Google Analytics: Cookie e GDPR | Checklist Conformità | CMP Cookiebot™

Google Analytics, i cookie e il GDPR

Come rendere Google Analytics conforme al GDPR sul tuo sito

Google Analytics è il potente e apprezzato strumento di Google per l’analisi del traffico online che ti permette di avere informazioni approfondite e in tempo reale su come, quanto e da chi viene usato il tuo sito web.

Google Analytics è una sorta di mappa animata del tuo sito web che, in tempo reale, ti permette di vedere come si muovono i tuoi utenti.

Da dove provengono i tuoi utenti, come si comportano mentre sono sul tuo dominio e dove vanno quando lo lasciano? Cosa attira la loro attenzione e cosa li fa allontanare?

Dati come questi forniscono ovviamente preziose indicazioni sulle prestazioni del tuo dominio, evidenziandone le debolezze e i punti di forza, in modo da poterlo ottimizzare all’istante.

Essere in grado di visualizzare tutti questi dati nel loro contesto, presentati in modo chiaro all’interno di grafici e statistiche, può essere un qualcosa di illuminante per la maggior parte dei proprietari e operatori di siti web.

Ora, la domanda sorge spontanea: come riesce Google Analytics a fare tutto questo?

Dal punto di vista tecnico, Google Analytics opera attraverso tag JavaScript che vengono eseguiti nel codice sorgente del tuo sito web; di solito viene gestito con Google Tag Manager.

Per saperne di più su Google Tag Manager e Cookiebot™, leggi qui

Ma dall’altro lato dello schermo – dal punto di vista degli utenti del tuo sito – questi tag JavaScript eseguono sì Google Analytics, ma in cambio impostano sui browser cookie che raccolgono dati personali, talvolta anche sensibili.

Con profilazione si intende l’accumulo e la combinazione dei dati personali in set di dati enormi e incredibilmente dettagliati circa le persone, le loro abitudini, il loro comportamento e le loro preferenze, andando così a costituire la base della pubblicità comportamentale che, a sua volta, propone ai tuoi utenti pubblicità online spaventosamente mirata.

Tuttavia, i tuoi utenti finali in Europa hanno diritto alla privacy dei dati, protetta dal Regolamento generale sulla protezione dei dati dell’UE (GDPR). Tale regolamento è uniforme in tutti i 27 paesi dell’UE e conferisce agli utenti numerosi diritti sui loro dati personali, a partire dal diritto al consenso.

Secondo il GDPR dell’UE, sei tenuto a chiedere e ottenere il consenso esplicito per poter eseguire sul tuo sito web qualsiasi tipo di cookie o tracker che elabori dati personali.

E l’utilizzo di Google Analytics sul tuo sito imposta sul browser degli utenti proprio cookie che elaborano dati personali.

L’uso di Google Analytics non è quindi di default conforme al GDPR.

Dunque… come puoi rendere l’utilizzo di Google Analytics sul tuo sito web conforme al GDPR? E come trovare un equilibrio tra Google Analytics, i cookie e il consenso dell’utente finale sul tuo sito per continuare a ricevere preziose statistiche e informazioni, senza però infrangere le leggi europee sulla protezione dei dati e disattendere la fiducia dei tuoi utenti?

Facciamo quindi una rapida analisi di Google Analytics e della conformità al GDPR sul tuo sito web.

Google Analytics e la conformità al GDPR, in breve

Checklist per la conformità GDPR di Google Analytics

Ecco un sintetico elenco di ciò che serve per eseguire Google Analytics in conformità con il GDPR sul tuo sito web. Se stai cercando un’analisi più dettagliata, continua a leggere sotto. Per garantire che Google Analytics – con i suoi cookie, tracker e strumenti di statistica – agisca rispettando pienamente il Regolamento generale sulla protezione dei dati (GDPR) dell’UE, devi:

1. Chiedere e ottenere il consenso dell’utente finale per tutti i cookie di Google Analytics sul tuo sito web prima della loro attivazione e messa in funzione;
2. Controllare tutti i cookie di Google Analytics in modo da attivarli solo dopo che i tuoi utenti hanno prestato il loro consenso esplicito;
3. Fornire informazioni trasparenti nella cookie policy del tuo sito sui dettagli di tutti i cookie di Google Analytics in funzione – includendo il loro fornitore, i dettagli tecnici, la durata e lo scopo. Ciò è importante in quanto, ai sensi del GDPR, il consenso è valido solo se riflette una scelta informata da parte degli utenti;
4. Redigere informazioni dettagliate nella privacy policy del tuo sito relativamente a tutti i cookie di Google Analytics presenti sul tuo dominio, indicando anche quali dati personali tratta il tuo sito web in generale;
5. Attivare l’anonimizzazione dell’IP sul tuo account Google Analytics e assicurarti che utilizzi identificatori pseudonimi.

È possibile che tutto ciò sembri soltanto un garbuglio di complicate questioni legali sulla protezione dei dati, e che ti sia già venuto mal di testa ancora prima di cominciare… lo sappiamo.

Fortunatamente, la Cookiebot CMP by Usercentrics è una soluzione leader a livello mondiale che automatizza l’intero processo per ottenere il consenso degli utenti finali ai cookie di Google Analytics sul tuo sito web in piena conformità con il GDPR.

Continua a leggere per saperne di più sulla CMP Cookiebot™ plug-and-play e scopri come può rendere il tuo sito web e il suo uso di Google Analytics conformi al GDPR in un batter d’occhio.

Prova ora la CMP Cookiebot™ gratis… rimane gratis per sempre, se il tuo sito è di piccole dimensioni.

Scansiona il tuo sito web e vedi se hai cookie di Google Analytics in funzione.

Google Analytics e la CMP Cookiebot™

Conformità automatica di Google Analytics al GDPR con Cookiebot™

La Cookiebot CMP by Usercentrics è una piattaforma leader mondiale per la gestione del consenso che effettua scansioni approfondite del tuo sito web per rilevare e controllare automaticamente tutti i cookie e i tracker, compresi tutti i cookie di Google Analytics in funzione sul tuo dominio.

La soluzione Cookiebot™, di tipo plug-and-play, classifica i cookie del tuo sito web in quattro semplici categorie, che i tuoi utenti possono attivare o disattivare prima che venga eseguito qualsiasi trattamento dei dati personali.

Si tratta di una conformità al GDPR semplice e veloce, che richiede soltanto poche righe di JavaScript.

La CMP Cookiebot™ fa in modo che l’utilizzo di Google Analytics sul tuo sito web sia conforme al GDPR grazie a:

• Approfondite scansioni automatiche del tuo intero dominio per individuare tutti i cookie e i tracker in uso,
• Blocco automatico di tutti i cookie e i tracker prima che sia stato fornito il consenso specifico,
• Scelta esplicita sul consenso alle quattro categorie di cookie,
• Dichiarazione completa dei fornitori, delle finalità, della durata e della tipologia di cookie,
• Consensi degli utenti documentati in modo sicuro,
• Richiesta di rinnovo automatica.

Ti basta creare gratuitamente un account e lasciare che la CMP Cookiebot™ si occupi di tutti gli ostacoli relativi alla conformità al GDPR, a Google Analytics e ai cookie.

Prova la CMP Cookiebot™ gratis per 14 giorni… o per sempre, se il tuo sito web è di piccole dimensioni.

Scansiona il tuo sito gratuitamente e scopri tutti i cookie e i tracker in funzione.

Google Analytics e la modalità di consenso di Google

Esegui Google Analytics in modo conforme al GDPR senza rinunciare alle statistiche analitiche

La modalità di consenso di Google, lanciata il 3 settembre 2020, rappresenta un enorme passo avanti nel raggiungere un equilibrio tra il rispetto della privacy dei dati e le informazioni analitiche sul tuo sito web.

Google Consent Mode è un’API aperta che permette al tuo sito web di eseguire Google Analytics in base allo stato di consenso dei tuoi utenti finali, integrandosi perfettamente con la CMP Cookiebot™.

Grazie alla modalità di consenso di Google, puoi gestire il tuo Google Analytics, i cookie e il consenso degli utenti ai sensi del GDPR con un’unica soluzione, assicurandoti dati e approfondimenti analitici relativi al tuo sito, il tutto in modo conforme alla legge.

Se gli utenti non prestano il loro consenso ai cookie statistici, la modalità di consenso di Google fa in modo che tu possa comunque ottenere statistiche aggregate e informazioni non identificative sulle prestazioni del tuo sito web, come ad esempio:

• Marche temporali
• User agent
• Referrer
• Altre metriche di base per la modellazione

La modalità di consenso di Google garantisce la piena conformità al GDPR e al contempo l’ottimizzazione dei dati analitici – venendo incontro sia alla privacy dell’utente finale che al bisogno del tuo sito web di dati e informazioni sugli utenti.

Utilizzando una piattaforma di gestione del consenso come la CMP Cookiebot™ per richiedere e ottenere il consenso preventivo degli utenti al trattamento dei loro dati personali, il tuo sito web può utilizzare lo stato di consenso per permettere a Google Consent Mode di eseguire tutti i servizi di Google preferiti del tuo sito web in modo semplice e conforme.

Prova la modalità di consenso di Google sul tuo sito web con la CMP Cookiebot™ e raggiungi un equilibrio conforme tra Google Analytics, i cookie e il GDPR.

Leggi il blogpost di Google per maggiori informazioni su Google Consent Mode

Prova Cookiebot™ gratis per 14 giorni… o per sempre, se il tuo sito è di piccole dimensioni.

Scansiona gratuitamente il tuo sito web per vedere quali cookie e tracker usi

Google Analytics e la conformità al GDPR, in dettaglio

Approfondimento su Google Analytics, i cookie e il GDPR dell’UE

Andiamo ad analizzare un po’ più da vicino il GDPR dell’UE, quali implicazioni ha per il tuo sito web e che tipo di cookie utilizza Google Analytics.

Il Regolamento generale sulla protezione dei dati (GDPR) è un regolamento europeo sulla privacy che protegge tutti i dati personali delle persone all’interno dell’Unione europea e prevede requisiti rigorosi per quanto riguarda le modalità di raccolta e trattamento di tali dati da parte di siti web, aziende e organizzazioni di tutto il mondo.

Il GDPR dell’UE si applica a tutti i siti web in qualsiasi parte del mondo che trattino dati personali provenienti dall’UE.

In breve, il GDPR europeo ti impone di richiedere e ottenere il consenso esplicito dei cittadini residenti nell’UE prima di qualsiasi elaborazione dei loro dati personali.

Secondo il GDPR dell’UE, con dati personali si intende qualsiasi tipo di dati che possa identificare una persona – direttamente o indirettamente.

In questa definizione rientrano comuni identificatori online quali i cookie, gli ID unici, i ClientID, gli indirizzi IP, la cronologia di ricerca e del browser, così come molti altri tipi di dati sugli utenti, quotidianamente raccolti su internet nel momento in cui questi visitano i siti web.

I cookie hanno una vasta gamma di scopi, che spaziano dalla funzionalità, alle prestazioni, alle statistiche e alla pubblicità mirata. Alcuni cookie sono necessari per il funzionamento dei siti web, altri no. Alcuni migliorano l’esperienza dell’utente, altri servono per monitorare e profilare gli utenti, e alcuni fanno entrambe le cose.

Ed è proprio qui che Google Analytics e il GDPR si incontrano, perché Google Analytics utilizza i cookie per tracciare gli utenti del tuo sito web e il loro comportamento.

Sapevi che i siti web hanno in media 20 cookie in funzione?
Scansiona gratis il tuo sito web per rilevarli e controllarli tutti

Prova ora Cookiebot™ gratuitamente… se hai un sito web di dimensioni ridotte, rimane gratis per sempre!

I cookie di Google Analytics sul tuo sito web

Google Analytics utilizza diversi cookie HTTP per tracciare gli utenti e il loro comportamento sul tuo sito web, al fine di distinguerli e ricordarli nel tempo e in caso di visite ripetute.

Tieni presente che tutti i cookie di Google Analytics hanno bisogno del consenso dell’utente finale per essere conformi al GDPR dell’UE.

Solo i cosiddetti “cookie necessari” possono essere operativi sul tuo sito senza il consenso dell’utente: si tratta, infatti, dei cookie strettamente necessari per le funzionalità di base del tuo dominio.

I cookie di Google Analytics, tuttavia, non possono essere classificati come cookie necessari.

Google Analytics imposta i seguenti cookie quando è in uso sul tuo sito web:

• _ga (cookie utilizzato per distinguere i singoli utenti sul tuo dominio; scade dopo 2 anni)
• _gid (cookie utilizzato per distinguere i singoli utenti sul tuo dominio; scade dopo 24 ore)
• _gat (cookie utilizzato per limitare la quantità di richieste degli utenti al fine di mantenere le prestazioni del tuo sito; scade dopo 1 minuto)
• AMP_TOKEN (cookie contenente un ID unico assegnato a ciascun utente sul tuo dominio; scade dopo un periodo che può andare da 30 secondi a 1 anno)
• _gac_<property-id> (cookie contenente un ID unico che fa funzionare congiuntamente Google Analytics e Ads; scade dopo 90 giorni)

Questi cookie di Google Analytics vengono memorizzati nei browser dei tuoi utenti quando arrivano sul tuo sito web. In questo modo Google Analytics può identificare e ricordare ogni singolo utente e seguirlo su diversi siti, così da presentarti una mappa dettagliata del suo percorso verso e dal tuo dominio.

Come indicato in precedenza, alcuni cookie di Google Analytics scadono dopo 1 minuto (ad esempio il cookie _gat), mentre altri cookie di Google Analytics rimangono sul browser per due anni (ad esempio il cookie _ga).

Comunque, a prescindere dalla loro durata, tutti i suddetti cookie di Google Analytics rientrano nella definizione di dati personali del GDPR.

Questo perché i cookie di Google Analytics raccolgono dati che possono essere utilizzati per identificare le persone, a volte direttamente, altre volte indirettamente in combinazione con altri dati.

Tra i dati raccolti dai cookie di Google Analytics troviamo:

• ClientID che consistono in una stringa di numeri unici per ogni utente sul tuo sito web
• Numero di volte e ora del giorno delle precedenti visite al tuo sito web
• Informazioni su come gli utenti hanno trovato il tuo sito web, sulle loro ricerche e sulla cronologia del browser
• Indirizzi IP (a meno che non siano stati disattivati nel tuo account di Google Analytics)

Approfondisci il GDPR e il consenso ai cookie sul tuo sito web

Google sta rinunciando ai cookie di terze parti – ma il consenso avrà vita lunga

Per saperne di più sul tracciamento dei siti web conforme al GDPR, clicca qui

In generale, i siti web ospitano circa 20 cookie.

Secondo lo studio Beyond the Front Page del 2020:

• Il 72% dei cookie viene caricato segretamente da altri cookie di terze parti,
• Il 18% dei cookie è costituito da cosiddetti “cavalli di troia”, ovvero cookie nascosti ad una profondità tale da essere all’interno di altri otto cookie,
• Il 50% di questi “cavalli di troia” cambia da una visita all’altra degli utenti sul tuo sito.

I cookie vengono impostati dal tuo sito web se usi Google Analytics o un’analoga soluzione di analisi, ma ci sono anche altri contenuti incorporati che installano cookie, ad esempio strumenti di rendimento e marketing come HubSpot, video incorporati da piattaforme di terze parti quali YouTube o Vimeo, e plugin di social media come i pulsanti “Mi piace” di Facebook.

Questi cookie vanno poi ad elaborare i dati personali dei tuoi utenti finali sul tuo sito web.

L’utilizzo di una soluzione per i cookie completamente automatizzata come la CMP Cookiebot™ è uno strumento essenziale per la conformità del tuo sito web al GDPR, in quanto garantisce che i cookie di Google Analytics e altre tecnologie di tracciamento di terze parti siano rilevate e tenute sotto controllo, mettendo l’utente in condizione di dare il proprio valido consenso.

Prova Cookiebot™ gratis per 14 giorni… o per sempre, se hai un sito web di dimensioni contenute

Scansiona il tuo sito web e controlla tutti i cookie di Google Analytics

Procedura per rendere Google Analytics e i relativi cookie conformi al GDPR

Ecco una guida passo per passo su come ottenere un consenso valido secondo il GDPR per Google Analytics e i cookie sul tuo sito web.

Step 1 – Consenso dell’utente finale

Devi richiedere e ottenere il consenso esplicito e valido dei tuoi utenti per utilizzare Google Analytics in conformità con il GDPR sul tuo sito web.

Un consenso valido ai sensi del GDPR ha le seguenti caratteristiche:

• Il consenso preventivo ed esplicito deve essere acquisito prima dell’attivazione di qualsiasi cookie (tranne i cookie necessari, inseriti nella whitelist);
• Il consenso deve essere granulare, ovvero gli utenti devono poter attivare alcuni cookie lasciandone al contempo altri disattivati, senza essere costretti ad acconsentire a tutto o niente;
• Il consenso deve essere espresso liberamente, cioè non può essere forzato;
• Il consenso deve poter essere ritirato con la stessa facilità con cui è stato precedentemente fornito;
• Il consenso deve essere conservato al sicuro come documentazione legale dell’ottenuto consenso;
• Il consenso deve essere rinnovato almeno una volta all’anno. Alcune autorità nazionali per la protezione dei dati, tuttavia, raccomandano un rinnovo più frequente, ad esempio a cadenza semestrale. Consulta le linee guida per la protezione dei dati del tuo paese per assicurarti la conformità.

Step 2 – Avere una privacy policy e una cookie policy esaustive

La tua informativa sulla privacy deve includere informazioni dettagliate su tutti i cookie di Google Analytics e sulle altre tecnologie di tracciamento in funzione sul tuo sito web.

Qui sei tenuto a fornire trasparenza sul trattamento dei dati sul tuo sito. Accertati che tutte le elaborazioni di dati sul tuo sito web siano chiaramente indicate nella tua privacy policy, comprese le finalità per cui raccogli i dati, le tipologie di dati che raccogli e con chi li condividi.

Per saperne di più sulle privacy policy conformi al GDPR, clicca qui

Oltre alla tua informativa sulla privacy, o come parte di essa, anche la tua cookie policy va resa accessibile agli utenti, indicando quali cookie sono in uso, a quale scopo servono, e come si può scegliere di accettarli (opt-in) o opporvisi (opt-out).

La CMP Cookiebot™ ti fornisce automaticamente una cookie policy completa e sempre aggiornata.

Step 3 – Attivare l’anonimizzazione IP nel tuo account Google Analytics

Gli indirizzi IP sono considerati dati personali nel GDPR dell’UE. Per default gli indirizzi IP non sono mai visualizzati nei rapporti, ma Google li usa per fornire dati di geolocalizzazione.

Ecco perché è una buona idea attivare la funzione di anonimizzazione dell’IP in Google Analytics.

Questa modifica ridurrà leggermente la precisione dei rapporti geografici del tuo account Google Analytics. Per attivare l’anonimizzazione, devi fare una variazione nel codice:

Se usi Google Tag Manager, regola il tuo tag o la variabile delle impostazioni di Google Analytics cliccando su Altre impostazioni -> Campi da impostare e poi aggiungi un nuovo campo chiamato ‘anonymizeIp’ con il valore ‘true’.

Se non usi Google Tag Manager, il tuo sistema di gestione dei tag potrebbe avere questa impostazione visibile come opzione, oppure potresti aver bisogno di modificare direttamente il codice.

Una volta implementata questa modifica, Google renderà anonimo l’indirizzo IP non appena tecnicamente possibile, rimuovendo l’ultimo ottetto dell’indirizzo IP prima che qualsiasi memorizzazione o elaborazione abbia inizio (il tuo IP diventa 123.123.123.0 – laddove l’ultima porzione/ottetto è sostituito da uno ‘0’).

A seguito dell’abilitazione di tale funzione, l’indirizzo IP completo non viene mai scritto sul disco, secondo Google.

Inoltre, controlla i tuoi identificatori pseudonimi su Google Analytics per assicurarti che i dati non siano identificabili.

La tua implementazione di Google Analytics potrebbe già utilizzare identificatori pseudonimi, quali:

• ID Utenti (assicurati che gli ID utente siano identificatori alfanumerici del database e non dati scritti sotto forma di testo).
• Dati sottoposti a hashing o criptati (Google ha un requisito minimo di hashing di SHA256. Tuttavia, si raccomanda di evitare di raccogliere dati in questo modo).
• ID delle transazioni (assicurati che questo ID sia un identificatore alfanumerico del database).

Google Analytics e la conformità al GDPR in Germania

Requisiti minimi per l’utilizzo di Google Analytics ai sensi del GDPR in Germania

Il 12 maggio 2020 la DSK (Datenschutzkonferenz), ovvero il comitato tedesco per la supervisione della protezione dei dati, ha pubblicato delle linee guida sui requisiti minimi per l’uso di Google Analytics sui siti web in Germania.

I criteri minimi della DSK sono applicabili all’utilizzo regolare di Google Analytics (ovvero secondo le impostazioni standard di Google, quindi fondamentalmente come la maggior parte dei siti web userebbe lo strumento di analisi con la normale implementazione).

I requisiti minimi della DSK per l’uso di Google Analytics in Germania includono, tra le altre cose, quanto descritto nei seguenti punti:

• I siti web sono autorizzati a utilizzare Google Analytics solo previo ottenuto consenso. Gli utenti devono prestare un consenso chiaro, affermativo ed esplicito (in linea con i requisiti generali del GDPR per la validità del consenso) alle specifiche attività di trattamento che avvengono in relazione all’utilizzo di Google Analytics e alla corrispondente trasmissione dei dati personali a Google LLC negli Stati Uniti.
• Prima che l’utente abbia accordato il suo consenso attivo (cioè esplicito), non è consentito raccogliere dati né scaricare elementi dai siti web di Google. I siti internet devono indicare esplicitamente Google come destinatario dei dati personali.
• I siti web devono informare chiaramente gli utenti che i loro dati personali non sono anonimizzati, che saranno trasmessi a Google e verranno da quest’ultimo elaborati e memorizzati, che le autorità statali statunitensi hanno accesso a questi dati personali e che Google li impiega per uno o più dei suoi scopi (come la profilazione e il tracciamento multipiattaforma).
• Le privacy policy dei siti web devono contenere spiegazioni esplicative degli scopi per cui viene utilizzato Google Analytics. I siti web devono accorciare gli indirizzi IP degli utenti come misura di protezione aggiuntiva (e non alternativa) agli altri requisiti del GDPR (seguendo la guida di Google) e dichiarare nelle informative sulla privacy se tale accorciamento degli indirizzi IP sia o meno utilizzato nella loro rispettiva configurazione di Google Analytics.
• I siti web devono sempre mettere a disposizione degli utenti un meccanismo semplice e accessibile per ritirare il consenso al trattamento dei dati personali da parte di Google.
• Il componente aggiuntivo del browser proprio di Google non rappresenta un meccanismo per la revoca del consenso da parte degli utenti conforme alla legge.

Per saperne di più sui requisiti minimi per l’utilizzo di Google Analytics secondo il GDPR, clicca qui e consulta il nostro blogpost in tedesco).

Prova Cookiebot™ gratis per 14 giorni… o per sempre, se hai un sito web di piccole dimensioni. Rendi il tuo sito e il suo utilizzo di Google Analytics conformi al GDPR.

FAQ

Risorse

Google Analytics

Modalità di consenso di Google

Report GDPR: Il GDPR e Google Analytics (in inglese)

Shivarweb: Cosa fa Google Analytics? (in inglese)

Guida per sviluppatori di Google: l’uso di cookie di Google Analytics sui siti web (in inglese)

Stackoverflow: Quali dati vengono raccolti di default da Google Analytics (in inglese)

La Privacy policy di Google

Medium: Google Analytics e la conformità al GDPR (in inglese)

Termini di protezione dei dati di Google Ads: Informazioni di servizio (in inglese)

GOOGLE IN EUROPE: Prepararsi alle nuove normative europee sulla protezione dei dati (in inglese

Google: Norme relative al consenso degli utenti dell’UE

Elenco completo dei prodotti di Google Ads (in inglese)