storico da Universal Analytics, in modo tale da conservare i dati raccolti nel corso degli anni.
Matomo dispone di un’interfaccia intuitiva e completamente personalizzabile: è possibile trascinare e rilasciare i widget che si desidera visualizzare e, dunque, creare una visualizzazione dei dati su misura. Integra anche funzionalità per il monitoraggio del comportamento degli utenti, mediante l’implementazione di Heatmap, Scroll Depth, Session Recordings e altro ancora.
Il software è open source ed è particolarmente attento in materia di privacy.
Open Web Analytics
Altra alternativa a Google Analytics, e affine a Matomo, è Open Web Analytics. Anche questo software si presenta con un’interfaccia simile a GA e con ampie funzioni, tra cui una heatmap integrata.
OWA è concesso in licenza e facilita la gestione dell’analisi dei dati utilizzando semplici API basate su Javascript e PHP e supporta WordPress.
Simple Analytics
Si tratta di una piattaforma Privacy First: fornisce report sulle prestazioni di un sito web mantenendo i più elevati standard di privacy per essere GDPR compliant. Per raggiungere questo obiettivo, Simple Analytics non immagazzina alcuna informazione personale e raccoglie quantità minime di dati al fine di proteggere la privacy dei visitatori. I dati sono sempre crittografati e la chiave di crittografia è posta all’esterno dei server, in un cloud protetto dall’autenticazione a due fattori.
Fathom Analytics
Il modello di business di Fathom si concentra sulla privacy e raccoglie solamente le metriche più importanti visualizzabili su un’unica dashboard e il cui filtraggio è intuitivo e veloce. Ha una visione completa del traffico del sito grazie a uno script che raggira gli ad-blocker.
Fathom è completamente conforme al GDPR, non utilizza cookie né salva indirizzi IP ed è completamente trasparente su come elabora i dati.
Visitor Analytics
Traffico del sito web, registrazioni delle sessioni dei visitatori, heatmaps: Visitor Analytics offre la maggior parte degli strumenti utili per il monitoraggio del comportamento degli utenti.
La piattaforma implementa il tracking cookieless, utilizzando in sostituzione un tipo di rilevamento delle “impronte digitali” nel rispetto della privacy. Quando un utente visita un sito web per la prima volta, lascia un’impronta digitale che può essere riconosciuta nel momento in cui apre un’altra pagina dello stesso sito web. Alcuni dati anonimi vengono memorizzati, ma solo all’interno dell’ambiente di analisi, ed è impossibile associarli alle abitudini e allo storico di un determinato utente.
Le piattaforme di analisi offrono massima compatibilità con WordPress e i CMS più diffusi sul mercato.
