Configurare Google Analytics 4 in conformità alla LPD: passo dopo passo

«Possiamo ancora usare Google Analytics?» Sento questa domanda quasi ogni settimana da PMI e agenzie svizzere — di solito accompagnata da titoli ricordati a metà su divieti in Austria e Francia. La risposta breve: sì, Google Analytics 4 (GA4) può essere gestito in Svizzera in conformità al diritto. La risposta lunga: solo se fate sei cose nel modo giusto. Ed è esattamente ciò che vediamo qui.

Perché Google Analytics 4 è delicato dal punto di vista della protezione dei dati

GA4 trasmette dati personali a Google LLC negli Stati Uniti — è questo il nocciolo del problema, non la misurazione in sé. Identificativi dei cookie, informazioni sul dispositivo e dati comportamentali sono dati personali ai sensi sia della legge federale sulla protezione dei dati (LPD) sia del regolamento generale sulla protezione dei dati (GDPR) europeo, non appena possono essere ricondotti a una persona. Si pongono quindi due domande: il tracciamento in sé è lecito — e si possono inviare i dati negli USA?

Alla prima domanda LPD e GDPR rispondono in linea di principio allo stesso modo: la misurazione dell'audience è consentita, ma non senza condizioni. Servono trasparenza, un consenso valido e un contratto con il fornitore di servizi — ci torniamo in dettaglio nei sei passaggi.

Sulla seconda domanda la situazione si è distesa notevolmente, e questo passa spesso inosservato. Dal 15 settembre 2024 il Consiglio federale riconosce gli USA come Paese con un livello adeguato di protezione dei dati — ma solo per le imprese certificate sotto lo Swiss–U.S. Data Privacy Framework. Google LLC è certificata. Il trasferimento a Google è quindi lecito senza che dobbiate predisporre garanzie supplementari come le clausole contrattuali tipo. Le note decisioni «Google Analytics è illegale» di Austria e Francia risalgono al 2022 — all'epoca precedente al framework, e riguardavano la vecchia versione Universal Analytics. Chi le cita oggi contro GA4 argomenta su una situazione giuridica superata.

Resta comunque solo un cessato allarme a metà. Il framework risolve esclusivamente la questione del trasferimento. Consenso, contratto di trattamento su commissione, minimizzazione dei dati e trasparenza restano compiti vostri — ed è proprio qui che fallisce la maggior parte delle installazioni. I sei passaggi seguenti coprono tutto. Chi vuole approfondire le due leggi trova le basi nelle nostre guide sulla LPD e sul GDPR.

Passaggio 1: ottenere il consenso prima che GA4 si carichi

Lo script GA4 può caricarsi solo dopo che la visitatrice ha acconsentito attivamente nel banner dei cookie — è la regola più importante di tutte. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) stabilisce nella sua guida sui cookie che il tracciamento a fini di analisi che crea profili di utilizzo richiede un consenso. Sotto il GDPR la questione è ancora più netta: senza consenso, nessun cookie di analisi.

In pratica significa: il banner deve bloccare tecnicamente il tag GA4 finché la categoria «Statistica» non è stata accettata. Un banner che si limita a informare mentre GA4 è già partito da tempo in background non vale nulla — ed è esattamente lo schema che vedo più spesso negli audit. Potete verificarlo da soli: aprite gli strumenti per sviluppatori del browser, osservate la scheda rete, ricaricate la pagina. Se compaiono richieste verso domini di Google Analytics prima che abbiate cliccato qualcosa nel banner, lo script si carica troppo presto.

Conta anche il design del banner stesso: «Rifiuta» deve essere semplice quanto «Accetta», e le caselle preselezionate rendono il consenso invalido. Documentate inoltre ogni decisione — chi ha acconsentito a quale categoria, e quando? Senza questo registro non potete dimostrare un consenso valido in caso di controversia. Un consenso pulito è il fondamento — tutti i passaggi successivi si basano su di esso.

Passaggio 2: collegare il Google Consent Mode V2

Il Consent Mode V2 traduce la decisione del banner in quattro segnali che i servizi Google comprendono — ed è obbligatorio non appena, oltre a GA4, utilizzate Google Ads con utenti dello Spazio economico europeo (SEE). I segnali analytics_storage, ad_storage, ad_user_data e ad_personalization devono essere impostati di default su «denied» e possono passare a «granted» solo dopo il consenso.

Come funziona l'implementazione in dettaglio — modalità Basic vs Advanced, configurazione di default, errori tipici — è descritto nella nostra guida dedicata al Google Consent Mode V2. Per la configurazione di GA4 basta questo: il vostro banner dei cookie deve impostare correttamente i quattro segnali, altrimenti GA4 non misura nulla oppure — peggio — misura senza un consenso valido.

Passaggio 3: limitare la conservazione dei dati a 2 o 14 mesi

GA4 conserva i dati degli eventi a livello di utente per un periodo limitato di default — nelle impostazioni della proprietà, alla voce conservazione dei dati, scegliete tra 2 e 14 mesi. È uno dei pochi punti in cui GA4 va incontro fin dall'inizio al principio della minimizzazione dei dati: più di 14 mesi non è semplicemente possibile nella versione standard.

Quale opzione è quella giusta? Dal puro punto di vista della protezione dei dati: 2 mesi. Chi vuole confronti annuali nelle analisi esplorative ha bisogno di 14 mesi — anche questo è difendibile, purché la dichiarazione sulla protezione dei dati indichi la durata in modo trasparente. Da sapere: l'impostazione riguarda solo i dati dettagliati di eventi e utenti per le vostre analisi. I report standard aggregati — pagine viste al mese, sorgenti di traffico — restano disponibili indipendentemente, perché non contengono più profili individuali.

Approfittatene per controllare anche l'impostazione che azzera la durata di conservazione a ogni nuova attività: se è attiva, il termine ricomincia a decorrere a ogni visita. Per una minimizzazione dei dati coerente va disattivata.

Passaggio 4: decidere consapevolmente su segnali Google e funzioni pubblicitarie

I segnali Google sono una decisione attiva, non un'impostazione di default — e per la maggior parte dei siti svizzeri la risposta giusta è: lasciarli disattivati. Se attivate i segnali, Google collega le visite del vostro sito agli account Google degli utenti connessi. Ciò consente analisi multi-dispositivo, report demografici e segmenti di pubblico per il remarketing — ma significa anche che molti più dati fluiscono verso Google a fini pubblicitari.

Chi attiva i segnali ha bisogno di tre cose: il consenso degli utenti alla pubblicità personalizzata (nel Consent Mode il segnale ad_personalization), una relativa indicazione nella dichiarazione sulla protezione dei dati e un caso d'uso reale. È proprio qui che spesso le cose si inceppano — molte installazioni hanno le funzioni pubblicitarie attivate senza aver mai lanciato una campagna di remarketing. In tal caso raccogliete dati senza scopo, e ciò contraddice il principio di proporzionalità della LPD. La regola pratica: attivate solo ciò che utilizzate in modo dimostrabile.

Passaggio 5: accettare i Data Processing Terms

Google tratta i dati di Analytics su vostro incarico — per questo la legge esige un contratto, e lo concludete direttamente nelle impostazioni dell'account. Google mette a disposizione i cosiddetti Data Processing Terms: il contratto di trattamento su commissione per i prodotti pubblicitari e di analisi di Google. Trovate l'accettazione nelle impostazioni dell'account della vostra proprietà GA4; lì inserite anche i dati di contatto della vostra organizzazione.

Sembra una formalità, ma è un obbligo: l'art. 9 LPD e l'art. 28 GDPR esigono una base contrattuale per ogni trattamento su commissione. Senza termini accettati, Google tratta i dati dei vostri visitatori senza contratto — una lacuna che salta subito all'occhio in ogni verifica sulla protezione dei dati. Quando serve in generale un contratto di questo tipo e a cosa prestare attenzione lo spiega il nostro articolo sul contratto di trattamento su commissione.

Passaggio 6: integrare la dichiarazione sulla protezione dei dati

La vostra dichiarazione sulla protezione dei dati deve documentare in modo completo l'uso di GA4 — chi misura deve dirlo. Concretamente, nel paragrafo Analytics devono figurare: lo scopo (misurazione dell'audience e miglioramento dell'offerta), il fornitore (Google LLC, rispettivamente Google Ireland Limited come controparte contrattuale europea), il consenso come base giuridica, i cookie impostati con le relative durate, la durata di conservazione scelta, il trasferimento negli USA con riferimento alla certificazione sotto il Data Privacy Framework — e l'indicazione che il consenso può essere revocato in qualsiasi momento tramite le impostazioni dei cookie.

Se avete attivato i segnali Google, si aggiunge il paragrafo sulla pubblicità personalizzata. Come è strutturata una dichiarazione completa e cos'altro esige la LPD lo mostra la nostra guida alla dichiarazione sulla protezione dei dati.

Anonimizzazione degli IP: già lo standard in GA4

L'anonimizzazione degli IP non va configurata in GA4 — semplicemente non esiste più un interruttore per farlo. Chi ha conosciuto Universal Analytics ricorda il flag anonymizeIp, che andava impostato a mano e che si dimenticava volentieri. GA4 non registra affatto gli indirizzi IP: Google li utilizza brevemente alla ricezione per la geolocalizzazione a livello di città o regione e poi li elimina. Un punto di controllo amato dalle vecchie checklist sulla protezione dei dati — «anonimizzazione IP attivata?» — è quindi privo di oggetto. Se un consulente vi contesta questo punto come difetto del vostro GA4, lavora con una checklist obsoleta.

Basta questo per il GDPR?

In larga misura sì — i sei passaggi coprono anche i requisiti del GDPR, perché le regole europee sono più severe in materia di analisi e sono state il metro di riferimento per tutta questa guida. Consenso prima del caricamento, possibilità di revoca, contratto di trattamento su commissione, trasparenza nella dichiarazione sulla protezione dei dati: sono esattamente i punti che le autorità di controllo europee esaminano negli strumenti di analisi.

Restano due particolarità per le imprese svizzere con clientela nell'UE. Primo: il GDPR esige il consenso senza eccezioni — la possibilità, discussa sotto la LPD, di fondare certe misurazioni su un interesse preponderante non regge nei confronti dei visitatori dell'UE. Secondo: le imprese senza stabilimento nell'UE che tracciano regolarmente persone nell'UE possono aver bisogno di un rappresentante nell'UE ai sensi dell'art. 27 GDPR. Cos'altro vale quando il vostro sito è orientato al mercato UE è riassunto nella nostra guida al GDPR.

Integrare GA4 in modo conforme con Aiara

Con Aiara i passaggi tecnici di questa guida si risolvono da soli. Il banner dei cookie blocca automaticamente GA4 finché non c'è il consenso, imposta correttamente i quattro segnali del Consent Mode V2 e registra ogni decisione in modo verificabile. Il generatore di testi legali crea il paragrafo Analytics adatto per la dichiarazione sulla protezione dei dati in quattro lingue — incluso il riferimento al Data Privacy Framework. Restano solo le impostazioni dell'account che Google non lascia delegare a nessuno: scegliere la durata di conservazione, accettare i Data Processing Terms, decidere consapevolmente sui segnali Google. Tre clic, una volta sola — e il vostro GA4 è configurato a regola d'arte.