Google Analytics 4 e GDPR: come usarlo in Italia

Google Analytics 4 e GDPR: serve il consenso?

Sì, in Italia Google Analytics 4 si usa di norma con il consenso dell'utente. Il Garante privacy assimila gli analytics ai cookie tecnici, quindi senza consenso, solo se il fornitore non combina i dati con altri trattamenti, l'indirizzo IP è mascherato e le statistiche servono solo al sito. Google Analytics 4, nella configurazione abituale, è collegato ad altri servizi Google e non rientra in questa eccezione. Il rapporto tra Google Analytics 4 e GDPR si gioca quindi su tre piani: consenso, impostazioni dello strumento e informativa.

Questo articolo non è una consulenza legale. Spiega le regole pubblicate dal Garante e le impostazioni tecniche che ne derivano, per chi vuole continuare a usare GA4 rispettando la scelta dei visitatori.

Perché GA4 non è assimilato ai cookie tecnici

Le Linee guida cookie del Garante del 10 giugno 2021 indicano le condizioni per gli analytics di terze parti senza consenso: mascheramento almeno della quarta componente dell'indirizzo IPv4, statistiche aggregate, nessuna combinazione dei dati con altre elaborazioni e nessuna trasmissione ad altri terzi. Google Analytics 4 offre molti collegamenti verso altri servizi: Google Ads, Google Signals, condivisione dei dati con Google. Quando questi collegamenti sono attivi, l'analisi non è più limitata al sito. Per questo la prassi in Italia è attivare GA4 solo dopo il consenso.

Nel 2022 il Garante, come altre autorità europee, ha contestato l'uso di Google Analytics nella versione Universal per il trasferimento di dati verso gli Stati Uniti. Il 10 luglio 2023 la Commissione europea ha adottato una decisione di adeguatezza per il Data Privacy Framework UE-USA, che consente i trasferimenti verso le aziende statunitensi certificate. Il tema dei trasferimenti è quindi cambiato, quello del consenso ai cookie no.

→ Banner cookie con Consent Mode v2: conforme, senza canone mensile

Consent Mode v2: base o avanzato?

Il Google Consent Mode v2 comunica ai tag Google lo stato della scelta, per esempio analytics_storage e ad_storage. In modalità base, i tag Google si caricano solo dopo il consenso. In modalità avanzata, si caricano subito e, in caso di rifiuto, inviano segnali senza cookie usati per la modellazione. La modalità base è la più semplice da giustificare rispetto alle regole del Garante. La modalità avanzata richiede una valutazione esplicita, meglio se con il tuo responsabile della protezione dei dati.

Con la modalità base, i report di GA4 mostrano solo le visite di chi ha accettato. È normale che i numeri siano più bassi rispetto ai dati del server o del gestionale. Per valutare le campagne conviene quindi guardare le tendenze e i rapporti tra canali, non il numero assoluto delle visite. Le richieste e gli ordini reali restano nel tuo CRM o nel back-office del negozio, che sono la base di confronto.

• Stato predefinito “negato” prima di qualsiasi tag Google
• Aggiornamento dello stato al clic su Accetta o sulla X
• Controllo in Tag Assistant che lo stato predefinito arrivi prima del primo tag
• Test in tre situazioni: nessuna scelta, rifiuto, accettazione

Le impostazioni di GA4 da controllare

Anche con il consenso, alcune impostazioni di Google Analytics 4 riducono i dati raccolti e vanno controllate a ogni nuova installazione. Si trovano nell'area Amministrazione, a livello di proprietà e di account.

Secondo Google, Google Analytics 4 non registra né memorizza gli indirizzi IP: l'IP serve solo a ricavare la posizione approssimativa durante la raccolta. Non serve quindi attivare un mascheramento dell'IP come nella vecchia versione Universal. Questo dato è utile per l'informativa, ma non cambia la necessità del consenso.

→ Configurare correttamente Google Consent Mode v2: nessun avviso in Tag Assistant

Cosa scrivere nell'informativa

L'informativa estesa deve descrivere cosa fai davvero con Google Analytics 4. Indica la finalità, cioè misurare visite e richieste, il fornitore Google, il fatto che i cookie partono solo dopo il consenso, la durata di conservazione scelta e come modificare la scelta. Se GA4 è collegato a Google Ads, scrivilo, perché i dati servono anche a misurare le campagne. Un testo copiato da un altro sito, che parla ancora di Universal Analytics o di anonimizzazione dell'IP, è un segnale che l'informativa non è stata aggiornata.

Esempio: uno studio dentistico con modulo di prenotazione

Uno studio dentistico di Verona misura le richieste di appuntamento con GA4. Il codice di Google Analytics è inserito sia nel tema WordPress sia in Google Tag Manager. Il tag in Google Tag Manager rispetta il banner, quello nel tema no: GA4 parte anche dopo il rifiuto e conta due volte le pagine viste di chi accetta. La correzione consiste nel togliere il codice dal tema, lasciare un solo tag Google in Google Tag Manager e configurare il Consent Mode. Dopo la correzione le richieste restano misurate per chi accetta e nulla parte per chi rifiuta.

Problemi come questo tornano spesso dopo un aggiornamento: un nuovo plugin SEO che aggiunge il proprio codice di Google Analytics, un cambio di tema, un'agenzia che inserisce un tag per una campagna. Conviene quindi ripetere il controllo dopo ogni modifica importante al sito, e non solo al momento dell'installazione.

Controllare la tua configurazione

Il check gratuito di Trackum (trackum.app/check) apre la tua home page tre volte in un browser vero, senza risposta al banner, dopo il rifiuto e dopo l'accettazione, più due pagine interne, e mostra se Google Analytics o altri tag partono prima del consenso. È gratuito, senza registrazione e richiede due minuti. Trackum può poi correggere i problemi nel tuo Google Tag Manager per 79 € IVA esclusa, oppure installare Google Tag Manager, Google Analytics 4 e Consent Mode v2 per 150 € IVA esclusa, con test con e senza consenso.