Google Analytics e GDPR in Italia

Serve il consenso per Google Analytics?

Sì, nella configurazione standard. Google Analytics 4 salva cookie come _ga sul dispositivo del visitatore, e per l’art. 122 del Codice privacy serve il consenso, a meno che lo strumento non sia "tecnico".

Le Linee guida cookie del Garante del 2021 permettono di trattare gli analytics come cookie tecnici solo se sono rispettate tutte queste condizioni:

• lo strumento non permette di individuare direttamente il singolo utente: per gli indirizzi IPv4 va mascherato almeno il quarto ottetto;
• i dati servono solo a statistiche aggregate su un singolo sito o una singola app;
• se il fornitore è una terza parte, non combina i dati con altre informazioni.

Con Google Analytics questo è difficile da garantire e dimostrare. Per esempio, se l’impostazione di condivisione dei dati "Prodotti e servizi Google" è attiva, Google può usare i dati anche per migliorare i propri prodotti, come titolare autonomo. In pratica: chiedi il consenso prima di caricare Google Analytics.

La decisione del Garante del 2022

Il 9 giugno 2022 il Garante ha adottato un provvedimento nei confronti di Caffeina Media S.r.l., reso noto con un comunicato del 23 giugno 2022. Il Garante ha ritenuto che il trasferimento di dati verso Google LLC negli Stati Uniti tramite Google Analytics violasse il GDPR (artt. 44 e 46), perché le autorità e le agenzie di intelligence statunitensi potevano accedere ai dati senza garanzie adeguate. Ha dato alla società 90 giorni per mettersi in regola.

Nello stesso comunicato il Garante ha precisato che l’indirizzo IP è un dato personale e che, anche se troncato, non diventa anonimo, considerata la capacità di Google di arricchirlo con altre informazioni. Ha inoltre invitato tutti i gestori di siti, pubblici e privati, a verificare l’uso di Google Analytics e di servizi simili.

Decisioni analoghe sono state prese nello stesso periodo da altre autorità europee, tra cui quella austriaca e la CNIL francese, in coordinamento tra loro.

Cosa è cambiato con il Data Privacy Framework

Il 10 luglio 2023 la Commissione europea ha adottato la decisione di adeguatezza sull’EU-US Data Privacy Framework (decisione di esecuzione (UE) 2023/1795). Da allora i dati personali possono essere trasferiti verso le aziende statunitensi certificate senza ulteriori strumenti di trasferimento. Google LLC dichiara di essere certificata nell’ambito del Data Privacy Framework.

La decisione è stata impugnata. Il 3 settembre 2025 il Tribunale dell’UE ha respinto il ricorso del deputato francese Philippe Latombe (causa T-553/23). Latombe ha presentato appello alla Corte di giustizia (causa C-703/25 P), che a ottobre 2026 risulta pendente. Il Data Privacy Framework resta quindi in vigore, ma il suo futuro dipende anche da questa decisione.

Importante: il Data Privacy Framework riguarda solo il trasferimento dei dati negli USA. Non cambia nulla sull’obbligo di consenso per i cookie.

Come usare GA4 in modo più sicuro

1. Chiedi il consenso prima di caricare Google Analytics, con un banner che blocca lo script finché il visitatore non accetta.
2. Usa Google Consent Mode v2, così i tag di Google rispettano la scelta del visitatore. In Italia la modalità base è la più prudente: senza consenso non parte nulla verso Google. Vedi Google Consent Mode v2 spiegato.
3. Controlla i termini sul trattamento dei dati di Google Analytics. Secondo Google, per i clienti con sede nello SEE, nel Regno Unito o in Svizzera sono già inclusi nel contratto; chi ha sede altrove li accetta nelle impostazioni dell’account.
4. Controlla le impostazioni di condivisione dei dati e disattiva quelle che non ti servono.
5. Indica Google Analytics nella cookie policy e nell’informativa privacy, con finalità, durata dei cookie e trasferimento negli USA.
6. Verifica i dati raccolti: non inviare dati personali come email o nomi negli eventi o negli URL.

Alternative

Esistono strumenti di analisi che puoi installare sui tuoi server, come Matomo, e configurare con IP mascherato e senza condivisione dei dati con terzi. Così configurati possono rientrare negli analytics assimilati ai tecnici, se rispettano tutte le condizioni del Garante. Valuta tu quale strumento è più adatto: anche un’alternativa va configurata e documentata correttamente.

Usi Google Analytics? Cookie Confirm blocca lo script finché non c’è il consenso, trasmette la scelta a Google con Consent Mode v2 e conserva ogni consenso per 12 mesi come prova.

Fonti

• Garante privacy: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021, par. 7.2
• Garante privacy: provvedimento del 9 giugno 2022 (Caffeina Media)
• Garante privacy: comunicato del 23 giugno 2022 su Google Analytics
• Decisione di esecuzione (UE) 2023/1795 sul Data Privacy Framework
• Tribunale dell’UE, causa T-553/23, Latombe/Commissione
• Corte di giustizia dell’UE, causa C-703/25 P (appello Latombe)
• Google Analytics: privacy dei dati nell’UE
• Google Analytics: impostazioni di condivisione dei dati
• Google Analytics: termini per il trattamento dei dati
• Google: quadri normativi per il trasferimento dei dati