Per usare Google Analytics 4 in Italia in modo corretto, la regola pratica è semplice: gli strumenti di statistica partono dopo il consenso del visitatore, salvo le poche eccezioni indicate dal Garante. Il resto è configurazione: la scelta fatta nel banner deve arrivare davvero ai tag, altrimenti il consenso esiste solo sulla carta.

In questa guida vediamo cosa prevede la normativa italiana per le statistiche, perché la scelta più semplice da difendere è chiedere il consenso e come collegare la scelta del banner ai tag di Google con un controllo che puoi fare oggi.

Il punto di partenza è l'articolo 122 del Codice privacy. In termini generali, memorizzare informazioni sul dispositivo dell'utente, o accedere a quelle già presenti, è consentito solo se l'utente ha dato il consenso dopo essere stato informato, salvo che serva a fornire il servizio che ha esplicitamente richiesto.

Le Linee guida cookie e altri strumenti di tracciamento del Garante, del 10 giugno 2021, richiamano questa regola e la applicano anche agli strumenti di statistica. Non nominano Google Analytics né altri prodotti: parlano di cookie di analytics in generale. L'indicazione di fondo è che servono il consenso preventivo, salvo un'eccezione.

Le linee guida ammettono che i cookie di analytics siano equiparati a quelli tecnici, e quindi funzionino senza consenso, ma solo al verificarsi di determinate condizioni indicate dal Garante. Vanno rispettate nel loro insieme: se manca una, torna la regola del consenso.

Non ripetiamo qui l'elenco, perché è già trattato altrove. Se vuoi verificare se il tuo caso rientra, leggi la guida al banner cookie a norma del Garante e la spiegazione su cookie tecnici e cookie di profilazione.

Per usare l'eccezione devi poter dimostrare, documenti alla mano, che tutte le condizioni valgono per il tuo caso. Con uno strumento fornito da una terza parte, come Google Analytics 4, il Garante chiede in più che il fornitore non combini i dati con altre elaborazioni e non li trasmetta ad altri: è un requisito da verificare sul tuo strumento, non da dare per scontato.

La scelta più semplice da difendere è trattare gli strumenti di statistica come strumenti che richiedono il consenso. Un banner con opzioni equivalenti e informazione leggibile produce un dato che puoi spiegare e, se serve, mostrare.

Conta anche ciò che conservi. Sapere quali strumenti sono attivi sul sito, in quale momento partono e quale scelta aveva fatto il visitatore è la base di qualunque verifica. Senza questo inventario non puoi sapere se le statistiche che leggi ogni settimana sono state raccolte in modo coerente con quanto dichiari nell'informativa.

Scopri come AdOpt registra e dimostra la scelta dell'utente: una prova leggibile è utile in ogni verifica.

Il banner raccoglie la scelta, ma sono i tag a comportarsi bene o male. La domanda da farsi non è "ho un banner?", ma "cosa fa il mio sito quando il visitatore rifiuta?".

Con Google Consent Mode il sito comunica a Google lo stato del consenso attraverso parametri come analytics_storage, che accettano i valori granted e denied. È il collegamento tra la scelta fatta nel banner e il comportamento dei tag.

Se il segnale non arriva, gli strumenti di statistica possono leggere o scrivere sul dispositivo anche dopo un rifiuto, perché il tag non sa che c'è stata una scelta. Il banner sembra funzionare, ma il collegamento manca. Modalità base e avanzata, parametri e dettagli di configurazione sono nella guida a Google Consent Mode v2 per l'Italia citata sopra.

Il comportamento dipende da come hai impostato Consent Mode: dallo stato predefinito e dalla modalità scelta, descritti nella guida già citata. La regola di riferimento resta quella dell'articolo 122: senza consenso, fuori dall'eccezione, non va archiviato nulla sul dispositivo.

Per questo il test più affidabile non è leggere la configurazione, ma guardare cosa fa il sito dopo un rifiuto, come nella checklist qui sotto.

Immagina un negozio online che carica gli strumenti di statistica tramite un tag manager. Il banner funziona, il visitatore clicca "Rifiuta tutto" e il sito sembra in regola. Ma il tag è configurato per partire a ogni caricamento di pagina, senza alcuna condizione legata al consenso.

La richiesta verso Google parte comunque, insieme agli identificativi. Il banner ha raccolto la scelta, ma nessuno l'ha collegata al tag. Per il visitatore il rifiuto non è servito a nulla, e per il titolare non c'è nulla da mostrare se qualcuno chiede come funziona il sito.

La correzione è quasi sempre di configurazione: il tag deve attendere lo stato del consenso e leggerlo dal segnale che il banner aggiorna.

Vedi come funziona AdOpt sul tuo sito: puoi iniziare da una verifica del segnale di consenso verso Google.

Questi controlli richiedono pochi minuti e rivelano la maggior parte dei problemi:

1. Apri il sito in una finestra privata e rifiuta tutto nel banner.
2. Controlla nella scheda Rete degli strumenti del browser se partono richieste verso i domini di Google Analytics.
3. Controlla tra i cookie archiviati se compaiono quelli di Google Analytics.
4. Ripeti accettando, e verifica che le misurazioni partano solo da quel momento.
5. Conserva uno screenshot e la data: sono la prova di come si comportava il sito.

Se tutto si comporta come previsto, hai la parte più importante. Se partono richieste anche dopo il rifiuto, correggi la configurazione del consenso o dei tag prima di ogni altra cosa.

Alcuni comportamenti si ripetono spesso:

• Caricare gli strumenti di statistica tramite tag manager prima che l'utente abbia scelto.
• Dare per scontato che basti mascherare l'indirizzo IP per non chiedere il consenso.
• Non conservare nessuna prova della configurazione in uso.

Sono scorciatoie che sembrano ragionevoli finché qualcuno non chiede di vedere come funziona davvero il sito.

Una piattaforma di gestione del consenso tiene insieme queste parti: blocca i tag prima della scelta, invia il segnale giusto a Google e registra la prova. Per capire cosa fa e cosa non fa, questo articolo spiega cos'è una CMP.

Il quadro generale è nel pilastro sulla gestione del consenso cookie con una CMP. Per Google Tag Manager c'è un articolo dedicato.

Questo contenuto ha scopo informativo e non è consulenza legale: per il tuo caso specifico confrontati con il tuo consulente o con il responsabile della protezione dei dati.

Per completare il quadro, due letture del nostro hub di conformità:

• Il GDPR in Italia: guida completa, per il contesto normativo.
• Cosa fa il Garante Privacy e come sanziona, per capire controlli e procedure.

Nella maggior parte dei casi sì. Le linee guida del Garante del 10 giugno 2021 chiedono il consenso preventivo per i cookie di analytics, con un'eccezione solo se valgono insieme le condizioni indicate dal Garante. Dimostrarlo per uno strumento di terze parti non è semplice, quindi la scelta più prudente è attivarlo dopo il consenso.

Le linee guida del Garante non vietano uno strumento in particolare e non nominano nemmeno Google Analytics. Stabiliscono quando serve il consenso: preventivo, salvo l'eccezione a condizioni precise. Contano informativa chiara e capacità di dimostrare cosa succede quando l'utente rifiuta. Il tuo caso dipende dalla configurazione reale, non dal nome del prodotto.

No, da sola non basta. Il mascheramento dell'indirizzo IP è una delle misure che il Garante indica, ma le condizioni per equiparare gli strumenti di statistica ai cookie tecnici sono più ampie: riguardano anche l'uso solo per statistiche aggregate e, per le terze parti, il divieto di combinare i dati o di trasmetterli ad altri. Per i dettagli rimandiamo alla guida al banner cookie a norma del Garante.

È il meccanismo con cui il sito comunica a Google lo stato del consenso tramite parametri come analytics_storage. Serve a collegare la scelta del banner ai tag: senza questo segnale, gli strumenti possono comportarsi come se il visitatore avesse accettato anche dopo un rifiuto.

Apri il sito in una finestra privata, rifiuta tutto e controlla nella scheda Rete se partono richieste verso Google Analytics e se compaiono i suoi cookie. Poi ripeti accettando. Conserva screenshot e data: sono la prova di come si comportava il sito in quel momento.

La scelta che raccogli nel banner arriva davvero ai tuoi strumenti di statistica, o si ferma al banner?

Prenota una conversazione con il nostro team e verifichiamo insieme dove la catena perde pezzi.