Secondo il provvedimento del Garante n. 224 del 9 giugno 2022, il sito web che utilizza GA senza adeguate garanzie per gli interessati, viola la normativa sulla protezione dei dati personali perché espone i visitatori del sito a trasferimenti di dati personali negli USA senza un adeguato livello di protezione. Il provvedimento del Garante segue altri due valutazioni analoghe dell’omologa autorità austriaca del 22 dicembre 2021 e quella del CNIL, autorità di controllo francese, del 10 febbraio 2022, tutte giunte non certo all’improvviso, dopo l’annullamento dell’accordo sul trasferimento dei dati tra UE e USA “Privacy Shield” nel luglio 2020 da parte della Corte di Giustizia UE.
Con il provvedimento citato, il Garante aveva dichiarato illeciti i trasferimenti di dati negli USA effettuati con l’utilizzo di Google Analytics, invitando i titolari del trattamento ad adottare misure tecniche e organizzative adeguate per poter dimostrare che il trattamento è effettuato in modo conforme al GDPR entro 90 giorni.
I 90 giorni sono scaduti il 10 settembre, ora i titolari dei siti che non si sono conformati al provvedimento sono teoricamente a rischio sanzione. Nel rispetto dell’accountability del titolare, il Garante non indica le “misure adeguate”, anche perché potrebbero cambiare a seconda del contesto. Queste possono andare dall’interrompere l’utilizzo di GA a misure totalmente differenti, anche se sembra tecnicamente piuttosto complicato intervenire su questo tipo di trattamento per dare al sistema dati di interessati non identificabili. Anche la CNIL ha pubblicato sul proprio sito un’analisi a riguardo.
