Google Analytics e GDPR: si può usare in regola, a quattro condizioni

Aggiornato a ottobre 2026.

Sì, Google Analytics si può usare nel rispetto del GDPR, anche in Italia. Il trasferimento dei dati negli Stati Uniti, che nel 2022 aveva portato il Garante a dichiararlo illecito, oggi è coperto da un accordo tra Unione europea e Stati Uniti. Restano quattro condizioni che dipendono da te e da come è fatto il tuo sito. Analytics deve partire solo dopo il consenso del visitatore, il Consent Mode deve essere configurato, alcune impostazioni di Google Analytics 4 vanno controllate, e informativa e accordi con Google devono essere in ordine.

Sono le cose che controllo quando verifico il tracciamento di un sito. La prima è anche quella che si nota meno, perché da fuori non si vede: il banner chiede il consenso in modo impeccabile, ma Analytics parte lo stesso all’apertura della pagina.

Perché si è parlato di Google Analytics “illegale”

Nel giugno 2022 il Garante per la protezione dei dati personali ha dichiarato illecito l’uso di Google Analytics da parte di un’azienda italiana, Caffeina Media, dopo uno dei reclami presentati dall’associazione noyb in tutta Europa. Il problema era il trasferimento dei dati negli Stati Uniti: dopo l’annullamento del Privacy Shield, nel 2020, secondo le autorità europee mancavano garanzie sufficienti contro l’accesso delle agenzie di intelligence americane. Il Garante aveva dato 90 giorni per mettersi in regola. Le autorità di Austria e Francia avevano già deciso nello stesso senso, quella danese è arrivata pochi mesi dopo.

Quelle decisioni riguardavano la versione precedente, Universal Analytics, che Google ha spento nel 2023. Nello stesso anno, il 10 luglio, la Commissione europea ha approvato il Data Privacy Framework, il nuovo accordo sui trasferimenti di dati verso gli Stati Uniti. Google vi aderisce, e da allora i dati possono passare oltreoceano sulla base di quell’accordo. Il 3 settembre 2025 il Tribunale dell’Unione europea ha respinto il ricorso di un deputato francese che ne chiedeva l’annullamento; il ricorrente si è rivolto alla Corte di giustizia, quindi la partita resta aperta. Se l’accordo cadesse, come era successo al Privacy Shield, la questione si riaprirebbe.

Oggi, in pratica, il trasferimento non è più l’ostacolo principale. Le regole da rispettare sono quelle sui cookie e sul consenso, e lì la responsabilità è di chi gestisce il sito.

1. Il consenso prima che Analytics parta

Le linee guida del Garante sui cookie, in vigore dal gennaio 2022, permettono di usare senza consenso i cookie statistici solo a certe condizioni. I dati devono servire a statistiche aggregate e, se lo strumento è di un fornitore esterno, l’indirizzo IP va mascherato e il fornitore non deve incrociare quei dati con altri in suo possesso.

Google Analytics 4 non registra gli indirizzi IP dei visitatori europei, ma Google resta un fornitore che gestisce anche pubblicità e account, e per chi ha un sito dimostrare che i dati non vengono incrociati è difficile. Per questo la strada più sicura è trattare Analytics come un cookie che richiede il consenso: si carica solo dopo che il visitatore ha accettato le statistiche.

Il banner deve quindi fare due cose. Deve chiedere il consenso con un pulsante «Rifiuta» semplice quanto l’«Accetta», e deve bloccare Analytics finché il consenso non arriva. La prima si vede a colpo d’occhio, la seconda no. Succede spesso che il codice di Analytics sia stato inserito dal tema, da un plugin o da Google Tag Manager senza passare dal blocco del banner, e che parta comunque. Ho raccontato come succede nell’articolo sul banner cookie che non blocca nulla.

Un primo controllo lo puoi fare da solo. Apri il sito in una finestra in incognito, premi F12 per aprire gli strumenti per sviluppatori e, senza toccare il banner, guarda i cookie del tuo dominio nella scheda Applicazione (su Firefox si chiama Archiviazione). Se c’è un cookie che inizia con _ga, Analytics l’ha scritto prima della tua scelta. Ripeti la prova in una nuova finestra in incognito cliccando «Rifiuta» e ricaricando la pagina: il cookie non deve comparire nemmeno lì.

L’assenza del cookie però non basta. Con il Consent Mode in modalità avanzata, di cui parlo più sotto, Analytics non scrive cookie ma invia comunque dati a Google prima del consenso. Per vederlo apri la scheda Rete degli stessi strumenti, ricarica la pagina senza toccare il banner e scrivi «collect» nel campo di ricerca: se compaiono richieste verso google-analytics.com, i dati stanno già partendo.

2. Il Consent Mode, per comunicare a Google la scelta del visitatore

Il Consent Mode è il sistema con cui il sito trasmette ai tag di Google la scelta fatta nel banner: statistiche sì o no, pubblicità sì o no. Dal marzo 2024 Google chiede la versione 2, che aggiunge due segnali sull’uso dei dati per gli annunci, a chi fa pubblicità verso utenti europei. Se usi solo Analytics e il banner lo blocca finché il visitatore non accetta, il Consent Mode è consigliato ma non obbligatorio. Diventa necessario quando sul sito c’è anche Google Ads.

Ci sono due modalità. Nella modalità base i tag restano fermi finché il visitatore non accetta: è la più prudente, ma da chi rifiuta Google non riceve nulla. Nella modalità avanzata i tag si caricano subito e, se manca il consenso, inviano segnali senza cookie che Google usa per stimare visite e conversioni che non può misurare. Quale scegliere dipende da come usi i dati, e va deciso con il tuo consulente privacy, perché sull’invio di segnali prima del consenso le valutazioni non sono unanimi. Ne parlo nella pagina sul Consent Mode v2.

In entrambi i casi la modalità deve essere una scelta, non un’impostazione predefinita che nessuno ha guardato. Si configura nel plugin del banner (iubenda, Complianz, Cookiebot e simili) o in Google Tag Manager, e va collaudata con tutte le scelte possibili: accetta tutto, rifiuta, solo alcune categorie.

3. Le impostazioni di Google Analytics 4 da controllare

Il consenso stabilisce quando Analytics può raccogliere dati; le impostazioni della proprietà stabiliscono quanti ne raccoglie e per quanto tempo li tiene. Si trovano tutte nella sezione Amministrazione di Google Analytics.

• Conservazione dei dati. In Raccolta e modifica dei dati, alla voce Conservazione dei dati, scegli tra 2 e 14 mesi per i dati legati a utenti ed eventi. Prendi il periodo che ti serve per i tuoi confronti e riportalo nell’informativa.
• Google Signals. Collega le visite agli account Google dei visitatori che hanno attivato la personalizzazione degli annunci, per avere dati demografici e il passaggio da un dispositivo all’altro. Se non ti servono, tienilo spento; si può disattivare anche solo per alcuni paesi.
• Dati granulari su posizione e dispositivo. Città, modello del telefono, versione del browser. Si possono disattivare per paese, ma Google avverte che così peggiora la stima delle conversioni: se fai pubblicità, la scelta ha un costo.
• Nessun dato personale nelle pagine tracciate. Google vieta di inviare ad Analytics email, numeri di telefono, nomi. Capita senza volerlo quando un modulo di contatto, dopo l’invio, porta a una pagina di ringraziamento con l’email del visitatore nell’indirizzo. Si controlla nel report delle pagine, cercando il simbolo @.
• Collegamento con Google Ads. Se colleghi Analytics a Google Ads, i dati servono anche alla pubblicità: va scritto nell’informativa, e i segnali di consenso per gli annunci devono arrivare correttamente.

Sugli indirizzi IP non devi fare niente. Per i visitatori europei Google Analytics 4 li usa solo per ricavare paese e città e li cancella prima di registrare i dati; con Universal Analytics, invece, l’anonimizzazione andava attivata a mano.

4. Informativa e accordi in ordine

L’informativa privacy e la cookie policy devono dire che usi Google Analytics, a cosa ti serve, per quanto tempo restano i dati e che possono essere trasferiti negli Stati Uniti sulla base del Data Privacy Framework. Nell’account di Analytics, alla voce Dettagli account, vanno accettati i termini di Google sul trattamento dei dati: è il contratto con cui Google si impegna come responsabile del trattamento per conto tuo.

Su questi testi il mio lavoro è tecnico: verifico che l’informativa elenchi gli strumenti che il sito usa, mentre la scrittura e la revisione spettano a un legale o al tuo consulente privacy. Un caso frequente è l’informativa generata anni fa e mai aggiornata, che non nomina Analytics o cita strumenti tolti dal sito da tempo.

Se il tuo sito tratta dati sanitari

Per uno studio medico, un dentista o una clinica serve più attenzione. Anche senza nome né email, la visita alla pagina «prenota una visita dermatologica» o l’evento «richiesta preventivo implantologia» dicono qualcosa sulla salute di chi naviga, e il GDPR tratta i dati sanitari con regole più rigide. Qui conviene raccogliere il minimo: Google Signals spento, eventi con nomi generici, nessun collegamento con la pubblicità senza una valutazione del legale. Ho raccolto i rischi specifici nell’articolo su cookie e dati sanitari.

E se non volessi chiedere il consenso?

Esistono strumenti di statistiche che possono rientrare nell’esenzione del Garante, perché non incrociano i dati con altri servizi: per esempio Matomo installato sul tuo server e configurato con l’IP mascherato. Contano anche le visite di chi rifiuta i cookie, ma non dialogano con Google Ads e chiedono un minimo di manutenzione.

Le regole potrebbero cambiare. Il 19 novembre 2025 la Commissione europea ha proposto il Digital Omnibus, che tra le altre cose porterebbe le norme sui cookie dentro il GDPR e ammetterebbe senza consenso la misurazione aggregata del pubblico fatta dal sito per sé stesso. È ancora una proposta, con un iter lungo davanti: fino all’approvazione valgono le regole attuali.

Cosa rischi se non è in regola

I controlli sui cookie arrivano anche ai siti piccoli. La Guardia di Finanza, per conto del Garante, verifica a campione anche siti di ditte individuali, e un controllo può partire anche dal reclamo di un visitatore. Per le PMI controllate finora l’esito più frequente è stato un ammonimento con l’ordine di mettersi in regola, ma ignorare quell’ordine o non rispondere al Garante costa una multa. Ho raccolto casi reali, con importi e motivi, nell’articolo sulle sanzioni privacy e cookie.

C’è poi un costo che nessuno vede. Un Analytics configurato male raccoglie dati che non potresti avere e perde quelli che ti servirebbero, e le decisioni sul marketing finiscono per poggiare su numeri sbagliati.

Da dove partire

Se usi Google Analytics e non sai se il tuo sito rispetta queste quattro condizioni, parti da una verifica tecnica: controllo dall’esterno cosa parte prima e dopo il consenso e cosa arriva a Google, e ti dico cosa va corretto. Se fai anche pubblicità su Google, il passo successivo è la configurazione del Consent Mode v2. Scrivimi l’indirizzo del sito e il plugin del banner che usi, così parto già con un quadro preciso.