Non è Google Analytics ad essere illegale, ma il trasferimento di dati personali verso gli Usa

È del 23 giugno la notizia dell'ammonimento di un'azienda italiana da parte del Garante della Privacy per aver configurato Google Analytics sul proprio sito in modo non rispettoso della normativa europea GDPR.

Il Garante della Privacy italiano ha preso così posizione, sulla scia di quelli austriaco e francese, contro l'esportazione di dati personali di cittadini europei verso gli USA.

Il trasferimento dei dati personali è da anni un tema dibattuto nei tribunali europei. L'ultimo atto è stato la sentenza Schrems II del luglio 2020. La Corte ha invalidato la decisione sul Privacy Shield dal momento che la legge americana non garantisce un livello di protezione equivalente a quello europeo. La legge USA consente, infatti, all'Agenzia di Sicurezza Nazionale (NSA) americana di accedere a dati di cittadini non statunitensi, archiviati sui server di aziende americane senza preventiva autorizzazione di un giudice, necessaria invece in UE.

Il GDPR europeo vieta di trasferire informazioni, a meno che non vengano prese misure tecniche, organizzative e contrattuali tali da garantire uno standard di tutela uguale a quello di ciascuno Stato membro.

Secondo il Garante, le misure adottate dall'azienda oggetto dell’ammonimento non sono state sufficienti. Va chiarito che non è Google Analytics in generale l'oggetto dell'indagine - come tanti media hanno titolato - ma la possibilità da parte della versione 3 del software di esportare dati personali, come l'IP, verso gli USA, anche nel momento in cui si attivi la funzione di anonimizzazione (cancellando le ultime 6 cifre).