Google Analytics raccoglie informazioni sui visitatori del tuo sito e usa cookie per riconoscerli da una visita all’altra. Per questo, in Italia e nel resto d’Europa, la sua installazione non è solo una questione tecnica: ci sono regole sulla privacy da rispettare. In questo articolo facciamo il punto in modo pratico. Non è una consulenza legale: per il tuo caso specifico, soprattutto se raccogli molti dati o lavori in settori delicati, rivolgiti a un consulente privacy.
Prima il consenso, poi i cookie
Secondo le regole europee sui cookie, applicate in Italia anche dalle linee guida del Garante per la protezione dei dati personali, i cookie che non sono strettamente necessari al funzionamento del sito si possono usare solo dopo il consenso del visitatore. I cookie di Google Analytics, nella configurazione standard, rientrano tra questi.
In pratica serve un banner dei cookie che:
- compaia alla prima visita e spieghi in modo chiaro quali cookie usi e perché;
- offra una scelta reale: rifiutare deve essere facile quanto accettare;
- blocchi davvero Analytics finché il visitatore non accetta, e non si limiti a mostrare un messaggio;
- permetta di cambiare idea in seguito, per esempio con un link nel piè di pagina.
Un banner che dice «continuando a navigare accetti i cookie», o che carica Analytics prima della scelta, non è conforme.
Consent Mode di Google
Google ha introdotto il Consent Mode, un sistema che fa dialogare il banner dei cookie con i suoi strumenti: il banner comunica a Google se il visitatore ha accettato o rifiutato, e Google si comporta di conseguenza. Dal 2024 Google richiede la versione aggiornata, chiamata Consent Mode v2, a chi usa i suoi servizi pubblicitari, come Google Ads, con visitatori dello Spazio economico europeo. Senza, alcune funzioni di misurazione e di pubblico per le campagne vengono limitate.
Molte piattaforme per la gestione dei cookie, i cosiddetti CMP, supportano già il Consent Mode v2: conviene sceglierne una che lo gestisca e verificare che sia configurata bene.
Il tema dei dati negli Stati Uniti
Nel 2022 il Garante italiano, come altre autorità europee, si era pronunciato contro l’uso della vecchia versione di Analytics, Universal Analytics, perché i dati dei visitatori venivano trasferiti negli Stati Uniti senza garanzie adeguate. Dal 2023 è in vigore il Data Privacy Framework tra Unione europea e Stati Uniti, un accordo che permette i trasferimenti verso le aziende americane che vi aderiscono. Il quadro è cambiato, ma resta un tema in evoluzione: è uno dei motivi per cui conviene farsi seguire da un consulente e tenere aggiornata la documentazione.
Informativa e cookie policy
Oltre al banner, il sito deve avere:
- un’informativa privacy che spieghi quali dati raccogli, per quali finalità, per quanto tempo e con chi li condividi, Google compreso;
- una cookie policy che elenchi i cookie usati, compresi quelli di Analytics, con la loro durata.
Questi documenti sono del titolare del sito, cioè tuoi: noi come hosting trattiamo i dati per tuo conto secondo il nostro accordo sul trattamento dei dati, ma non possiamo scrivere al posto tuo l’informativa per i tuoi visitatori. Per darti un esempio concreto, il sito iweblab.sm non usa cookie di profilazione: lo trovi spiegato nella nostra cookie policy.
Ridurre i dati raccolti
Qualche accorgimento aiuta a raccogliere solo ciò che serve:
- Non inviare dati personali ad Analytics: nomi, email, numeri di telefono non devono finire negli indirizzi delle pagine o nei parametri degli eventi. Succede, per esempio, con moduli che passano i dati nell’URL dopo l’invio.
- Imposta la conservazione dei dati al periodo che ti serve davvero.
- Limita gli accessi alla proprietà Analytics alle persone che ne hanno bisogno, con il ruolo minimo necessario.
E se non voglio cookie?
Esistono strumenti di statistica che funzionano senza cookie o con dati aggregati, e in alcuni casi permettono di non chiedere il consenso. Hanno meno funzioni di GA4, ma per molti siti informativi bastano. Anche i log del server raccontano molto: con SEO Log Intelligence vedi visite di motori, bot e persone direttamente dal pannello, senza aggiungere nulla alle pagine. Quale strada sia corretta per il tuo sito è una valutazione da fare con il tuo consulente.
Una lista di controllo
- Il banner compare alla prima visita e ha un pulsante «Rifiuta» visibile quanto «Accetta».
- Prima della scelta, nessun cookie di Analytics viene impostato (lo verifichi negli strumenti del browser).
- Il Consent Mode è attivo, se usi Google Ads.
- Informativa e cookie policy citano Analytics e sono aggiornate.
In sintesi
- I cookie di Analytics richiedono il consenso: serve un banner che blocchi davvero il tag finché il visitatore non accetta.
- Chi usa Google Ads con visitatori europei deve adottare il Consent Mode v2.
- Il tema dei trasferimenti negli Stati Uniti è regolato dal Data Privacy Framework, ma è in evoluzione.
- Informativa e cookie policy sono responsabilità del titolare del sito: per i dettagli rivolgiti a un consulente privacy.
Vuoi sapere quali script carica il tuo sito prima del consenso? Apri un ticket: ti aiutiamo a capirlo dal lato tecnico.