La decisione del Garante della privacy in Italia
Come abbiamo già avuto occasione di analizzare nel nostro precedente articolo “Google Analytics e GDPR: i rischi per gli utenti dell’UE”, la questione del trattamento dei dati da parte della nota azienda americana ha attirato l’attenzione di numerose Autorità Garanti di diversi paesi Europei.
Le garanzie, infatti, previste dalle leggi americane in questo ambito sono molto più deboli e meno “protettive” nei confronti dei titolari dei dati, rispetto a quelle previste dalle normative europee e dal GDPR. Con il comunicato del 23 giugno 2022, il Garante della privacy italiana ha espresso un punto critico già sollevato da molti utenti e Autorità anche in altri Paesi Europei. Si legge che:
“il Garante ha evidenziato, in particolare, la possibilità, per le Autorità governative e le agenzie di intelligence statunitensi, di accedere ai dati personali trasferiti senza le dovute garanzie, rilevando al riguardo che, alla luce delle indicazioni fornite dall’EDPB (Raccomandazione n. 1/2020 del 18 giugno 2021), le misure che integrano gli strumenti di trasferimento adottate da Google non garantiscono, allo stato, un livello adeguato di protezione dei dati personali degli utenti”.
La nota del nostro Garante è molto chiara e si colloca perfettamente in linea con la precedente decisione dell’Autorità austriaca che aveva dichiarato, a sua volta, che le “clausole contrattuali standard firmate dalle parti (nel caso di specie il gestore di un sito austriaco e Google) non offrono un livello di protezione adeguato” rispetto alle norme previste dal Regolamento Europeo per protezione dei dati personali.
A seguito di questa decisione, dunque, è evidente che i gestori di siti web in Italia dovranno fare a meno dei servizi finora offerti da Google Analytics.
L’Autorità italiana, infatti, ha stabilito un termine di 90 giorni entro il quale
“tutti i titolari del trattamento sono tenuti a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali”.
Allo scadere di questo periodo, l’Autorità Garante si riserva di verificare la conformità al Regolamento Europeo dei soggetti interessati e, in caso di esito negativo, di procedere con le sanzioni previste dalle normative applicabili.
Gli effetti negativi che simili decisioni producono anche sulle stesse attività di Google non sono difficili da immaginare. È probabile, infatti, che con il susseguirsi di queste restrizioni da parte delle Autorità europee, la stessa azienda americana proceda presto con modifiche ai suoi standard di sicurezza per essere in linea con le disposizioni del GDPR.
Un’altra strada potrebbe anche essere quella per cui Stati Uniti e Unione Europea scelgano di modificare i propri accordi in materia di privacy e protezione dati in modo da facilitare le attività delle aziende che operano in questo settore.
Possibili strade alternative: Matomo
I servizi offerti da Google Analytics costituiscono oggi una fonte di informazioni essenziale per tantissime aziende in Italia e in Europa.
Per questo motivo occorre trovare soluzioni alternative che consentano ai soggetti interessati di continuare a usufruire di tutti i vantaggi e i servizi che Analytics ha sempre fornito.
Una di queste soluzioni è Matomo: un software libero open source grazie al quale i gestori di siti web possono ottenere report dettagliati e in tempo reale sui visitatori, sui motori di ricerca utilizzati di questi ultimi, sulle parole chiave cercate, sulla lingua e anche sulle pagine di maggiore interesse.
Le funzionalità del software sono estendibili e personalizzabili secondo le esigenze dell’utilizzatore con la semplice installazione di un plugin. In questo modo si migliora ulteriormente la compliance con le specifiche normative sulla privacy e sulla tutela dei dati.
Un elemento molto importante, infine, che differenzia Matomo da Google Analytics è il fatto che questo software si installa sul server del gestore/owner del sito web e di conseguenza i dati sul traffico sono memorizzati nel proprio database e non vengono trasferiti in paesi terzi.
Grazie all’esperienza maturata sul campo e alla professionalità dei nostri team, in Synesthesia siamo in grado di mettere a disposizione dei nostri clienti nuove soluzioni come Matomo, per far fronte nel modo migliore alle esigenze di ogni progetto. Contattaci! Saremo contenti di trovare insieme la risposta migliore alle tue esigenze.
L’Autorità austriaca, con una pronuncia risalente a dicembre 2021, ha dichiarato che Google Analytics non garantisce il livello di tutela dei dati personali degli utenti stabilito dal GDPR. Ma quali sono le origini della questione nei rapporti tra UE e USA? Quali potranno essere le conseguenze della pronuncia proveniente dall’Austria per utenti e aziende? Esistono già alternative “pronte all’uso”?
Le origini della questione: NOYB e la sentenza Schrems II
NOYB (None Of Your Business) è l’organizzazione no-profit co-fondata da Max Schrems, un nome noto nella questione riguardante il trasferimento dei dati di utenti europei verso gli USA. È stata infatti proprio la causa intentata da Maximilian Schrems contro Facebook Ireland che ha condotto, il 16 luglio 2020, alla nota sentenza “Schrems II”. In quell’occasione la Corte di Giustizia dell’Unione Europea si era pronunciata invalidando una precedente decisione della Commissione Europea “sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy”.
La Corte ha dichiarato che:
“ai sensi del regolamento generale sulla protezione dei dati il trasferimento dei suddetti dati verso un Paese terzo può avvenire, in linea di principio, solo se il Paese terzo considerato garantisce a tali dati un adeguato livello di protezione”.
La normativa statunitense non garantisce questo livello di protezione. Negli Stati Uniti, infatti, i “fornitori di servizi di comunicazione elettronica” (tra cui senz’altro sono compresi sia Facebook sia Google) sono soggetti alla sorveglianza delle agenzie di intelligence statali. Questo implica che per motivi di sorveglianza e sicurezza, i dati degli utenti possono essere consegnati indiscriminatamente alle autorità statunitensi.
Il “problema“ di Google Analytics
A questo punto si arriva alla questione riguardante nello specifico Google Analytics. Nell’agosto 2020, NOYB ha presentato 101 reclami nei confronti di diverse organizzazioni europee che continuano a trasferire i dati degli utenti a Google e Facebook negli Stati Uniti.
Una delle prime risposte a questi reclami è arrivata dall’Austria. Il Garante privacy austriaco (DSB – Datenschutzbehörde) ha emanato, infatti, un provvedimento nei confronti del gestore di un sito web che esportava i propri dati verso Google LLC negli Stati Uniti, usufruendo del servizio di analytics di casa Google. Il provvedimento si rivolge, al momento, solo all’esportatore dei dati, quindi al gestore europeo del sito e non a Google (importatore dei dati) e stabilisce che i dati trasferiti a Google LLC sono, a tutti gli effetti, dati personali ai sensi dell’art. 4.1 GDPR e le “clausole contrattuali standard firmate dalle parti non offrono un livello di protezione adeguato”.
È evidente che nonostante la mancata pronuncia esplicita nei confronti dell’azienda americana le conseguenze di una simile decisione si riflettono necessariamente su quest’ultima, dal momento che, di fatto, il provvedimento preclude l’utilizzo del servizio di Analytics da parte di tutti i gestori di siti web in Austria. Google non ha accettato la decisione e ha pubblicato un articolo per difendere il proprio operato, perché sostiene di compiere legittimamente il trasferimento dei dati. Persino il DSB, nei documenti che accompagnano la sentenza, riconosce tutti gli sforzi prodotti per minimizzare il trattamento dei dati.
La “colpa” in questo caso specifico non è dell’azienda di Mountain View, quanto più dell’asimmetria normativa di EU e USA: i Garanti privacy non possono far altro che registrare l’inadeguatezza della legislazione americana. L’Autorità, infatti, non può ignorare il pronunciamento della Corte di Giustizia europeo: ironicamente, anche l’EDPS, l’European Data Protection Supervisor, ha sanzionato nei giorni scorsi il Parlamento europeo e gli organi correlati per violazione del GDPR a causa dell’uso degli strumenti di Google.
Non solo Analytics
Il problema a quanto pare è più generale e investe anche altri “strumenti” del mondo Alphabet. A inizio gennaio 2022 è stato, infatti, multato in Germania il gestore di un sito web per aver utilizzato Google Fonts: in quel modo consentiva il trasferimento non autorizzato di dati di navigazione quali IP, browser, sistema (tra gli altri). Anche in questo caso, il gestore del sito web può risolvere il problema utilizzando soluzioni che eliminino la necessità per il browser dell’utente di lanciare connessioni verso server di terze parti, e diffondendo così informazioni personali.
Questa recente sentenza, però, rende ancora più chiari gli effetti prodotti dal pronunciamento Schrems II: se fino a poco tempo fa i cittadini europei potevano ignorare l’argomento e le aziende potevano evitarlo, ora a ogni livello è impossibile fingere che il tema non esista. Risulta sempre più evidente che la questione sia prettamente politica: l’Unione Europea e gli Stati Uniti già da tempo stanno negoziando un nuovo accordo sul trasferimento dei dati. Il trattato però deve essere pronto al più presto e, soprattutto, efficace nella sua applicazione.
Ma quali strade potrebbero essere percorse per trovare soluzioni alla questione? Per venire incontro alle necessità europee, il legislatore statunitense potrebbe stabilire maggiori tutele per i dati personali dei cittadini europei. In attesa delle decisioni politiche che cosa possono fare gli utenti e in particolare le aziende? Un primo passo, che molti stanno valutanto, se non attuando è utilizzare servizi equivalenti ad Analytics e allo stesso tempo rispettosi della normativa europea in tema di privacy.
Matomo è il candidato più promettente?
Matomo, precedentemente conosciuto con il nome di Piwik, è un software libero che fornisce un servizio concorrenziale rispetto allo stesso Google Analytics. Con Matomo i gestori di siti web possono ottenere report dettagliati e in tempo reale sui visitatori di un sito web con riguardo ai motori di ricerca di provenienza, alle parole chiave usate, alla lingua, alle pagine più visitate.
Le funzionalità del software sono estendibili con l’installazione di plugin con cui è possibile aggiungere nuove funzionalità e rimuovere quelle non necessarie, in modo da migliorare ulteriormente la compliance con le specifiche normative sulla privacy. Matomo viene installato sul server del gestore/owner del sito web, ciò significa che i dati sul traffico sono memorizzati nel proprio database. L’interfaccia utente, inoltre, è completamente personalizzabile: trascinando e rilasciando i widget che si desidera visualizzare, è possibile creare una visualizzazione “su misura”.
Possibili scenari futuri
La pronuncia del Garante Austriaco ha di fatto segnato una strada per tutte le autorità europee statali competenti. Ogni singolo Stato dell’Unione Europea, infatti, potrebbe adottare e imporre le medesime restrizioni dell’Austria sui dati appartenenti a utenti europei in caso di trasferimento di questi dati in Paesi come gli USA che non garantiscono un livello di protezione pari o maggiore rispetto a quello imposto dal GDPR. Se il nuovo accordo producesse un ulteriore fallimento i danni, in termini economici, potrebbero essere molto elevati. Per fare solo un esempio: tutti i gestori europei di siti web non potrebbero più usufruire di un servizio come Analytics e più in generale di tutti i servizi offerti da Google che interessino il trattamento di dati di utenti europei. Un cambiamento risulta, dunque, inevitabile soprattutto nell’ottica di garantire una tutela più concreta e garantita per tutti gli utenti.
La compliance Privacy e il rispetto delle normative europee è al centro del modo di operare di Synesthesia. Per questo motivo collaboriamo con Smart Flow, società torinese che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.
Per conoscere le nostre soluzioni, scrivici. Saremo contenti di trovare insieme la risposta migliore alle tue esigenze.