Il Garante per la protezione dei dati personali si è pronunciato sulla liceità del trattamento di dati personali tramite Google Analytics, uno strumento di web analytics fornito da Google che, per mezzo di cookie trasmessi al browser degli utenti, consente ai gestori di siti web di analizzare dettagliate statistiche per ottimizzare i servizi resi tramite il sito e monitorare le campagne di marketing.

Ad esito di attività istruttoria nei confronti di una società italiana titolare di un sito web, è stato rilevato che quest'ultima effettuava, tramite Google Analytics, un trasferimento di dati (tra cui, indirizzo IP del dispositivo utilizzato dall’utente, informazioni relative al browser e al sistema operativo, nonché a data e ora della visita al sito) verso la società Google LLC, situata negli Stati Uniti, in violazione di quanto disposto dal GDPR in tema di trasferimento di dati al di fuori dell'UE.

Nel richiamare i principi stabiliti dalla Corte di Giustizia dell’UE, con la sentenza del 16 luglio 2020, nella causa C-311/18 (c.d. Schrems II), il Garante ha ricordato come, in seguito a tale decisione, nonché in base al principio di accountability, in caso di trasferimento di dati personali verso un Paese terzo, spetti al titolare del trattamento, in qualità di esportatore, la responsabilità di individuare, caso per caso e, ove necessario, in collaborazione con l’importatore, le misure supplementari da adottare per assicurare che il livello di protezione delle persone fisiche garantito dal Regolamento non sia pregiudicato.

Nel caso di specie, il Garante ha ritenuto che né le misure adottate da Google come l'IP anonymization o la cifratura dei dati oggetto di trasferimento, né l'applicazione di clausole contrattuali standard garantissero un livello di protezione dei dati sufficiente in caso di trasferimenti verso Paesi terzi.

Considerate le circostanze concrete della fattispecie e, in particolare, il fatto che la società ha erroneamente assunto come idonee, sulla base delle informazioni rese da Google, le misure supplementari adottate da quest’ultima, il Garante si è limitato ad ammonire il titolare del trattamento, assegnando un termine di novanta giorni per comunicare le iniziative intraprese al fine di dare attuazione a quanto disposto dal GDPR, pena la sospensione dei trasferimenti di dati effettuati, tramite Google Analytics, verso gli Stati Uniti (provv. n. 224 del 9 giugno 2022, disponibile sul sito web del Garante: https://www.garanteprivacy.it).