22 LUG 2026

Google Analytics 4 e privacy in UE: siete davvero a norma?

Nel luglio 2023 Google Analytics 4 ha preso il posto della vecchia Universal Analytics, e in molti hanno migrato in fretta pensando di aver risolto un problema. In realtà la domanda più scomoda è rimasta identica: si può usare Google Analytics 4 in UE nel rispetto del GDPR? Installare GA4 non equivale, da solo, a essere a norma — e chi lo dà per scontato rischia di scoprire il contrario nel momento peggiore. Vediamo cosa è davvero cambiato con GA4, dove sta il nodo della privacy, e la checklist concreta per usarlo senza esporsi.

Da Universal Analytics a GA4: cosa è cambiato (e cosa no).

GA4 è stato ridisegnato con qualche attenzione in più alla privacy rispetto al predecessore: non memorizza gli indirizzi IP come faceva Universal Analytics, offre controlli sulla conservazione dei dati e impostazioni per limitare la condivisione. Su questo, un passo avanti c’è stato davvero, e va riconosciuto senza minimizzarlo.

Ciò che non è cambiato è la sostanza: GA4 resta uno strumento di Google che raccoglie dati sui vostri visitatori e li elabora sulla sua infrastruttura. Le impostazioni migliori del mondo non tolgono il fatto che state affidando dati personali a un fornitore, e che dietro c’è un flusso che attraversa l’Atlantico. La migrazione tecnica ha risolto un problema di prodotto, non quello giuridico.

Il nodo vero: il trasferimento dei dati.

Il punto delicato è sempre stato il trasferimento dei dati verso gli Stati Uniti. Nel 2022 il Garante italiano, in linea con altre autorità europee, dichiarò illecito l’uso di Google Analytics così com’era configurato da un sito, proprio per quel trasferimento in un Paese senza garanzie adeguate dopo la sentenza «Schrems II». Fu un segnale forte: la comodità di uno strumento non basta a giustificare un flusso di dati fuori regola.

Nel 2023 il quadro è cambiato di nuovo: l’Unione europea e gli Stati Uniti hanno adottato il «Data Privacy Framework», una nuova base giuridica per i trasferimenti verso le aziende americane che vi aderiscono, Google inclusa. Non è un liberi tutti definitivo — il Framework è già contestato e potrebbe essere rimesso in discussione — ma oggi offre un appiglio legale che nel 2022 mancava. Su questi passaggi conviene essere onesti: sono in evoluzione, e vanno verificati, non dati per acquisiti.

Google Analytics 4 e GDPR: la checklist per essere a norma.

Mettere GA4 a norma è possibile, ma va fatto per davvero, punto per punto. Serve un banner che blocchi GA4 prima del consenso e lo attivi solo dopo l’accettazione, idealmente attraverso il Consent Mode; vanno configurate la conservazione dei dati e le condivisioni verso altri prodotti Google, disattivando ciò che non usate; va accettato e conservato l’accordo sul trattamento dei dati con Google; e GA4 va dichiarato nella cookie policy e nell’informativa privacy, con i diritti dell’utente resi esercitabili.

Nessuno di questi passaggi è complicato preso da solo. Il problema è che quasi sempre ne manca uno o due — di solito il primo, il consenso — e basta a rendere tutto il resto inutile. Una verifica sistematica, non a memoria, è il modo più rapido per sapere a che punto siete.

Consenso e configurazione: i due errori più comuni.

Il primo errore, il più diffuso, è far partire GA4 prima del consenso: il banner c’è, ma è decorativo, e i dati vengono raccolti comunque dal primo istante. È esattamente ciò che le autorità contestano, ed è anche la cosa più facile da rilevare con una scansione. Il secondo errore è lasciare attive per inerzia le condivisioni dei dati verso i prodotti pubblicitari di Google senza dichiararle e senza una base valida: un tracciamento in più di cui l’utente non sa nulla.

Entrambi gli errori nascono dallo stesso equivoco: pensare che installare lo strumento sia la fine del lavoro, quando è l’inizio. La configurazione predefinita di GA4 è pensata per raccogliere il massimo, non per la conformità: sta a voi restringerla. È lo stesso lavoro di pulizia tecnica che facciamo su ogni sito, non un ritocco da rimandare.

SEO tecnica e tracciamento a norma di serie →

Leggi anche: Consent Mode v2, cosa cambia per annunci e analytics →

A norma si può, ma va fatto.

La risposta alla domanda del titolo, quindi, è: sì, si può usare Google Analytics 4 a norma in UE — ma non per il solo fatto di averlo installato. Serve un consenso raccolto prima, una configurazione ristretta, gli accordi in ordine e la trasparenza nelle informative. Fatto questo, GA4 è uno strumento legittimo; saltato anche solo il primo passo, è un rischio che vi portate dietro a ogni visita.

E se tutta questa fatica per restare a norma vi sembra sproporzionata rispetto a ciò che vi serve davvero sapere del sito, è una domanda legittima: esistono alternative più leggere e privacy-first, che chiedono meno consenso e meno configurazione. Ne parliamo nell’articolo dedicato. Lo strumento giusto è quello che riuscite a tenere a norma senza dimenticarvi un pezzo per strada.

Leggi anche: alternative privacy-first a Google Analytics →

Fonti.

Le cifre e le affermazioni di questo articolo vengono da qui. Sono prime fonti, non riassunti: apritele e verificate.

• Regolamento GDPR 2016/679 — EUR-LexIl testo di legge: consenso, trasparenza e diritti dell’utente valgono anche quando misurate il traffico.
• EDPB — trasferimenti internazionali di datiPerché il flusso verso gli Stati Uniti è il nodo di Google Analytics: la guida dei garanti europei sui trasferimenti.
• Garante Privacy — sito ufficialeL’autorità italiana che nel 2022 dichiarò illecito l’uso di Google Analytics così configurato: provvedimenti e aggiornamenti.
• Google — centro assistenza AnalyticsLa documentazione ufficiale su conservazione dei dati, condivisioni e controlli privacy di GA4.

Controlla gratis se il vostro sito è a norma GDPR →