Google Analytics 4 e privacy: come usarlo rispettando il GDPR

Google Analytics 4 si può usare in Italia nel rispetto del GDPR, a tre condizioni: raccogliere il consenso dei visitatori tramite un banner fatto bene prima di attivarlo, configurarlo per ridurre i dati raccolti e conservati, e descriverlo correttamente nell'informativa. Il trasferimento dei dati verso Google negli Stati Uniti, che nel 2022 aveva portato il Garante a dichiarare illecito l'uso di Analytics in un caso concreto, oggi si basa sul Data Privacy Framework UE-USA, in vigore dal 10 luglio 2023. Per chi vuole meno complicazioni esistono alternative più leggere.

Il tema confonde molti titolari di siti, che ricordano i titoli del 2022 e non sanno se nel frattempo sia cambiato qualcosa. Proviamo a mettere ordine.

Cosa aveva deciso il Garante nel 2022?

Con un provvedimento del 9 giugno 2022, reso noto a fine giugno, il Garante privacy aveva stabilito che un sito che usava Google Analytics (nella versione allora diffusa, chiamata Universal Analytics) trasferiva negli Stati Uniti dati personali dei visitatori, come identificativi e indirizzo IP, senza garanzie adeguate. Il motivo era la sentenza della Corte di giustizia del 2020 che aveva annullato il precedente accordo tra Unione Europea e Stati Uniti, il Privacy Shield. Il Garante aveva concesso al gestore del sito novanta giorni per mettersi in regola e invitato tutti i titolari a verificare i propri strumenti.

Il punto centrale non era Google Analytics in sé, ma il trasferimento dei dati verso un paese senza un livello di protezione riconosciuto come adeguato.

Cosa è cambiato da allora?

Due cose importanti.

La prima: il 10 luglio 2023 la Commissione Europea ha adottato la decisione di adeguatezza sul Data Privacy Framework UE-USA. Da quel momento i trasferimenti verso le aziende statunitensi che aderiscono al programma, Google compresa, sono considerati adeguati senza bisogno di altre garanzie. Il 3 settembre 2025 il Tribunale dell'Unione Europea ha respinto un ricorso che chiedeva di annullare questa decisione; contro la sentenza è stato presentato appello alla Corte di giustizia, quindi il quadro potrebbe ancora cambiare.

La seconda: Universal Analytics è stato dismesso e sostituito da Google Analytics 4, che nasce con alcune impostazioni più attente alla privacy. Secondo la documentazione di Google, ad esempio, GA4 non registra né conserva gli indirizzi IP dei visitatori dell'Unione Europea, e permette di limitare la raccolta di dati di posizione e dispositivo.

Serve il consenso per usare Google Analytics 4?

Nella grande maggioranza dei casi sì. Le linee guida sui cookie del Garante permettono di trattare come cookie tecnici, senza consenso, solo gli strumenti di statistica che rispettano condizioni precise: dati usati solo per statistiche aggregate su quel sito, capacità identificativa ridotta (ad esempio mascherando parte dell'indirizzo IP), nessun incrocio con altre informazioni da parte del fornitore.

Google Analytics 4, nella sua configurazione normale, usa identificativi persistenti, può collegarsi ai servizi pubblicitari di Google e trasferisce dati fuori dall'Unione Europea. La lettura prudente, che seguo e consiglio, è attivarlo solo dopo il consenso dato tramite il banner. Ne parlo nella guida al cookie banner secondo il Garante.

Come configuro GA4 per raccogliere meno dati?

Anche con il consenso, ha senso raccogliere solo quello che serve. Le impostazioni che controllo sempre:

1. Conservazione dei dati al periodo più breve compatibile con le analisi che servono davvero.
2. Google Signals disattivati, se non usi le funzioni pubblicitarie che li richiedono: sono quelli che collegano i dati agli account Google degli utenti.
3. Raccolta granulare di posizione e dispositivo limitata per le regioni europee.
4. Condivisione dei dati con altri prodotti Google ridotta al necessario.
5. Nessun dato personale negli eventi: niente email, nomi o numeri di telefono negli indirizzi delle pagine o nei parametri, un errore frequente nei moduli e nei carrelli.
6. Filtri per il traffico interno, così le visite di chi lavora in azienda non falsano i numeri.

Va poi accettato, nelle impostazioni dell'account, l'accordo sul trattamento dei dati previsto da Google per i clienti europei.

Cos'è il Consent Mode e come si usa?

Il Consent Mode è il meccanismo con cui il banner comunica a Google Analytics la scelta del visitatore. Esistono due modalità:

• di base: finché il visitatore non accetta, i tag di Google non si caricano affatto. Nessun dato parte senza consenso;
• avanzata: i tag si caricano comunque e, in assenza di consenso, inviano segnali ridotti senza cookie, che Google usa per stimare i dati mancanti.

La modalità di base è la più prudente rispetto alle regole italiane. Quella avanzata recupera più informazioni, ma va valutata con attenzione insieme al consulente privacy, perché qualcosa parte comunque verso Google prima della scelta.

Quanti dati perdo chiedendo il consenso?

Una parte, inevitabilmente: chi rifiuta non viene conteggiato. Quanto dipende dal pubblico e da come è fatto il banner, e non esiste un numero valido per tutti. Il consiglio pratico è di non usare Analytics come contatore assoluto, ma come strumento per capire le tendenze: quali pagine funzionano, da dove arrivano le persone, dove abbandonano il percorso d'acquisto.

Per i numeri assoluti ci sono altre fonti: Search Console per i clic da Google (che non usa cookie sul tuo sito), i registri del server, e soprattutto i dati del gestionale su richieste, ordini e prenotazioni.

Quali alternative a Google Analytics esistono?

Per molti siti aziendali Google Analytics 4 è perfino eccessivo. Le alternative che valuto di volta in volta:

• strumenti di statistica rispettosi della privacy, con server in Europa, che non usano cookie né identificativi persistenti e offrono statistiche aggregate semplici e leggibili;
• soluzioni installate sul proprio server, configurate per anonimizzare gli indirizzi IP e non condividere dati con terzi;
• analisi dei registri del server, che non richiedono codice nella pagina.

Alcune di queste soluzioni, se configurate in modo adeguato, possono rientrare tra gli strumenti di statistica che non richiedono consenso. Ognuna va verificata nel caso concreto, ma il vantaggio è evidente: meno banner, meno complessità, numeri più completi.

Cosa devo scrivere nell'informativa?

L'informativa sui cookie e quella sulla privacy devono dire con chiarezza che usi Google Analytics 4, per quali finalità, con quale base giuridica (di solito il consenso), quali dati raccogli, per quanto li conservi e che i dati possono essere trasferiti negli Stati Uniti sulla base del Data Privacy Framework. Ne parlo nella guida alla privacy policy del sito.

Come scelgo lo strumento giusto per la mia azienda?

Parto sempre da una domanda: cosa ti serve sapere, e per prendere quale decisione? Se ti basta sapere quante persone visitano il sito, da dove arrivano e quali pagine leggono, uno strumento leggero è più che sufficiente. Se gestisci campagne pubblicitarie e vuoi misurare le conversioni, serve qualcosa di più completo, con tutte le attenzioni descritte sopra.

Spesso le informazioni più utili non sono nelle statistiche del sito ma nei dati dell'azienda: quante richieste arrivano, quante diventano clienti, quanto valgono. Collegare queste informazioni in una dashboard e reportistica dice molto più di qualsiasi grafico delle visite. Per chi vende online, il quadro si completa con i dati dell'e-commerce stesso.

Ne parliamo?

Se vuoi sapere se le statistiche del tuo sito sono configurate in modo corretto, o se vuoi passare a uno strumento più semplice, scrivimi dalla pagina contatti. Controllo cosa si carica e quando, sistemo banner, Consent Mode e impostazioni, e ti propongo la soluzione più adatta nell'ambito della SEO tecnica e della misurazione del sito. Per la valutazione giuridica finale resta importante il confronto con il tuo consulente privacy. Se ti interessa capire anche le visite che arrivano da Google, leggi la guida a Google Search Console.

Fonti

• Garante privacy, provvedimento del 9 giugno 2022 sull'uso di Google Analytics
• Garante privacy, Linee guida cookie e altri strumenti di tracciamento (10 giugno 2021)
• Data Privacy Framework UE-USA, elenco delle organizzazioni aderenti
• Assistenza Google Analytics, raccolta e conservazione dei dati UE

Crediti delle immagini

• Copertina: foto di Lukas Blazek su Unsplash