Indice dei contenuti dell'articolo:
Il caso dell’autorità per la privacy svedese contro Google Analytics ha sollevato questioni cruciali sulla protezione dei dati e sui diritti dei consumatori. Tele2, un’importante azienda di telecomunicazioni, ha ricevuto una multa da 1 milione di euro per l’utilizzo non autorizzato di Google Analytics, segnando la prima sanzione di natura finanziaria per l’utilizzo di questo servizio. Questo evento si profila come un importante punto di riferimento per le organizzazioni che si preparano agli sviluppi del nuovo protocollo di trasferimento dati USA-UE. Facciamo chiarezza.
Le ripercussioni della sentenza Schrems II
La sentenza Schrems II ha avuto un impatto considerevole sulle grandi aziende tecnologiche, comunemente conosciute come Big Tech, soprattutto per quanto riguarda Google Analytics. La decisione della Corte ha messo in evidenza gravi problemi di sicurezza riguardanti la gestione dei dati personali, generando importanti ripercussioni a livello di protezione dei dati.
Nel dettaglio, la sentenza ha sollevato problematiche riguardanti la salvaguardia e la protezione dei dati personali che vengono trasferiti verso le sedi statunitensi delle società. A seguito di questa decisione, le autorità di regolamentazione hanno iniziato a consigliare contro l’uso di Google Analytics, poiché si è rivelato che il servizio non poteva garantire un livello di protezione adeguato per i dati personali che venivano trasferiti al di fuori dei confini dell’Unione Europea.
Nel 2022, l’Autorità Garante per la protezione dei dati personali italiana, in risposta alla sentenza Schrems II, ha esposto la sua posizione in modo chiaro e inequivocabile. Ha affermato che in assenza del Privacy Shield – un accordo che permetteva il trasferimento di dati personali tra l’UE e gli USA – e senza un accordo giuridicamente vincolante o misure di sicurezza adeguate in conformità con il Regolamento Generale sulla Protezione dei Dati (GDPR), le aziende sarebbero state obbligate a sospendere l’utilizzo di Google Analytics.
In sostanza, l’ente regolatore italiano ha sottolineato l’importanza di conformarsi alle normative sulla protezione dei dati, come il GDPR, sottolineando l’importanza della sicurezza dei dati personali degli utenti. In assenza di un quadro legale o di meccanismi di protezione adeguati, l’utilizzo di strumenti come Google Analytics, che comportano il trasferimento di dati personali a livello internazionale, avrebbe dovuto essere sospeso per garantire la protezione dei dati personali dei cittadini.
Google Analytics sotto la lente del Garante svedese
L’Autorità Garante svedese ha esaminato quattro società per capire come utilizzavano Google Analytics per estrarre le statistiche web. Di queste, due sono state sanzionate e a tutte è stato ordinato di cessare l’uso del servizio. La sanzione più severa è stata quella inflitta a Tele2, che ha ricevuto una multa di 12 milioni di corone svedesi (circa 1 milione di euro) per aver utilizzato Google Analytics sulla propria pagina web.
Tuttavia, la catena di negozi alimentari Coop e il giornale Dagens Industri non sono stati multati, avendo adottato misure supplementari per proteggere i dati trasferiti in base alle indicazioni fornite dalle autorità europee.
L’azione di NOYB e l’erogazione di una sanzione finanziaria storica
I reclami che hanno portato alle decisioni dell’Autorità Garante svedese sono stati presentati dall’organizzazione no-profit NOYB (None of Your Business), fondata da Max Schrems, l’attivista che ha dato il nome alla sentenza Schrems II.
Queste decisioni rappresentano un precedente importante in Europa, in quanto si tratta della prima sanzione di natura finanziaria per l’utilizzo di Google Analytics. Questo segna un punto di riferimento cruciale per le organizzazioni che utilizzano questo servizio, in attesa degli sviluppi del nuovo protocollo di trasferimento dei dati tra USA e UE.
Dettagli dei reclami e degli audit condotti
Le indagini condotte da IMY sono state avviate a seguito dei reclami avanzati da NOYB. I reclamanti hanno sottolineato che il GDPR non permette il trasferimento di dati personali al di fuori dell’UE senza strumenti adeguati per garantire un livello di protezione simile a quello richiesto dal GDPR stesso.
Nel corso degli audit condotti, IMY ha affermato che i dati trasferiti negli Stati Uniti attraverso Google Analytics sono, in primo luogo, dati personali. Questi possono essere collegati ad altri dati univoci anch’essi trasferiti, rendendo possibile l’identificazione di un individuo specifico.
Nello specifico, l’ente investigativo IMY ha dato il via alle attività indagate, basandosi su una serie di reclami avanzati dall’organizzazione NOYB. Questi reclami sottolineavano come le disposizioni stabilite dal GDPR – il Regolamento Generale sulla Protezione dei Dati dell’Unione Europea – non permettessero il trasferimento dei dati personali al di fuori dell’UE a meno che non fossero in atto misure specifiche che garantiscano a tali dati un livello di protezione equivalente a quello prescritto dal GDPR stesso.
Le principali preoccupazioni espresse dai reclamanti erano specificamente rivolte a Google, classificato come fornitore di servizi di comunicazione elettronica secondo la legislazione statunitense. In questa veste, Google è soggetto alla sorveglianza delle agenzie di intelligence degli Stati Uniti, il che solleva dubbi sulla sua capacità di garantire un’adeguata protezione dei dati personali una volta che questi sono trasferiti negli Stati Uniti, in considerazione anche delle clausole contrattuali standard attualmente in vigore. Infatti, se richiesto, Google è obbligato a consegnare questi dati al governo statunitense.
Durante l’audit condotto, IMY ha sostenuto, in linea con quanto affermato da altre autorità europee, che i dati trasferiti negli Stati Uniti attraverso gli strumenti statistici di Google sono, innanzitutto, dati personali. Questo perché possono essere collegati ad altri dati univoci che vengono trasferiti, rendendo possibile l’identificazione di uno specifico individuo. Più precisamente, le informazioni trasferite includono:
- Dettagli sulla visita al sito web, come le pagine visualizzate o i click effettuati;
- Informazioni sul dispositivo utilizzato per visitare il sito web, tra cui l’indirizzo IP;
- Informazioni memorizzate nel cookie (_ga cookie) che rappresenta l’ID del cliente.
Questi dati, combinati tra loro, permettono l’identificazione di un individuo specifico attraverso i cosiddetti “identificatori di rete”, specialmente se uniti ad altre informazioni di natura simile.
Conseguentemente, l’autorità ha applicato la disposizione del considerando 30 del GDPR, che afferma che “gli individui possono essere associati a identificatori online forniti dai loro dispositivi, come indirizzi IP, cookie o altri identificatori. Questo può lasciare tracce che, in combinazione con identificatori univoci e altri dati raccolti, possono essere utilizzati per creare profili di individui e identificarli“.
Attraverso l’integrazione delle informazioni raccolte da Google Analytics, divise secondo specifici indicatori creati con l’intento di distinguere i singoli visitatori, questi ultimi diventano inevitabilmente identificabili. Questo processo porta alla piena applicazione dei principi stabiliti dal GDPR.
La veridicità di questa affermazione è ulteriormente rafforzata dal fatto che, accedendo al proprio account Google, un reclamante può effettuare l’accesso al proprio account Google una volta giunto sul sito di Tele2. Questo consente a Google di utilizzare le informazioni raccolte con Analytics per inviare annunci personalizzati all’utente visitante.
L’opinione di NOYB e la previsione sul nuovo protocollo di trasferimento dei dati UE/USA
Secondo Marco Blocher, avvocato specializzato in protezione dei dati e membro di NOYB, la decisione di IMY rappresenta un cambiamento positivo rispetto ad altre autorità di protezione dei dati. Blocher ha elogiato l’azione dell’autorità svedese per la sua decisione di imporre una multa significativa e di proibire l’uso continuato di uno strumento che viola il GDPR.
Tuttavia, NOYB ha espresso scetticismo sul nuovo protocollo di trasferimento dei dati UE/USA, sostenendo che esso non risolverà i problemi legati al trasferimento dei dati personali.
Conclusione
Il caso svedese contro Google Analytics segna una svolta nella protezione dei dati personali. Questa sanzione finanziaria, la prima del suo genere, potrebbe servire da esempio per altre organizzazioni e autorità di regolamentazione in tutto il mondo. La decisione sottolinea l’importanza della protezione dei dati e la necessità di attenersi alle regole del GDPR. Il prossimo passo sarà vedere come le organizzazioni risponderanno a questa decisione e come si svilupperà il nuovo protocollo di trasferimento dei dati tra USA e UE.
