In questa guida
In breve: misurare le visite di un sito è lecito, ma le regole cambiano in base allo strumento. Con Google Analytics e con la maggior parte degli analytics di terze parti serve il consenso. Senza consenso si possono usare solo statistiche che il Garante equipara ai cookie tecnici: aggregate, con dati meno identificativi e senza incroci da parte del fornitore. Uno strumento «senza cookie» aiuta, ma non basta da solo.
La regola: quando le statistiche non richiedono il consenso
Le linee guida del Garante privacy del 10 giugno 2021 equiparano ai cookie tecnici gli strumenti di analisi (analytics) usati solo per produrre statistiche aggregate su un singolo sito o una singola app. Se il fornitore è esterno, servono tutte queste condizioni:
- Le statistiche sono aggregate e riguardano un solo sito: niente profili dei singoli visitatori
- Si riduce il potere identificativo dei dati, ad esempio mascherando una parte significativa dell'indirizzo IP
- Il fornitore non incrocia i dati con altre informazioni e non li usa per scopi propri
- Tutto è descritto nell'informativa
Quando le condizioni ci sono, lo strumento si può caricare subito, senza aspettare la scelta nel banner. Quando ne manca anche una, lo script va bloccato fino al consenso alla categoria statistiche.
Google Analytics: cosa serve
Nel giugno 2022 il Garante ha giudicato illecito l'uso di Universal Analytics da parte di un sito italiano, perché i dati venivano trasferiti negli Stati Uniti senza garanzie adeguate. Dal 10 luglio 2023 è in vigore la decisione di adeguatezza della Commissione europea sul Data Privacy Framework UE-USA, che consente i trasferimenti verso le aziende aderenti, tra cui Google.
Il trasferimento quindi oggi ha una base, ma la questione del consenso resta: Google Analytics usa i dati anche per scopi propri e permette di collegarli ad altri servizi Google, quindi difficilmente soddisfa le condizioni per essere equiparato ai tecnici. Nella pratica:
- si carica dopo il consenso alla categoria statistiche;
- oppure si usa con Google Consent Mode v2, che fa partire il tag con il consenso negato e lo aggiorna dopo la scelta del visitatore;
- conviene disattivare le funzioni che non servono, come i segnali Google e la condivisione dei dati con altri prodotti Google, e impostare la conservazione dei dati più breve possibile.
I dettagli, con le impostazioni consigliate, sono nella guida su Google Analytics 4 e GDPR.
Analytics senza cookie: bastano?
Molti strumenti si presentano come «cookieless». Il vantaggio è reale: niente identificativo persistente sul dispositivo del visitatore. Ma per la direttiva ePrivacy (in Italia l'articolo 122 del Codice privacy) non conta solo il cookie: conta qualsiasi accesso al dispositivo per leggere o memorizzare informazioni. Le linee guida 2/2023 del Comitato europeo per la protezione dei dati (EDPB) chiariscono che la regola copre anche pixel, local storage, identificativi calcolati dal browser e tecniche simili al fingerprinting.
In pratica, prima di usare uno strumento senza consenso controlla:
- Non usa fingerprinting né identificativi calcolati da caratteristiche del dispositivo per riconoscere il visitatore nel tempo
- I dati restano aggregati e non servono a seguire il singolo visitatore tra più siti
- L'indirizzo IP viene anonimizzato o non viene conservato
- Il fornitore li tratta solo per conto tuo, con un contratto di responsabile del trattamento (articolo 28 del GDPR)
- Dove possibile, i dati sono ospitati nell'Unione europea
Le alternative più usate
| Strumento | Come funziona | Cosa controllare |
|---|---|---|
| Matomo (sul tuo server) | Open source, i dati restano sul tuo hosting; può funzionare anche senza cookie | Anonimizzazione dell'IP attiva, nessun collegamento con altri dati, durata dei cookie se li usi |
| Matomo Cloud | Stesso strumento, ospitato dal fornitore | Contratto di responsabile del trattamento e luogo dei server |
| Plausible, Simple Analytics, Fathom | Statistiche aggregate senza cookie, pensate per il GDPR | Come calcolano i visitatori unici, dove sono i server, contratto con il fornitore |
| Analisi dei log del server | Legge i log che il tuo hosting registra comunque, senza script nella pagina | Nessun accesso al dispositivo, ma i log contengono IP: conservazione limitata e informativa |
Il fatto che uno strumento sia indicato come «conforme al GDPR» dal fornitore non sostituisce la tua verifica: la conformità dipende anche da come lo configuri. Le funzioni di registrazione delle sessioni o le mappe di calore, ad esempio, raccolgono molti più dati e richiedono quasi sempre il consenso.
Statistiche sì, ma solo quando è consentito
Cookie Smart blocca gli analytics fino al consenso, gestisce Google Consent Mode v2 e ti lascia tra i necessari solo gli strumenti che hai configurato in modo conforme.
Cosa scrivere nell'informativa
Qualunque strumento usi, l'informativa deve dire:
- quale strumento usi e chi è il fornitore;
- quali dati raccoglie e se l'IP viene anonimizzato;
- se servono il consenso o se lo strumento è equiparato ai cookie tecnici, e perché;
- dove sono conservati i dati e per quanto tempo, ed eventuali trasferimenti fuori dall'Unione europea;
- come il visitatore può dare o revocare il consenso, se è richiesto.
Come scegliere
-
1
Decidi cosa ti serve davvero
Per sapere quante visite hai e da dove arrivano bastano statistiche aggregate; per remarketing e profili servono strumenti di marketing, con consenso. -
2
Scegli lo strumento
Se usi Google Analytics, mettilo dietro il consenso o Consent Mode. Se vuoi statistiche senza consenso, scegli uno strumento che rispetti tutte le condizioni del Garante. -
3
Configuralo
Anonimizzazione dell'IP, nessuna condivisione con il fornitore, conservazione breve dei dati. -
4
Controlla il risultato
Verifica cosa parte prima del consenso e aggiorna l'informativa.
Per l'ultimo passo puoi usare la verifica cookie gratuita: apre la home del sito come un nuovo visitatore e ti dice se gli analytics partono prima del consenso.
Domande frequenti
Si possono usare statistiche senza consenso?
Sì, se lo strumento produce solo statistiche aggregate su un singolo sito, riduce il potere identificativo dei dati (ad esempio mascherando l'IP) e il fornitore non li incrocia con altre informazioni. In questo caso il Garante lo equipara ai cookie tecnici; va comunque descritto nell'informativa.
Google Analytics richiede il consenso?
Nella pratica sì: Google Analytics difficilmente rispetta tutte le condizioni per essere equiparato ai cookie tecnici. Si carica dopo il consenso alla categoria statistiche oppure con Google Consent Mode v2.
Gli analytics senza cookie sono sempre conformi al GDPR?
No. La regola dell'ePrivacy riguarda qualsiasi accesso al dispositivo del visitatore, non solo i cookie: anche fingerprinting, local storage e pixel. Uno strumento senza cookie va valutato per come riconosce i visitatori, dove conserva i dati e cosa ne fa il fornitore.
Quali sono le alternative a Google Analytics conformi al GDPR?
Le più usate sono Matomo installato sul proprio server, Matomo Cloud, Plausible, Simple Analytics e Fathom, oltre all'analisi dei log del server. La conformità dipende dalla configurazione: anonimizzazione dell'IP, nessun uso dei dati da parte del fornitore e informativa aggiornata.
Matomo richiede il consenso?
Matomo installato sul proprio server, con l'IP anonimizzato e senza collegare i dati ad altre informazioni, può rientrare tra gli analytics equiparati ai tecnici e quindi non richiedere il consenso. Con funzioni come la registrazione delle sessioni o le mappe di calore il consenso torna necessario.
Questa guida ha scopo informativo e non sostituisce una consulenza legale. I riferimenti normativi sono aggiornati alla data indicata in alto.