Come rispondere a Federico Leva e cosa fare

“Uso illegittimo di Google Analytics: richiesta di rimozione ex art. 17 GDPR“. Oggetto di un’email che molti si sono visti recapitare nei giorni scorsi, in seguito al provvedimento del Garante italiano in merito allo stop all’uso degli Analytics per via del trasferimento dei dati negli USA senza adeguate garanzie. Il mittente è “Federico Leva“, un italiano che vive a Helsinki.

Questo il contenuto dell’email:

Spettabile titolare del trattamento dei dati personali, spettabile responsabile della protezione dei dati,

Vi scrivo in quanto utente del sito ********** per richiedere la rimozione dei miei dati personali, in forza dell’art. 17 (“Diritto alla cancellazione”) del regolamento UE 2016/679. Vogliate cortesemente rispondere entro 31 giorni dalla ricezione della presente per confermare l’ottemperanza, come precisato di seguito.

Il vostro sito incorpora Google Analytics, che provvede a trasferire i dati personali di tutti i vostri visitatori a Google negli USA. Con provvedimento del 9 giugno 2022 (9782890), ciò è stato dichiarato illegittimo dall’Autorità Garante per la protezione dei dati personali, come annunciato nel comunicato stampa “Google: Garante privacy stop all’uso degli Analytics. Dati trasferiti negli Usa senza adeguate garanzie”. Il Garante «invita tutti i titolari del trattamento a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali», e fissa un termine di 90 giorni passati i quali procederà a ulteriori verifiche.
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9782874

Guido Scorza, componente del Garante, ha ulteriormente illustrato il provvedimento nell’intervista con Matteo Flora “Google Analytics vietato – analizziamo il problema”. L’uso di Google Analytics è illegittimo anche in quanto ogni finalità legittima può essere soddisfatta da software libero ospitato in UE e atto a un corretto trattamento dei dati personali, come Matomo, Plausible Analytics o altri raccomandati dall’Autorità francese CNIL, mentre nessuna versione o configurazione di Google Analytics può garantire di non trattare i dati personali in modo illecito.

Alla luce di quanto sopra:
1) preciso che i dati personali oggetto della presente richiesta sono quelli derivanti dalla mia visita del vostro sito nei giorni scorsi, identificabili dal mio indirizzo IP (51.158.x.y) e user-agent (“Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3803.0 Safari/537.36”), e ogni dato connesso o derivante dagli stessi;
2) richiedo la cancellazione di tali dati personali dai sistemi informativi del vostro responsabile del trattamento e dagli eventuali backup e ovunque essi siano stati trasmessi a causa del vostro uso di Google Analytics, in quanto: a) tale trattamento è illecito e b) tali dati personali non sono necessari a eventuali finalità legittime, come sopra descritto; c) nella misura in cui il trattamento potesse eventualmente essere lecito in forza di un mio consenso, nego di aver prestato il mio informato e valido consenso, che in ogni caso revoco espressamente con la presente; d) qualora i dati fossero asseritamente trattati sulla base di un legittimo interesse, la presente assume valore di opposizione al trattamento oltre che di richiesta di cancellazione;
3) in particolare richiedo la rimozione di qualsiasi registro o copia dei dati personali di cui sopra da parte di Google e ogni altro responsabile di tale trattamento o altro soggetto che li abbia ricevuti, compresi tutti i dati inviati dal mio browser al momento della visita, nonché qualsiasi versione pseudonimizzata dei medesimi e qualsiasi dato aggregato riconducibile ai medesimi o ad altri miei dati personali, come la classificazione in coorti o qualsiasi tipo di identificativo univoco;
4) richiedo altresì, in forza dell’art. 18(1)(d) del regolamento 2016/679, di interrompere immediatamente ogni trattamento di tali dati personali connessi al mio uso passato e futuro del vostro sito, ad esempio provvedendo alla completa rimozione dallo stesso di Google Analytics (in qualsiasi versione e configurazione) e interrompendo ogni uso dei dati prodotti da Google in relazione agli utenti del vostro sito;
5) ove lo riteneste necessario, mi dichiaro disponibile a fornire ulteriori dati utili a identificarmi come la persona a cui fanno riferimento i dati personali di cui sopra, come l’indirizzo IP esatto e la data e ora della visita più recente, nonché i cookie e altri identificativi esibiti da Google in corrispondenza della stessa;
6) richiedo di rispondere a quanto sopra primariamente tramite il modulo collegato sotto, fornito tramite software libero LimeSurvey ospitato in UE (e rispettoso della privacy), entro 31 giorni dalla ricezione della presente; il mio indirizzo di posta elettronica per questa materia è domande@leva.li.

In fede,
Federico Leva
Helsinki, 1º luglio 2022

Le reazioni sono state delle più disparate, alcuni hanno ignorato il messaggio (commettendo un errore in quel momento se pur dalla ricezione ci sono 30 giorni per rispondere), altri invece presi dal panico hanno staccato il tracciamento di Google Analytics… in realtà questa richiesta è del tutto legittima e Federico Leva non ha richiesto niente di strano. Si è appellato al diritto previsto per qualsiasi utente al fine di tutelare i propri dati personali ovvero, il diritto alla cancellazione dei dati, altrimenti rubricato “diritto all’oblio“, che è parte del Regolamento (UE) n. 2016/679 del 27 aprile 2016 (GDPR). Se hai letto i miei articoli ne avevo scritto uno dedicato proprio a questo tema già nel 2019, dal titolo “Elimina gli utenti da Google Analytics“.

Cosa fare

È proprio la cancellazione dei dati dell’utente da Google Analytics che permette di essere in regola con la normativa. Nell’articolo appena citato spiego passo passo come farlo, tramite un esempio pratico, con estrema semplicità dall’interfaccia di Google Analytics Universal.

Quello di cui abbiamo bisogno è l’identificativo dell’utente, il valore del clientId ovvero, dei cookie di Google Analytics chiamato _ga, o il valore dello userId qualora presente, in modo da eliminare tutti gli eventuali clientId associati.

Cosa rispondere all’email

La risposta all’email di Federico Leva (da effettuare tramite normale email), al fine di dare seguito alla sua richiesta, è quella di farsi fornire il valore sopra indicato e, eventualmente, altre informazioni utili per facilitare l’identificazione dell’utente all’interno della piattaforma di analisi, come ad esempio la data e l’ora del suo ultimo accesso.

Se a questa comunicazione si riceve una risposta da parte di Federico Leva con le informazioni richieste, può esserti utile leggere il mio articolo “Se Federico Leva ti risponde…” contenente la procedura da seguire per questo secondo passaggio.

Diritto all’oblio automatizzato

Per chi volesse mettersi in regola in modo automatizzato, ho messo a disposizione un video nel mio articolo “Il diritto all’oblio automatizzato GDPR compliant” dove spiego come utilizzare la User Deletion API di Google Analytics con Google Apps Script e i Fogli di Google.

Puoi trovare il video nel mio canale YouTube “Google: Apps, Script, Pillole, Trucchi e Consigli“:

La procedura per utilizzare le API di Google Analytics è descritta in modo dettagliato all’interno del mio libro “Google Apps Script nella Digital Analytics“, disponibile su Amazon!

Buona visione e buona lettura! 🙂