Google Analytics invia sempre i dati negli Stati Uniti

Google Analytics resta lo strumento web più diffuso per spiare il comportamento degli utenti.

L’ammissione inattesa di Google ha chiarito un punto: tutti i dati raccolti su un sito con Google Analytics vengono inviati e trattati negli Stati Uniti. Sempre.

Perché Google lo ha ammesso?

Tutto è partito da un reclamo presentato contro Google da noyb, l’organizzazione per la tutela della privacy, all’autorità austriaca di protezione dei dati. Quest’ultima ha rivolto a Google più di 20 domande.

Google ha fornito risposte spesso evasive, superficiali e incomplete. Il motivo per cui ha insistito sulla conservazione dei dati di Google Analytics esclusivamente negli Stati Uniti è abbastanza semplice, ma richiede un passo indietro.

Qual era il contesto giuridico?

Dopo la sentenza della Corte di giustizia dell’UE sul Privacy Shield, nota come “Schrems II”, gli Stati Uniti erano considerati un paese terzo non sicuro. Secondo la posizione esposta qui, trasferire dati personali negli Stati Uniti richiede il consenso.

Il traffico web comporta trasferimenti di dati personali: i tribunali hanno riconosciuto che l’indirizzo di rete dell’utente, cioè l’indirizzo IP, è un dato personale.

Gli Stati Uniti erano considerati un paese terzo non sicuro perché le loro leggi consentono alle autorità, compresi i servizi di intelligence, di accedere ai dati delle imprese americane. Se un’impresa statunitense conserva dati di clienti tedeschi, le autorità americane possono accedervi.

I poteri che consentono ai servizi di intelligence di accedere segretamente ai dati derivano in particolare dalla legge FISA e dall’Executive Order 12333. Nella risposta all’autorità, Google sosteneva che entrambi permettessero l’accesso solo ai dati conservati fuori dagli Stati Uniti.

Il ragionamento di Google era quindi: conserviamo tutti i dati negli Stati Uniti, perciò FISA ed Executive Order 12333 non consentono di accedervi. Di conseguenza, con noi sono al sicuro.

Il ragionamento non regge, ma forse era il miglior argomento a disposizione di Google. La creatività di queste tesi avrà qualcosa a che fare con i compensi dei suoi avvocati. In ogni caso, Google ha ammesso ciò che molti sospettavano senza poterlo dimostrare.

I dati sono al sicuro negli Stati Uniti?

La domanda più utile è se i dati che Google Analytics invia e conserva negli Stati Uniti siano davvero protetti.

Quando una persona in Europa visita un sito che usa Google Analytics, i dati di analisi vengono generati in Europa. Google li raccoglie attraverso un server chiamato collector.

Questo server riceve i dati dal dispositivo e si trova, quando possibile, vicino all’utente. Successivamente, i dati vengono inviati negli Stati Uniti.

La raccolta dei dati avviene quindi in tutto il mondo. FISA ed Executive Order 12333 consentono alla NSA, l’agenzia di intelligence statunitense, di effettuare la cosiddetta upstream collection: intercettare un cavo transatlantico attraverso cui i dati arrivano negli Stati Uniti.

Si potrebbe osservare, con una certa ironia, che farlo senza consenso è già di per sé illecito. Inoltre, le persone interessate dovrebbero esserne informate, cosa che apparentemente non avviene. Il GDPR riconosce loro anche un diritto di opposizione. Un altro concetto che la NSA sembra non conoscere.

Perché Google Analytics richiede il consenso

Secondo questo ragionamento, la raccolta mondiale e i trasferimenti negli Stati Uniti basterebbero a richiedere il consenso prima di caricare Google Analytics.

La configurazione standard di Google (Universal) Analytics descritta qui usa cookie. Ai sensi del § 15, comma 3, della legge tedesca sui telemedia (TMG), questo richiede il consenso. Ecco perché:

• Google Analytics imposta e legge i cookie.
• I valori dei cookie vengono inviati ai server di Google.
• I cookie non sono tecnicamente indispensabili: Google Analytics può funzionare anche senza.
• L’articolo 5, paragrafo 3, della direttiva ePrivacy richiede il consenso. Non importa quali informazioni contengano i cookie: non devono necessariamente essere dati personali.
• Secondo la sentenza del Bundesgerichtshof del 28 maggio 2020, causa I ZR 7/16 (“Planet49”), il TMG deve essere interpretato in conformità alla direttiva ePrivacy.

Potrebbe inoltre essere impossibile stipulare un accordo valido sul trattamento dei dati con Google, per via dei sub-responsabili distribuiti nel mondo e della possibilità che la cancellazione dei dati su richiesta richieda due mesi.

Questi elementi bastano a sostenere un obbligo generale di consenso per Google Analytics, anche senza cookie.

Spiegare il trattamento dei dati di Google Analytics

Dopo aver letto le informative sulla privacy di Google e le condizioni contrattuali di Google Analytics, potresti non averci capito molto di più. Le informazioni sono così contorte, vaghe e sparse tra vari documenti che darne una spiegazione trasparente sembra quasi impossibile.

Eppure l’articolo 12 del GDPR impone informazioni trasparenti e comprensibili sul trattamento dei dati con Google Analytics.

Conclusione

Ottenere un consenso valido per Google Analytics sembra difficile. I pop-up dei cookie non sono solo fastidiosi: nella pratica, la maggior parte non rispetta i requisiti di legge.

D’altra parte, usare Google Analytics senza consenso richiederebbe di rinunciare ai cookie. La qualità dei dati sarebbe però dubbia, perché lo strumento non è ottimizzato per questa modalità.

Strumenti come Trackboxx consentono un’analisi delle visite rispettosa della privacy. Senza cookie e senza un uso significativo del fingerprinting, non serve chiedere il consenso. L’obiettivo è la semplicità d’uso, che non è certo il punto forte di Google Analytics: anche dopo ore nella sua dashboard potresti non averne capito tutte le funzioni.

Penso inoltre che dovremmo preferire i fornitori tedeschi e smettere al più presto di regalare dati a Google.

Se hai mai contattato una grande azienda per assistenza o per una semplice domanda, probabilmente conosci la sensazione di non aver ricevuto una vera risposta. Nella mia esperienza, i fornitori locali sono molto più attenti ai clienti e hanno un senso del servizio più concreto.