Il Garante Privacy italiano ha dichiarato illecito il trasferimento dei dati personali degli utenti di un sito web italiano che utilizza Google Analytics; un avvertimento per tutte le società commerciali che si avvalgono di tale strumento sui propri siti internet.

Nello specifico, con provvedimento del 9 giugno 2022 e pubblicato il 23 giugno 2022, il Garante per la protezione dei dati personali si è pronunciato contro l’impresa commerciale italiana Caffeina Media S.r.l. dichiarando il sito web di quest’ultima violativo della normativa sulla protezione dei dati personali degli utenti, in quanto facente uso del servizio Google Analytics che trasferisce i dati negli Stati Uniti, Paese privo di un adeguato livello di protezione.

Google Analytics è uno strumento fornito da Google ai gestori di siti internet e consente a tali soggetti, mediante l’utilizzo di cookie, di raccogliere informazioni sulle interazioni degli utenti con il proprio sito web, le singole pagine visitate e i servizi proposti, al fine di ottimizzare i servizi resi e di monitorare le proprie campagne di marketing.

Tra la molteplicità dei dati che lo strumento di Google può raccogliere ci sono: indirizzo IP del dispositivo dell’utente e informazioni relative al browser, sistema operativo, risoluzione dello schermo, lingua selezionata, nonché data e ora della visita al sito web.

Proprio per quanto riguarda l’indirizzo IP, il Garante ha dichiarato che esso costituisce un dato personale e, anche nell’eventualità in cui venisse troncato, non diventerebbe un dato anonimo, in ragione del fatto che Google ha la capacità di arricchirlo con altri dati di cui è in possesso.

Nel caso di nostro interesse, l’impresa sanzionata Caffeina Media S.r.l. non ha la visibilità del dettaglio dei dati raccolti tramite Google Analytics, non può descriverne con precisione le tipologie e non possiede alcun livello di autonomia in merito alle scelte relative ai trasferimenti di dati verso Paesi terzi.

Con il provvedimento citato il Garante Privacy si è pronunciato nel seguente modo:

– ha dichiarato illecito il trattamento dei dati praticato tramite Google Analytics;

– ha ingiunto al gestore del sito web (Caffeina Media S.r.l.) di adeguare il trattamento entro 90 giorni adottando misure supplementari adeguate;

– inoltre, ha ordinato la sospensione del trasferimento verso la società statunitense Google LLC in mancanza di adozione di misure supplementari adeguate entro il menzionato termine di 90 giorni;

– in ultimo, ha ammonito Caffeina Media S.r.l. quale gestore del relativo sito web.

Tale pronuncia richiama l’attenzione di tutte le società commerciali italiane che gestiscono siti web facendo uso di Google Analytics; società che nell’immediato potrebbero venir sanzionate in ragione del non sicuro trasferimento dei dati raccolti verso gli Stati Uniti.

Tutto ciò implica necessariamente per le imprese italiane la verifica di conformità alla normativa privacy delle modalità di utilizzo dei cookie e di altri strumenti di tracciamento presenti sui propri siti internet, onde evitare di essere oggetto di provvedimento di pari misura, proprio perché il Garante Privacy valuta e sanziona il comportamento delle singole società che gestiscono siti web piuttosto che quello di Google LLC

Matteo Aniballi

Matteo Aniballi