Il Garante Privacy, all’esito di un’articolata istruttoria, iniziata a seguito di reclami effettuati da parte di alcuni utenti, ha stabilito che il servizio Google Analytics (GA), utilizzato senza le garanzie previste dal Regolamento Ue, viola la normativa sulla protezione dei dati personali, in quanto trasferisce negli Stati Uniti, Paese privo di un adeguato livello di protezione, i dati personali degli utenti. 

Dall’indagine del Garante è emerso che i gestori dei siti web che utilizzano Google Analytics raccolgono, tramite cookie, informazioni sulle interazioni degli utenti con i predetti siti. Le risultanze istruttorie hanno evidenziato come tra i dati raccolti, poi oggetto del trasferimento negli Stati Uniti, comparisse l’indirizzo IP collegato al dispositivo in uso all’utente, nonché le informazioni relative al sistema operativo, alla lingua selezionata e alla data e l’ora dell’accesso al web. 

Nel dichiarare l’illiceità del trattamento il Garante ha sottolineato come l’indirizzo IP costituisce un dato personale e anche nel caso fosse troncato non diverrebbe un dato anonimo, considerata la capacità di Google di arricchirlo con altri dati di cui è in possesso.

Il Garante ha evidenziato, in particolare, la possibilità, per le Autorità governative e le agenzie di intelligence statunitensi, di accedere ai dati personali trasferiti senza le dovute garanzie, rilevando al riguardo che, le misure che integrano gli strumenti di trasferimento adottate da Google non garantiscono un livello adeguato di protezione dei dati personali degli utenti.

Gli accertamenti hanno condotto ad una serie di provvedimenti emessi dal Garante Privacy, il primo dei quali indirizzato a Caffeina Media S.r.l., società che gestisce un sito web, con cui ha ingiunto alla stessa di conformarsi al Regolamento europeo entro novanta giorni. Ove la società ometta di adottare le misure necessarie a conformarsi al Regolamento UE, subirebbe la sospensione dei flussi di dati effettuati, per il tramite di GA, verso gli Stati Uniti.