Michele PinassiTL;DR Giovedì 12 maggio 2022 è stata inviata, a quasi 8000 indirizzi PEC di altrettante Pubbliche Amministrazioni italiane, una diffida a usare lo strumento Google Analytics, popolare strumento di monitoraggio e analisi per i siti web. Il motivo? Secondo l’European Data Protection Board, se non adeguatamente configurato, questo strumento lede i diritti degli utenti ed espone l’Ente a sanzioni anche pesanti.
“I vostri clienti più insoddisfatti sono la vostra più grande fonte di apprendimento.”
Bill Gates
“Sono ancora troppi i siti web delle PA italiane che non rispettano a pieno quanto previsto dal Regolamento Generale per la Protezione dei Dati Personali (GDPR): quando le violazioni vengono commesse dalle istituzioni pubbliche, oltre al diritto individuale dei cittadini viene lesa anche la credibilità della Democrazia.” è il paragrafo di apertura della presentazione del progetto MonitoraPA.
Portato avanti in modo totalmente volontario da “un gruppo di hacker italiani, attiviste e attivisti, cittadine e cittadini attenti alla privacy ed alla tutela dei diritti cibernetici nel nostro Paese” (come si legge nelle prime righe della PEC che hanno inviato a migliaia di PA italiane) con l’obiettivo di far rimuovere, dal codice dei portali istituzionali, Google Analytics.
Sul sito web dell’iniziativa è stato messo a disposizione l’elenco delle PA con tanto di analisi e tracking-id individuato
Come saprete, Google Analytics è uno strumento di Google per il monitoraggio delle visite e delle attività degli utenti sui siti web. Disponibile sia per privati che per Enti, Aziende e Istituzioni, sono tantissimi i siti web che, anche in Italia, lo hanno implementato. Ne abbiamo già parlato in altre occasioni, soprattutto perché in Europa, con l’approvazione del Regolamento EU 2016/679 “GDPR”, sono stati evidenziati profili d’incompatibilità di questo strumento con la normativa, iniziando proprio dal trasferimento dei dati personali. Criticità evidenziate proprio di recente da alcune Autorità dei Dati Personali, come quella francese e austriaca, attraverso pronunciamenti che lasciano ben poco spazio all’interpretazione: l’utilizzo di Google Analytics, se non opportunamente configurato e implementato, è stato ritenuto illecito dall’EDPS (European Data Protection Supervisor, il garante della privacy europeo).
A poche ore dall’invio delle migliaia di PEC da parte del gruppo attivista MonitoraPA, sui social si è scatenato un interessante dibattito, a tratti con toni piuttosto accesi, tra chi condivideva l’iniziativa e chi, invece, ha ritenuto la comunicazione minacciosa e destituita di fondamento.
Tra i vari interventi, credo che valga la pena leggere quello di Andrea Lisi, DPO e Titolare dello Studio Legale Lisi, “NO PANIC: Google Analitics per un ente pubblico è illegittimo? Dipende e va valutato caso per caso – consigli da DPO a DPO” che ripercorre gli aspetti più squisitamente normativi della questione in modo abbastanza chiaro ed esauriente, anche se sotto alcuni aspetti meno tecnici mi trova non sempre concorde.
“Noi usiamo Google Analytics ma anonimizziamo il dato!” qualcuno potrebbe rispondere. Beh, questo non è sufficiente e vi spiego velocemente perché: la possibilità di anonimizzare l’IP da parte di Google Analytics è determinato da una variabile (“anonymize_ip: true“) nel codice js del tracker. Il problema è che questo valore viene processato sui server di Google, e quindi il dato (l’IP del visitatore) viene comunque trasmesso a questi server, prima di qualsiasi possibile anonimizzazione.
Stesso principio vale per altri strumenti, come ad es. Google Fonts: ogni qualvolta inseriamo, nelle pagine web di un sito web, un riferimento a un sito terzo, quest’ultimo riceverà, da chi visita le nostre pagine, informazioni come indirizzo IP (da cui geolocalizzare l’utente), data e ora del collegamento, tipo di browser, sistema operativo, risoluzione scheda grafica. Tecnicamente, si chiama “fingerprinting” e una panoramica più completa potete averla su EFF Panopticlick.
Quando questi dati vengono inviati fuori dalla UE, in paesi dove la tutela dei dati personali non è analoga (o rafforzativa) rispetto al GDPR, parliamo di un “trasferimento di dati” problematico, che deve essere affrontato con le dovute cautele.
Tuttavia, oltre agli aspetti squisitamente tecnico-normativi, credo che ci sia anche un aspetto, nondimeno importante, di opportunità.
Ricordiamo infatti che parliamo dei portali web, delle “vetrine” istituzionali, di Enti Pubblici. Siti web dove i cittadini accedono per richiedere e beneficiare dei servizi della PA, non per svago o per diletto, e per questo credo che –più di altri siti web– essi debbano essere rispettosi della privacy dei cittadini stessi. Insomma, per dirla in modo brutale, ma perché devo far sapere a Google o a Facebook (o a qualsiasi altra azienda terza) che ho appena fatto richiesta di un alloggio popolare? Oppure che ho bisogno di una certa prestazione sanitaria?
Seduti al bancone del bar, qualcuno potrebbe commentare “eh, ma tanto ormai sanno tutto di noi!“. Molto probabilmente si, abbiamo concesso a queste “multinazionali del dato” l’accesso alle nostre informazioni in modo forse troppo leggero. Gli abbiamo permesso di sapere cosa facciamo, dove siamo, cosa ci piace, cosa ci diverte, cosa mangiamo, dove, come… ma, lo ripeto e sottolineo, non è un buon motivo per accettare che una PA sia complice di questa continua, persistente e spesso sottovalutata erosione della nostra privacy.
Da un punto di vista squisitamente etico e morale apprezzo l’iniziativa MonitoraPA. Anche se ha scosso migliaia di DPO dalla tranquillità del loro rapporto con le PA italiane, credo che sia un messaggio forte e chiaro a chi ancora oggi subisce la più dannosa delle frasi, quel “abbiamo sempre fatto così” pronto a bloccare qualsiasi tipo di confronto, miglioria, innovazione. L’impressione, infatti, è che in molti siti web sia presente Google Analytics perché “si fa così“, spesso anche all’insaputa dei responsabili del sito stesso, è forte.
Che poi, parliamo semplicemente di adeguarsi a quanto previsto, tra l’altro, anche dal Piano Triennale per l’Informatica della PA. Nel trienno 2021-2023 è infatti previsto, all’obiettivo “OB.1.1 – Migliorare la capacità di generare ed erogare servizi digital“:
- Da settembre 2020 (in corso) – Le PA pubblicano le statistiche di utilizzo dei propri siti web e possono, in funzione delle proprie necessità, aderire a Web Analytics Italia per migliorare il processo evolutivo dei propri servizi online – CAP1.PA.LA01;
- Entro dicembre 2022 – Le amministrazioni coinvolte nell’attuazione nazionale del Regolamento sul Single Digital Gateway attivano Web Analytics Italia per tutte le pagine da loro referenziate sul link repository europeo – CAP1.PA.LA18;
- Entro dicembre 2023 – Almeno i Comuni con una popolazione superiore a 15.000 abitanti, le città metropolitane, le università e istituti di istruzione universitaria pubblici, le regioni e province autonome attivano Web Analytics Italia o un altro strumento di rilevazione delle statistiche di utilizzo dei propri siti web che rispetti adeguatamente le prescrizioni indicate dal GDPR – CAP1.PA.LA19;
Web Analytics Italia, per completezza, è la piattaforma di web analysis, basata su Matomo, messa a disposizione dall’AgID gratuitamente per le PA italiane: l’installazione, analogamente a Google Analytics, è semplice e banale ma i dati raccolti, relativi agli utenti, rimangono entro il perimetro europeo e tutelati dalla normativa GDPR.
Quindi, concludendo, a meno che non vi siano specifici motivi per avere installato sui siti web istituzionali Google Analytics, cosa impedisce di aderire a una piattaforma nazionale dal funzionamento analogo ma maggiormente rispettosa dei dati personali dei cittadini?
P.S. Per verificare la conformità del Vs sito web potete usare la piattaforma Cookiebot, che effettua gratuitamente una analisi di conformità al GDPR del proprio sito web.
Hai trovato utile questo articolo?
