Server side tracking e consenso

Cos’è il server side tracking?

Con il tracciamento tradizionale fa tutto il browser. La pagina carica script di Google, Meta e altri fornitori, e ogni script invia i dati direttamente dal browser del visitatore ai server di quel fornitore.

Con il server side tracking il browser invia i dati prima a un solo punto: un server che controlli tu, di solito su un sottodominio del tuo sito come metrics.esempio.it. Il server riceve la richiesta, la trasforma in eventi e decide cosa inoltrare e a quale fornitore. L’esempio più noto è Google Tag Manager server-side: un "server container" che gira su Google Cloud o presso un fornitore di hosting specializzato, accanto al normale container web nel browser. Gli usi più comuni sono GA4 tramite un server container e la Conversions API di Meta, che permette al tuo server di inviare le conversioni direttamente a Meta.

Il punto chiave: nella maggior parte delle configurazioni il browser del visitatore esegue comunque uno script e invia comunque i dati. Cambia solo la prima destinazione.

Serve il consenso con il server side tracking?

Valgono due gruppi di regole, come per qualsiasi altro tracciamento (vedi La normativa cookie in Italia):

1. L’art. 122 del Codice privacy, che recepisce l’art. 5, paragrafo 3, della direttiva ePrivacy: archiviare informazioni sul dispositivo del visitatore, o accedere a informazioni già archiviate, richiede il consenso, salvo che sia strettamente necessario per un servizio richiesto dal visitatore. Le Linee guida cookie del Garante del 2021 lo applicano non solo ai cookie, ma anche agli altri strumenti di tracciamento, attivi e passivi.
2. Il GDPR: il trattamento di dati personali richiede una base giuridica, trasparenza e garanzie adeguate.

Il server side tracking non ti porta fuori dall’art. 122. La regola riguarda ciò che succede sul dispositivo, non il luogo in cui finiscono i dati, e vale per qualsiasi informazione, che sia o meno un dato personale, come ha confermato la Corte di giustizia nella sentenza Planet49 (2019). Nelle Linee guida 2/2023 sull’ambito di applicazione tecnico dell’art. 5, paragrafo 3, il Comitato europeo per la protezione dei dati (EDPB) spiega che:

• un sito che usa JavaScript per far inviare informazioni al browser accede a quelle informazioni, e rientra quindi nella regola;
• aggiungere identificativi agli URL o ai pixel di tracciamento significa ordinare al dispositivo di rinviare quell’identificativo, e anche questo è un accesso;
• anche la raccolta di un identificativo univoco, come un indirizzo email con hash, tramite codice nel browser rientra nella regola;
• perfino il tracciamento basato solo sull’indirizzo IP può rientrarvi, a meno che tu non possa garantire che l’indirizzo non provenga dal dispositivo del visitatore.

Una configurazione server-side fa esattamente queste cose: il tag Google nel browser invia eventi al tuo server, e il server container può installare un cookie sul tuo dominio per riconoscere il visitatore. Quindi un cookie di prima parte impostato tramite un server container richiede il consenso per statistiche e marketing, esattamente come uno impostato da uno script.

L’EDPB aggiunge che rientrare nella regola non significa sempre dover chiedere il consenso: l’archiviazione strettamente necessaria è esente. In Italia, inoltre, il Garante tratta gli analytics come cookie tecnici solo se rispettano tutte le sue condizioni: niente individuazione diretta dell’utente (per gli indirizzi IPv4 va mascherato almeno il quarto ottetto), solo statistiche aggregate su un singolo sito o app e, se il fornitore è una terza parte, nessun incrocio con altre informazioni. Queste eccezioni dipendono dalla finalità e dalla configurazione, non dalla tecnologia: un server container non basta, da solo, a soddisfarle.

Sul server si applica comunque il GDPR

Quando i dati arrivano al tuo server, il GDPR si applica a tutto ciò che ne fai: inoltrarli a Google o Meta, arricchirli con dati di ordini o CRM, creare segmenti di pubblico. Ti serve una base giuridica per ogni finalità, e le linee guida dell’EDPB sul consenso precisano che, se la base è il consenso, va ottenuto prima che il trattamento cominci.

Per pubblicità e profilazione quella base è, in pratica, il consenso. Le Linee guida del Garante escludono che il legittimo interesse possa giustificare cookie e strumenti che richiedono il consenso. E nella sentenza Meta Platforms/Bundeskartellamt (C-252/21, 4 luglio 2023) la Corte di giustizia ha stabilito che la pubblicità personalizzata non può giustificare come legittimo interesse il trattamento dei dati degli utenti da parte di Meta senza il loro consenso. Un sito che invia dati dei visitatori a una piattaforma pubblicitaria per il targeting o la misurazione delle conversioni difficilmente potrà invocare un legittimo interesse che la piattaforma stessa non può invocare.

Cosa cambia davvero

Il server side tracking non aggira il consenso, ma può rendere il tracciamento più rispettoso della privacy e più facile da controllare:

• Controllo su ciò che ricevono i fornitori. Google spiega che solo tu hai accesso ai dati nel server container finché non decidi di inoltrarli. Puoi togliere campi, accorciare gli URL o scartare eventi prima che lascino il tuo server.
• Indirizzi IP e identificativi. Puoi scegliere di non inoltrare l’indirizzo IP completo, o di sostituire gli identificativi prima dell’invio. Questo aiuta la minimizzazione dei dati (art. 5, par. 1, lett. c, GDPR).
• Meno richieste a terze parti nel browser. Meno script di fornitori nella pagina significa meno soggetti che possono leggere dati direttamente dal dispositivo del visitatore.
• Trasferimenti fuori dall’Europa. Se il tuo server si trova nell’UE e ripulisce i dati prima di inoltrarli, ai fornitori extra UE arrivano meno dati personali. È il tema che il Garante ha sollevato nel 2022 sul caso Google Analytics, quando ha precisato che anche un indirizzo IP troncato non diventa anonimo (vedi Google Analytics e GDPR in Italia). L’autorità francese CNIL descrive un "proxy" per la misurazione dell’audience a condizioni rigorose: nessun indirizzo IP inoltrato, identificativo sostituito, referrer e parametri degli URL rimossi, nessun identificativo tra siti diversi e un hosting che impedisce trasferimenti fuori dall’UE. La CNIL lo presenta come un modo per gestire i trasferimenti, non come un motivo per saltare il consenso.

Server side tracking con banner cookie e Consent Mode

La configurazione che funziona è la stessa di quella senza server container, con un passaggio in più:

1. Il banner cookie raccoglie la scelta e blocca i tag di statistica e marketing finché il visitatore non dà il consenso.
2. Google Consent Mode v2 trasmette la scelta (vedi Google Consent Mode v2 spiegato). Secondo la documentazione di Google basta configurare Consent Mode nel container web: il tag Google aggiunge lo stato del consenso a ogni richiesta che invia al server container.
3. I tag di Google nel server container seguono quello stato. In modalità base i tag di Analytics sono bloccati del tutto e nessun cookie di Analytics viene impostato o letto, né nel browser né sul server. In modalità avanzata i tag di Analytics inviano invece misurazioni anonime. Senza consenso, i tag di conversione di Google Ads non leggono né scrivono cookie, e le richieste di remarketing di Google Ads e di Floodlight vengono bloccate. Per un sito italiano la modalità base resta la scelta più prudente.
4. I tag di altri fornitori richiedono attenzione. Google lo garantisce solo per i propri tag. Un tag della Conversions API di Meta o qualsiasi altro tag nel server container deve attivarsi solo se lo stato del consenso lo consente: configuralo tu con attivatori o condizioni.

Un banner come Cookie Confirm imposta i valori predefiniti di Consent Mode prima che si carichi qualsiasi tag Google e li aggiorna dopo la scelta del visitatore, così lo stato del consenso arriva al server container con ogni richiesta.

Conversions API di Meta e consenso

La Conversions API di Meta collega il tuo server a Meta, così puoi inviare eventi del sito come acquisti e lead senza dipendere solo dal Meta Pixel nel browser. Meta usa questi eventi per misurare e ottimizzare gli annunci.

Si tratta quindi di un trattamento a fini pubblicitari. I Termini degli strumenti di business di Meta richiedono che tu abbia tutti i diritti necessari e una base giuridica per i dati che condividi e, nei Paesi che richiedono il consenso per l’archiviazione o l’accesso a informazioni sui dispositivi (i termini citano l’UE), che tu ottenga un consenso verificabile dai visitatori. In base a quei termini, nell’UE sei tu il titolare del trattamento per quei dati. In pratica:

• invia eventi tramite la Conversions API solo per i visitatori che hanno accettato il marketing nel banner;
• non usare la Conversions API per "recuperare" le conversioni di chi ha rifiutato;
• cita Meta e la Conversions API nella cookie policy e nell’informativa privacy.

L’opzione "Limited Data Use" di Meta è pensata per alcune leggi privacy di singoli Stati USA. Non è uno strumento di consenso valido in Europa.

Errori frequenti

• "È cookieless, quindi non serve il consenso." La regola non riguarda solo i cookie: script che fanno inviare dati al browser, pixel di tracciamento, identificativi negli URL e identificativi univoci vi rientrano tutti, secondo l’EDPB. Anche le Linee guida del Garante citano espressamente gli strumenti di tracciamento passivi, come il fingerprinting.
• "Ora è di prima parte." La regola non distingue tra prima e terza parte, né tra cookie impostati da uno script o da un server. Decide la finalità.
• Inviare dati prima della scelta. Se il server container inoltra visualizzazioni di pagina o conversioni ai fornitori prima che il visitatore abbia cliccato nel banner, tratti dati senza base giuridica.
• "L’email con hash è anonima." Un indirizzo email con hash è un dato pseudonimizzato, che per il GDPR resta un dato personale (considerando 26). Si usa l’hash proprio perché una piattaforma come Meta possa abbinarlo a una persona.
• Dimenticare i tag non Google. Consent Mode guida solo i tag di Google. Ogni altro tag nel server container ha bisogno di un proprio controllo del consenso.
• Non aggiornare la cookie policy. I visitatori devono sapere quali fornitori ricevono i loro dati, anche quando passano prima dal tuo server. Trovi un esempio di cookie policy da completare.

Fonti

• Codice in materia di protezione dei dati personali, art. 122
• Garante privacy: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
• Garante privacy: comunicato del 23 giugno 2022 su Google Analytics
• Direttiva 2002/58/CE (ePrivacy), art. 5, par. 3
• Regolamento (UE) 2016/679 (GDPR)
• EDPB: Linee guida 2/2023 sull’ambito di applicazione tecnico dell’art. 5, par. 3, della direttiva ePrivacy
• EDPB: Linee guida 05/2020 sul consenso ai sensi del Regolamento 2016/679
• Corte di giustizia dell’UE, causa C-673/17, Planet49, sentenza del 1° ottobre 2019
• Corte di giustizia dell’UE: comunicato stampa 113/23 sulla causa C-252/21, Meta Platforms/Bundeskartellamt (4 luglio 2023)
• Google: introduzione al tagging lato server
• Google: implementare Consent Mode con Tag Manager lato server
• Google: dominio personalizzato per il tagging lato server
• Meta for Developers: Conversions API
• Meta for Developers: opzioni di trattamento dei dati per gli utenti negli USA
• Meta: Termini degli strumenti di business
• CNIL: misurazione dell’audience e trasferimenti di dati (in francese)