Google Analytics 4 imposta cookie o legge identificatori dal dispositivo e trasmette dati di utilizzo a Google (USA). Non è un procedimento tecnicamente necessario.
In pratica questo significa: il tag di Google Analytics può essere eseguito solo dopo che i visitatori hanno acconsentito attivamente. Un banner che viene solo mostrato mentre GA si carica già in background non soddisfa il requisito dell'art. 25, comma 1 TDDDG — ciò che conta è che prima del consenso non venga caricato alcuno script da googletagmanager.com o google-analytics.com e non venga impostato alcun identificatore.
Anche con un consenso funzionante, il trasferimento negli USA resta un punto di verifica a sé: dall'EU-US Data Privacy Framework (decisione di adeguatezza del 10 luglio 2023), il trasferimento a Google LLC è in linea di principio garantito finché Google è certificata sotto il framework. Nell'informativa vanno comunque indicati il destinatario, la finalità, la base giuridica (consenso), il periodo di conservazione e la base del trasferimento.
Chi usa Google Consent Mode v2 dovrebbe conoscere la differenza tra «basic» e «advanced»: nella modalità advanced, GA invia ping anonimi e senza cookie già prima del consenso. Se ciò sia compatibile con l'art. 25 TDDDG è valutato in modo diverso tra gli esperti di protezione dei dati — la modalità basic (nessuna comunicazione prima del consenso) è la scelta più prudente.
Due impostazioni di GA4 sono particolarmente rilevanti per la protezione dei dati e sono impostate in modo sfavorevole per impostazione predefinita: «Google Signals» (Amministrazione → Impostazioni dei dati → Raccolta dati) collega il comportamento agli account Google in cui si è eseguito l'accesso per il tracciamento cross-device e i segmenti di pubblico pubblicitari — per una semplice misurazione della copertura dovrebbe restare disattivato. E la «Conservazione dei dati sugli eventi» (Impostazioni dei dati → Conservazione dei dati) è impostata su 2 mesi come valore parsimonioso; 14 mesi sono il massimo e sono giustificabili solo con una motivazione documentata. L'opzione «Reimposta a ogni nuova attività» prolunga di fatto la conservazione a tempo indeterminato e dovrebbe essere disattivata.
Il tagging lato server (GA4 tramite un proprio container server di Google Tag Manager) non è un modo per aggirare il consenso. L'hit di misurazione viene sì inviato tramite il proprio dominio, ma il Client ID viene comunque impostato o letto nel browser, e i dati finiscono alla fine comunque a Google. Il vantaggio sta in una migliore qualità dei dati e nel controllo su ciò che viene trasmesso — il container server deve applicare la verifica del consenso esattamente come il tag lato client.
L'accesso al dispositivo a fini di analisi è ammesso ai sensi del § 25 c. 1 TDDDG solo con consenso preventivo; il trattamento successivo si basa sull'art. 6 c. 1 lett. a GDPR. Senza consenso funzionante (lo strumento si carica nonostante il rifiuto, o nessun banner) manca la base giuridica. Le autorità di controllo hanno ripetutamente contestato integrazioni di Analytics senza consenso.
La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.
Questo testo è un'informazione generale al meglio delle nostre conoscenze, non una consulenza legale. Per il caso concreto, rivolgiti a uno studio specializzato in diritto delle nuove tecnologie.