In questa guida
In breve: sì, Google Analytics 4 si può usare in Italia. Dal 10 luglio 2023 la decisione di adeguatezza sul Data Privacy Framework UE-USA consente il trasferimento dei dati verso le società statunitensi certificate, tra cui Google. Restano però due obblighi: caricare GA4 solo dopo il consenso alla categoria statistiche (o gestirlo con Consent Mode) e descriverlo nell'informativa.
Il provvedimento del Garante del 2022
Nel giugno 2022 il Garante privacy ha concluso che un sito che usava Universal Analytics, la versione precedente di Google Analytics, trasferiva illecitamente dati personali negli Stati Uniti. Tra questi dati c'erano gli indirizzi IP e gli identificativi dei cookie. Il motivo era l'assenza, all'epoca, di garanzie adeguate dopo che la Corte di giustizia dell'UE aveva annullato il Privacy Shield (sentenza Schrems II, 2020). Decisioni simili sono arrivate in quel periodo anche dalle autorità di Austria e Francia.
Cosa è cambiato con il Data Privacy Framework
Il 10 luglio 2023 la Commissione europea ha adottato la decisione di adeguatezza sul Data Privacy Framework UE-USA. Da quella data i trasferimenti verso le aziende americane che aderiscono al framework non richiedono garanzie aggiuntive, e Google LLC è tra queste. Il problema che aveva portato al provvedimento del 2022, cioè il trasferimento verso gli Stati Uniti, oggi ha quindi una base giuridica.
Serve il consenso per GA4?
Nella quasi totalità dei casi sì. Il Garante equipara gli analytics ai cookie tecnici solo se il fornitore non incrocia i dati e ne riduce il potere identificativo (vedi la guida sui tipi di cookie). Con Google Analytics è difficile dimostrare queste condizioni, perché il fornitore è una terza parte con propri servizi pubblicitari. La strada sicura è:
- caricare GA4 solo dopo il consenso alla categoria statistiche (modalità base di Consent Mode);
- oppure usare la modalità avanzata di Consent Mode v2, che carica il tag con il consenso negato e senza cookie, e lo attiva davvero solo dopo il sì.
Impostazioni consigliate in GA4
Nella proprietà GA4
- Google Signals disattivato, salvo che serva davvero
- Personalizzazione degli annunci disattivata, se non usi Google Ads
- Conservazione dei dati a 2 mesi, o 14 solo se ti servono
- Condivisione dei dati con Google limitata al necessario
- Nessun dato personale (email, nomi) negli URL e negli eventi
- Accordo sul trattamento dei dati di Google accettato nell'account
Secondo Google, GA4 non registra né conserva gli indirizzi IP degli utenti dell'Unione europea. L'IP viene comunque usato al momento della raccolta, ad esempio per ricavare la località approssimativa. Per questo il consenso resta comunque necessario.
GA4 bloccato fino al consenso, senza toccare il codice
Cookie Smart riconosce i tag di Google, li gestisce con Consent Mode v2 e registra ogni scelta dei visitatori.
Cosa scrivere nell'informativa
- che il sito usa Google Analytics 4, fornito da Google Ireland Limited (con eventuale trasferimento a Google LLC negli Stati Uniti sulla base del Data Privacy Framework);
- quali cookie installa (
_ga,_ga_<ID>) e per quanto tempo; - che il servizio si attiva solo con il consenso alla categoria statistiche, e come revocarlo;
- il link all'informativa di Google.
E le alternative a Google Analytics?
Esistono strumenti di statistica che possono funzionare senza cookie o con dati ospitati in Europa, come Matomo installato sul proprio server con l'anonimizzazione dell'IP. Possono rientrare tra gli analytics equiparati ai tecnici, se rispettano tutte le condizioni del Garante. Va comunque verificata la configurazione, e indicata nell'informativa.
Domande frequenti
Google Analytics è vietato in Italia?
No. Nel 2022 il Garante aveva giudicato illecito il trasferimento negli Stati Uniti dei dati raccolti con Universal Analytics. Dal 10 luglio 2023 è in vigore la decisione di adeguatezza sul Data Privacy Framework UE-USA, che consente i trasferimenti verso le società aderenti, tra cui Google.
Serve il consenso per Google Analytics 4?
Nella quasi totalità dei casi sì: GA4 va caricato solo dopo il consenso alla categoria statistiche, oppure con Consent Mode. Le condizioni per considerarlo un cookie tecnico sono molto restrittive.
GA4 registra l'indirizzo IP?
Google dichiara che Google Analytics 4 non registra né conserva gli indirizzi IP degli utenti dell'Unione europea. L'IP viene comunque usato al momento della raccolta, ad esempio per la geolocalizzazione approssimativa.
Questa guida ha scopo informativo e non sostituisce una consulenza legale. I riferimenti normativi sono aggiornati alla data indicata in alto.