⚖️ Google Analytics e GDPR: quando GA4 può essere usato

Nel giugno 2022 il provvedimento del Garante su Google Analytics ha creato molto allarme tra aziende, agenzie e professionisti che utilizzavano lo strumento sui propri siti. Il caso riguardava Google Analytics 3 e il trasferimento negli Stati Uniti di dati personali degli utenti senza garanzie adeguate. Non stabiliva un divieto generale e definitivo di qualsiasi versione di Google Analytics.

Da allora sono cambiate diverse cose. Universal Analytics è stato sostituito da GA4, Google ha modificato il funzionamento del servizio e nel 2023 la Commissione europea ha adottato la decisione di adeguatezza relativa all’EU-US Data Privacy Framework. Il provvedimento del 2022, quindi, non può essere applicato alle configurazioni attuali come se questi cambiamenti non fossero mai avvenuti.

Oggi GA4 può essere utilizzato in modo conforme al GDPR attraverso una configurazione server-side correttamente realizzata, che permetta di controllare e filtrare i dati prima della loro trasmissione a Google. Dire che Google Analytics è sempre illegale è ormai inesatto. Anche considerare sufficiente il semplice passaggio da Universal Analytics a GA4 porta a una conclusione sbagliata.

Perché il Garante ha dichiarato illecito l’uso di Google Analytics nel 2022

Il provvedimento nacque dal reclamo presentato contro Caffeina Media, che utilizzava la versione gratuita di Universal Analytics per ottenere statistiche sulla navigazione del proprio sito.

Attraverso i cookie, il sito inviava a Google l’indirizzo IP, gli identificatori associati al browser e al dispositivo, le pagine visitate e altre informazioni sulle interazioni degli utenti. Questi dati venivano trasferiti negli Stati Uniti.

I report consultati dalla società contenevano statistiche aggregate. L’Autorità esaminò anche ciò che accadeva prima della visualizzazione dei report, compresa la possibilità per Google di associare i dati raccolti alle informazioni presenti nell’account di un utente.

Per il Garante, l’IP Anonymization disponibile in Universal Analytics non offriva garanzie sufficienti. La funzione eliminava una parte dell’indirizzo IP, lasciando a Google la possibilità di collegarlo agli altri dati in suo possesso. L’Autorità qualificò quindi il trattamento come pseudonimizzazione.

Dopo la sentenza Schrems II, gli Stati Uniti non beneficiavano più della decisione di adeguatezza fondata sul Privacy Shield. Il trasferimento esaminato dal Garante risultava quindi privo delle garanzie richieste dal GDPR.

Caffeina Media ricevette un ammonimento e novanta giorni per adeguare il trattamento. Il Garante invitò anche gli altri gestori di siti italiani a controllare le modalità con cui utilizzavano Analytics e strumenti analoghi.

Quella decisione continua a essere citata quando si parla di Google Analytics e GDPR. Va però letta rispetto al servizio e al quadro giuridico esaminati: Universal Analytics e le regole sui trasferimenti applicabili nel 2022. GA4 e il Data Privacy Framework richiedono una valutazione aggiornata.

Quando Google Analytics 4 può essere usato nel rispetto del GDPR

GA4 può essere utilizzato nel rispetto del GDPR. La valutazione dipende dalle finalità per cui viene impiegato, dai dati raccolti, dai cookie installati e dalle funzioni attivate nell’account.

Contare le visite ricevute da un sito è diverso dal creare segmenti di pubblico, collegarli a Google Ads o riconoscere lo stesso utente su dispositivi differenti. Prima di stabilire quali adempimenti siano necessari, il titolare deve sapere quali attività svolge attraverso Analytics.

Quando serve il consenso per attivare i cookie di Analytics

L’installazione dei cookie e degli altri strumenti di tracciamento è disciplinata dall’articolo 122 del Codice Privacy. Il consenso preventivo è richiesto quando Analytics viene utilizzato con modalità che superano le condizioni previste per gli strumenti assimilabili ai cookie tecnici.

Succede, per esempio, quando i dati servono per la pubblicità personalizzata, il remarketing, la creazione di audience, la profilazione dei dati o l’analisi della navigazione su servizi differenti. In questi casi il tracciamento deve restare inattivo fino alla scelta dell’utente.

Il consenso deve essere libero, specifico, informato e revocabile. Anche il cookie banner deve funzionare correttamente: se il tag invia i dati prima della scelta dell’utente, la sequenza richiesta dalla normativa non viene rispettata.

Le FAQ del Garante sui cookie confermano che i cookie di profilazione e gli strumenti utilizzati per finalità analoghe possono essere attivati soltanto dopo il consenso. Per i cookie tecnici e per gli analytics assimilabili resta necessario fornire l’informativa.

Quando gli analytics possono essere assimilati ai cookie tecnici

Il Garante ammette l’utilizzo degli analytics senza consenso quando servono esclusivamente a produrre statistiche aggregate e presentano caratteristiche che riducono la possibilità di identificare gli utenti.

Se il servizio è fornito da una terza parte, le Linee guida cookie del Garante richiedono che:

• i dati siano minimizzati prima della comunicazione;
• le statistiche riguardino un singolo sito o una singola applicazione;
• le informazioni raccolte non siano combinate con altri dati;
• il fornitore non le trasmetta ad altri soggetti.

Le statistiche possono riguardare più domini in alcune ipotesi, quando i siti o le applicazioni appartengono allo stesso titolare o allo stesso gruppo.

La riduzione dell’indirizzo IP costituisce soltanto una parte della verifica. Bisogna esaminare anche il client ID, gli eventi raccolti, le funzioni pubblicitarie, le integrazioni e le impostazioni di condivisione.

Quando vengono rispettate tutte le condizioni previste per l’assimilazione ai cookie tecnici, quello specifico utilizzo non richiede il consenso. Il titolare deve comunque informare gli utenti e adempiere agli obblighi previsti dal GDPR se il trattamento comprende dati personali.

Quali ruoli assumono il titolare del sito e Google

L’azienda o il professionista che decide di installare GA4 stabilisce perché utilizzare i dati e quali attività misurare. Il gestore del sito assume quindi il ruolo di titolare del trattamento.

Google dichiara di operare come responsabile del trattamento per la fornitura ordinaria del servizio Analytics e di elaborare i dati secondo le istruzioni del cliente. Il titolare deve verificare e accettare i termini applicabili, documentare il rapporto e controllare le impostazioni dell’account.

Alcune funzioni modificano questo assetto. Se viene attivata la condivisione denominata “Prodotti e servizi Google”, i dati possono essere utilizzati per migliorare altri prodotti del gruppo. Secondo la documentazione sulle impostazioni di condivisione, Google agisce come titolare indipendente per i dati condivisi attraverso questa funzione.

La qualifica di Google dipende dall’attività svolta e dalle impostazioni abilitate. Scrivere nell’informativa che Google è sempre responsabile del trattamento, senza controllare l’account, può offrire agli utenti una descrizione incompleta.

Google Analytics 4 (GA4)

Come configurare GA4 in base ai trattamenti attivati

Se parliamo di Consent Mode, Google Tag Manager, Google Signals, User-ID e configurazione server-side, non è perché di punto in bianco siamo diventati sviluppatori. È perché, come avvocati, siamo tenuti a capire che cosa fa lo strumento e quali conseguenze produce sul trattamento dei dati.

Questo non significa prenderci le mansioni di qualcun altro. La configurazione dei tag, della CMP e del server spetta allo sviluppatore o allo specialista analytics. Chi si occupa della parte tecnica, però, deve avere le basi legali necessarie per sapere quali condizioni rispettare. Noi avvocati dobbiamo conoscere il significato delle impostazioni sulle quali stiamo dando una valutazione.

Se manca questo confronto, puoi avere un’informativa corretta sulla carta e un sito che raccoglie e invia dati in tutt’altro modo.

GA4 non contiene un pulsante che rende conforme l’intera raccolta. Ogni funzione può cambiare i dati utilizzati, i soggetti che li ricevono e lo scopo per cui vengono trattati. Prima di modificare l’account bisogna quindi stabilire che cosa vuoi misurare e quali dati servono per farlo.

Consent Mode base e avanzata

La Consent Mode comunica ai tag Google la scelta espressa dall’utente attraverso il banner. Non raccoglie il consenso e non sostituisce la CMP.

Nella modalità base, i tag Google restano bloccati fino alla scelta dell’utente. Se il consenso viene negato, Google non riceve neppure i dati relativi allo stato del consenso.

La modalità avanzata funziona diversamente. I tag vengono caricati con lo stato impostato su “negato” e continuano a inviare segnali privi di cookie. Secondo la documentazione sulla Consent Mode, questi segnali possono comprendere informazioni sull’evento, timestamp, user agent, referrer, presenza di identificativi pubblicitari nell’URL, stato del consenso e dati relativi alla piattaforma utilizzata per raccoglierlo.

L’espressione “segnali senza cookie” non equivale a “nessun dato trasmesso”. Prima di adottare la modalità avanzata bisogna controllare che cosa parte dal sito, per quali finalità viene utilizzato e se il trattamento possa iniziare prima del consenso.

La scelta tra modalità base e avanzata deve partire da questa verifica. Il tecnico che gestisce la CMP e il sistema di tracciamento dovrà poi configurare i tag e controllarne il comportamento sul sito.

Google Signals, dati granulari e collegamento con Google Ads

Google Signals permette di associare i dati raccolti da Analytics alle informazioni degli utenti che hanno effettuato l’accesso al proprio account Google e hanno attivato la personalizzazione degli annunci. Può arricchire i report con dati demografici, interessi e attività svolte su dispositivi differenti.

La funzione può essere gestita anche su base geografica. La sua attivazione deve essere limitata alle regioni e alle finalità per cui il titolare ha deciso di utilizzarla, tenendo conto del consenso raccolto e delle informazioni fornite agli utenti.

Il collegamento tra Analytics e Google Ads apre un ulteriore flusso di dati. Dal 15 giugno 2026, secondo l’aggiornamento dei controlli di Analytics, le impostazioni della Consent Mode relative a Google Ads disciplinano l’utilizzo dei cookie e degli identificativi pubblicitari provenienti dal tag Analytics.

L’impostazione Google Signals presente in Analytics continua a controllare l’associazione dei dati con gli utenti Google per i report comportamentali.

Google ha annunciato altri spostamenti dei controlli sulla personalizzazione verso Google Ads nel corso del 2026. Le istruzioni scritte mesi prima possono quindi non corrispondere all’interfaccia disponibile nell’account. Prima della pubblicazione e durante le verifiche successive bisogna controllare dove siano collocate le singole impostazioni.

Disattivare Signals lasciando attivi i collegamenti con Google Ads, le audience o la personalizzazione risolve soltanto una parte della configurazione. Lo stesso vale quando una proprietà viene collegata ad Ads senza documentare quali dati siano destinati alla misurazione e quali vengano utilizzati per finalità pubblicitarie.

Conservazione, User-ID e cancellazione dei dati

Per le proprietà GA4 standard, Google consente di conservare i dati relativi a utenti ed eventi per due oppure quattordici mesi. La scelta riguarda soprattutto le analisi e i report basati sui dati non aggregati. I report standard aggregati seguono regole differenti.

Il fatto che l’account consenta una conservazione di quattordici mesi non rende questa durata automaticamente adeguata. Il titolare deve stabilire per quanto tempo gli servono i dati in relazione alle finalità dichiarate e applicare i principi di privacy by design e privacy by default.

Quando utilizza User-ID, l’azienda invia a Google un proprio identificativo per collegare le attività dello stesso utente tra sessioni, dispositivi o piattaforme. Google vieta di inserire nell’identificativo informazioni che permettano direttamente a un terzo di riconoscere la persona.

L’utilizzo di User-ID deve essere indicato nell’informativa.

La configurazione deve comprendere anche gli strumenti di cancellazione. GA4 permette di eliminare i dati associati a singoli utenti e di presentare richieste di rimozione per determinati parametri. L’azienda deve conoscere queste funzioni prima di ricevere una richiesta dell’interessato, sapere quali identificativi conserva e riuscire a collegarli ai dati presenti in Analytics.

Server-side tagging: quali controlli permette

Con il server-side tagging, i dati raccolti dal sito vengono inviati prima a un server controllato dall’azienda o dal fornitore incaricato. Da lì possono essere modificati, esclusi oppure trasmessi a Google e ad altre piattaforme.

Questa architettura permette di controllare quali eventi e parametri escano dal server. Può essere utilizzata per eliminare dati non necessari, ridurre gli identificativi trasmessi, applicare le scelte comunicate dalla CMP e impedire l’invio di informazioni che il titolare non ha autorizzato.

Una configurazione server-side correttamente progettata può permettere l’utilizzo di GA4 nel rispetto del GDPR. Per raggiungere questo risultato deve filtrare i dati prima della trasmissione e rispettare le decisioni assunte su consenso, finalità, conservazione e servizi collegati.

Instradare le richieste attraverso un server intermedio, da solo, non dimostra che i dati siano stati minimizzati. Bisogna verificare:

• quali informazioni arrivano dal browser;
• quali dati vengono eliminati o modificati;
• quali richieste partono verso Google;
• quali tag si attivano in assenza di consenso;
• chi gestisce il server e può accedere alle informazioni.

La documentazione sul server-side tagging conferma che il titolare può controllare la struttura dei dati e la loro destinazione prima dell’invio. I test devono mostrare quali richieste entrano nel server, come vengono modificate e quali informazioni escono verso Google.

Se il server o il container sono gestiti da un fornitore esterno, la verifica deve comprendere anche gli accessi, i subfornitori, la localizzazione dell’infrastruttura e il relativo Data Processing Agreement.

Quando valutare un’alternativa a Google Analytics

Google Analytics non è l’unico strumento disponibile per misurare le visite e il comportamento degli utenti su un sito.

Per molte aziende, GA4 rimane la soluzione più integrata con Google Ads e con gli altri servizi dell’ecosistema Google. Questo vale soprattutto per gli e-commerce e per i progetti che utilizzano audience, remarketing, attribuzione delle conversioni e campagne distribuite su più canali. Sostituirlo può comportare la perdita di dati, collegamenti e report utilizzati ogni giorno dal marketing.

Esistono però strumenti pensati per una misurazione più essenziale. Possono essere valutati quando:

• servono soprattutto statistiche aggregate sulle visite;
• non vengono utilizzate funzioni pubblicitarie o di riconoscimento tra dispositivi;
• l’azienda vuole conservare i dati sulla propria infrastruttura o all’interno dell’Unione europea;
• le procedure interne prevedono una raccolta più limitata.

Matomo può essere installato sull’infrastruttura scelta dall’azienda oppure utilizzato in cloud. La versione on-premise offre un controllo più ampio sugli accessi, sulla conservazione e sulla destinazione dei dati. L’azienda deve però occuparsi della manutenzione del server, della sua sicurezza e della corretta configurazione delle funzioni di tracciamento.

Plausible dichiara di non utilizzare cookie o identificatori persistenti, di produrre statistiche aggregate e di trattare i dati dei visitatori su infrastrutture europee. Offre meno informazioni individuali e meno collegamenti pubblicitari rispetto a GA4. Questa soluzione può essere sufficiente per un blog, un sito vetrina o un progetto interessato soprattutto alle pagine viste e alla provenienza del traffico.

Fathom utilizza a sua volta un sistema senza cookie e dichiara di instradare il traffico degli utenti europei verso infrastrutture collocate nell’Unione. Raccoglie le informazioni necessarie per produrre statistiche sul sito senza costruire report dedicati ai singoli visitatori.

Le descrizioni fornite dalle piattaforme devono essere verificate rispetto al servizio effettivamente utilizzato. Bisogna controllare lo script installato, i dati trasmessi, il luogo in cui vengono trattati, i subfornitori, il contratto e le funzioni aggiunte alla configurazione standard. Una piattaforma presentata come privacy-friendly può essere configurata in maniera diversa da quella descritta nella documentazione commerciale.

Cambiare strumento può richiedere anche la migrazione dei dati storici, la ricostruzione degli eventi e la modifica dei report utilizzati dall’azienda o dai suoi clienti. Lo specialista analytics deve valutare il lavoro tecnico e le informazioni che non saranno più disponibili. La verifica legale riguarda i nuovi trattamenti, gli obblighi applicabili e gli aggiornamenti richiesti alla documentazione.

La decisione deve tenere insieme ciò che serve al business, i dati che verranno raccolti e il lavoro necessario per gestire la nuova soluzione.

Verifiche periodiche per una configurazione GA4

Puoi configurare GA4 oggi e ritrovarti tra qualche mese con un trattamento diverso, anche senza avere sostituito lo strumento. Il marketing collega Google Ads, lo sviluppatore aggiunge un evento, viene attivata una nuova audience, la CMP riceve un aggiornamento oppure Google sposta un’impostazione da un pannello all’altro.

Basta una di queste modifiche perché dal sito inizino a partire dati che non erano stati considerati durante l’adeguamento.

Dire “Analytics era stato controllato” serve a poco se nel frattempo il sito, le campagne o l’account sono cambiati. La verifica deve essere ripetuta ogni volta che viene aggiunta una funzione capace di modificare la raccolta o l’utilizzo dei dati.

Anche Google aggiorna il funzionamento dei propri controlli. Nel 2026, per esempio, ha modificato il rapporto tra Google Signals, Consent Mode e dati utilizzati da Google Ads. Altri cambiamenti sono stati annunciati nel corso dello stesso anno. La documentazione sugli aggiornamenti dei controlli deve essere ricontrollata insieme all’interfaccia disponibile nell’account.

Controlli legali, tecnici e documentali

La verifica legale parte dalle finalità. Bisogna sapere se GA4 viene utilizzato soltanto per le statistiche del sito oppure anche per audience, remarketing, personalizzazione, analisi tra dispositivi e collegamenti con altre piattaforme.

A questa ricostruzione seguono i controlli su:

• dati ed eventi raccolti;
• attivazione di Google Signals, User-ID, Google Ads o BigQuery;
• tag che partono prima e dopo la scelta dell’utente;
• versione della Consent Mode configurata;
• dati in entrata e in uscita dal server, se viene utilizzato il server-side tagging;
• durata della conservazione e strumenti disponibili per la cancellazione;
• impostazioni di condivisione abilitate;
• fornitori e subfornitori che possono accedere alle informazioni.

La verifica tecnica deve mostrare che cosa accade sul sito e nell’account. Non basta ricevere un elenco con i nomi dei plugin installati. Bisogna controllare le richieste che partono dal browser, i parametri trasmessi, il comportamento dei tag in caso di rifiuto e i dati inviati dal server a Google.

Allo stesso modo, un report tecnico privo delle finalità decise dall’azienda non permette di valutare correttamente il trattamento.

I risultati devono essere documentati. Per ogni controllo è utile conservare:

• la data della verifica;
• la configurazione esaminata;
• le funzioni attive;
• l’esito dei test prima e dopo il consenso;
• le modifiche richieste;
• il soggetto incaricato di realizzarle;
• la nuova verifica eseguita dopo l’intervento.

Questa documentazione permette al titolare di ricostruire le decisioni prese e dimostrare i controlli effettuati. Serve anche quando cambia l’agenzia, lo sviluppatore o la persona che gestisce le campagne.

Le stesse informazioni devono comparire nei documenti destinati agli utenti. Se vengono attivati Google Ads, User-ID o nuove forme di condivisione, l’informativa privacy deve descrivere il trattamento aggiornato. Anche il banner e la cookie policy devono corrispondere ai tag presenti sul sito.

Non esiste una frequenza identica per tutte le aziende. Un sito vetrina con una misurazione essenziale richiede controlli diversi da un e-commerce che modifica campagne, eventi e audience durante l’anno. La verifica deve essere ripetuta dopo ogni cambiamento rilevante e inserita tra le attività periodiche di chi gestisce il sito.

L’assistenza di Legal for Digital per analytics e consenso

Può succedere che GA4 sia stato installato da una web agency e che il titolare del sito conosca soltanto i report che riceve. Non sa quali eventi siano stati creati, se Google Signals sia attivo, quale Consent Mode venga utilizzata o quali dati partano prima della scelta dell’utente.

Nel frattempo, nell’informativa può essere rimasta una frase generica sull’utilizzo di Google Analytics. L’account, invece, potrebbe essere stato modificato nel corso degli anni da sviluppatori, marketer e fornitori diversi.

Quando analizziamo l’utilizzo di GA4 partiamo da ciò che accade sul sito e nell’account. Ricostruiamo i dati raccolti, le finalità, le funzioni attive, i collegamenti con altri servizi, i soggetti che ricevono le informazioni e le modalità con cui viene gestito il consenso. Verifichiamo poi se l’informativa e la cookie policy descrivono lo stesso trattamento.

Su questa base possiamo spiegarti quali condizioni devono essere rispettate e quali soluzioni legali sono disponibili. In base alla configurazione esaminata, può essere necessario disattivare alcune funzioni, modificare la gestione del consenso, aggiornare i documenti, adottare una configurazione server-side oppure valutare un altro strumento.

La scelta spetta al titolare, che deve conoscere le conseguenze giuridiche delle diverse soluzioni e valutarle rispetto alle esigenze della propria attività.

Le modifiche ai tag, alla CMP e al server devono essere realizzate dallo sviluppatore o dallo specialista analytics. Abbiamo bisogno che il tecnico ci mostri quali dati vengono raccolti e trasmessi dopo il suo intervento. Una modifica ai tag deve essere verificata sul sito, perché la descrizione della configurazione può non corrispondere al suo funzionamento.

Se devi valutare una specifica configurazione di GA4, il consenso richiesto oppure la possibilità di utilizzare un altro servizio, puoi richiedere una consulenza in ambito Privacy e GDPR.

Prima della consulenza, raccogli le informazioni disponibili sull’account, sui tag installati, sulle integrazioni attive e sul modo in cui utilizzi i report. Ci permetteranno di analizzare l’uso effettivo dello strumento e di darti una risposta riferita alla tua attività.