Lun - Ven 09.00 - 19.00    ·  studiomascitelli@gmail.com  ·  +39 0586 880649 


Layout del blog

Google Analytics e GDPR: le imprese chiedono chiarezza

Paolo Mascitelli • nov 17, 2022

Alla ricerca di una soluzione al problema di conformità.

Com’è noto il Garante italiano, in linea con le pronunce dei garanti austriaco e francese, ha bocciato la versione 3 di Google Analytics (GA) con il provvedimento n. 224 del 9 giugno 2022.


La sentenza del Garante aveva dato tre mesi di tempo all’azienda incriminata per mettersi in regola. Alcuni operatori da qui hanno ricavato il falso mito secondo cui tutte le aziende avrebbero dovuto adattarsi alla nuova situazione in tre mesi. In realtà, i tre mesi riguardavano il caso specifico, senza alcun effetto sospensivo generalizzato per l’adeguamento al GDPR.


Passati tre mesi resta il fatto che alle imprese nessuna autorità europea o italiana è stata capace di fornire indicazioni pratiche su cosa fare per mettersi in regola, salvo interrompere un’attività di monitoraggio e raccolta di informazioni assolutamente necessarie per qualunque impresa voglia competere e dotarsi di strumenti moderni per il proprio business.


In assenza di indicazioni ufficiali quali possono essere le soluzioni?

Una premessa è doverosa: non è Universal Analytics a essere illegale di per sè, ma l’uso che si fa dei dati e il loro trasferimento automatico sui server americani di Google che, tra l’altro, è un trasferimento che viene fatto anche da altre piattaforme di marketing, CRM e molti altri tool.


Ovvio che la soluzione non potrà che essere politica e alle imprese non resta che adattarsi e utilizzare i pochi strumenti a disposizione documentando, in caso di ispezione, di aver analizzato la situazione ed apportato misure adeguate secondo ragionevolezza anche dei costi rispetto alla mole dei dati generati e oggetto di raccolta e trasferimento.


Intanto possiamo dire che rimuovere Analytics, oltre a far perdere molti dati, non è la soluzione: il problema non è Analytics ma il trasferimento che, per il passato, è già avvenuto.


Guido Scorza, del collegio Garante Privacy, in merito all’utilizzo del software GA4 ha rilevato che “a una prima vista questa versione riduce, non elimina, il rischio di accesso governativo ai dati di re-identificazione degli utenti” ma su tale software ad oggi il Garante non ha svolto alcuna verifica.


Ma quali strumenti è possibile usare?

Resta il fatto che GA4, a nostro avviso, può essere quindi il primo passo per adeguarsi al GDPR anche se, come ricordato da Scorza, potrebbe non bastare.


Il Garante francese, proprio in merito a GA4 ha suggerito (oltre a GA4), di utilizzare un proxy per filtrare il trasferimento dati (sistema server-side), in modo da passare attraverso un filtro ulteriore, prima di comunicare con i server Google USA. 


In tal caso si tratterebbe di una soluzione al 100% compliant, ma che non tutti possono affrontare in termini di costi di implementazione e mantenimento.


Altra opzione è quella di scegliere un'alternativa ad Analytics di un fornitore Europeo e basata su server europei: in questo caso è consigliabile affidarsi a esperti, in quanto non tutte queste piattaforme sono integrate a tool di terze parti come lo è Google.


Non è questa la sede per scendere in dettagli tecnici ma ciò che conta è che le imprese non si improvvisino esperti IT ma si rivolgano a consulenti esperti nella gestione dei tools e dei progetti di tracciamento.


Ciò che si deve sapere è che non è sufficiente troncare l'indirizzo IP del computer, con la funzione di anonimizzazione (come tra l'altro ancora indicato sui siti di alcuni ministeri) e nemmeno l’uso del consenso come base giuridica per il trasferimento – ai sensi dell’art. 49 del GDPR – si prospetta come una soluzione efficace.


Potrebbe essere un’altra soluzione virare verso modelli di business “cookieless”, che superino cioè l’uso di cookie di terze parti.


Google sta apportando modifiche nel tentativo di conformarsi alle leggi sulla privacy ed in particolare si è dotata di un proxy per la gestione dei dati (IP) degli utenti – quindi di server di Google situati in Europa – che non dovrebbero essere controllati o controllabili da Google LLC ma non è ancora chiaro se ciò sia sufficiente a escludere che le autorità americane possano obbligare a disvelare tali dati.


Consigli pratici?

Ogni situazione deve essere analizzata nel contesto in cui opera e si muove. Dati per alcune aziende sono essenziali, per altre hanno un valore marginale e possono essere raccolti con altre modalità.


Come detto rispetto a Universal Analytics, GA4 utilizza gli indirizzi IP solo al momento della raccolta per determinare dove registrare altri dati relativi agli utenti, salvo poi anonimizzarli automaticamente.



Sebbene il consenso, come abbiamo già detto, non è fonte di liceità del trasferimento del dato, il blocco preventivo degli script può comunque essere considerata una possibile opzione.


Ulteriore settaggio di GA4 utile a ridurre i rischi e minimizzare la quantità di dati raccolti, è la disattivazione della raccolta di dati di Google Signals, dati basati sulla zona geografica e la disattivazione della raccolta di dati granulari su località e dispositivo.


Il noto principio dell’accountability in questa materia impone che le aziende si attivino e diano quantomeno la dimostrazione di aver provveduto al superamento del sistema censurato dal Garante che, in caso di ispezione, non potrà non tener conto dello stato dell’arte, ovvero della situazione in cui le imprese, loro malgrado sono venute ad imbattersi per colpe che evidentemente trascendono la loro volontà di conformarsi al GDPR.


Gli ultimi aggiornamenti


È notizia recente che il presidente USA Joe Biden, con executive order del 7 Ottobre scorso, ha introdotto misure più rigorose per le agenzie di intelligence americane nell’accesso ai dati personali detenuti dalle società statunitensi, introducendo altresì strumenti di reclamo per proteggere le libertà civili degli interessati stessi, tramite un’autorità di controllo indipendente.


Certamente questo provvedimento potrà contribuire a fare chiarezza e consentire il superamento di questa situazione di stallo e di grave incertezza in cui si muovono le aziende europee. Non resta quindi che attendere (fine 2022-inizio 2023) le valutazioni della Commissione Europea e di conseguenza le indicazioni che necessariamente dovranno pervenire da parte delle singole autorità di controllo dei singoli paesi UE.

 

Avvocato Paolo Mascitelli


Autore: Avv. Veronica Luperini 02 nov, 2023
Il termine "sharenting" si riferisce alla pratica dei genitori di condividere costantemente contenuti online riguardanti i propri figli, come foto, video e ecografie. Questo neologismo deriva dall'unione delle parole inglesi "share" (condividere) e "parenting" (genitorialità). La pubblicazione in rete delle foto/video dei propri figli può comportare numerosi rischi che minacciano la privacy e la sicurezza dei minori tra cui: violazione della privacy e della riservatezza dei dati personali anche sensibili; mancata tutela dell’immagine del minore che a causa della permanenza in rete e dell’inevitabile perdita di controllo da parte dei genitore sul contenuto postato può essere utilizzata per fini impropri da parte di terzi (es. pedopornografia, ritorsioni etc); ripercussioni psicologiche sul minore rischiando di ritrovarsi con un'identità digitale costruita su immagini di cui non ha dato il proprio consenso, rischio di adescamento da parte di malintenzionati che possono sfruttare dati ed abitudini dei minori esposti online. Incremento episodi cyberbullismo E’ importante prestare attenzione quando si decide di pubblicare tali contenuti e seguire i suggerimenti forniti dal Garante della privacy tra cui: ✔️rendere irriconoscibile il viso del minore (ad esempio, utilizzando programmi di grafica per "pixellare" i volti) ✔️coprire i volti con una “faccina” emoticon; ✔️limitare le impostazioni di visibilità delle immagini sui social network solo alle persone che si conoscono o che siano affidabili e non le condividano senza permesso nel caso di invio su programma di messagistica istantanea; ✔️evitare la creazione di un account social dedicato al minore; ✔️leggere e comprendere le informative sulla privacy dei social network su cui carichiamo le fotografie.
Autore: Paolo Mascitelli 30 ott, 2023
La retribuzione minima stabilita da un contratto collettivo nazionale sottoscritto dalle organizzazioni sindacali maggiormente rappresentative non basta a garantire il rispetto del principio di sufficienza e proporzionalità dettato dall’articolo 36 della Costituzione. La Corte di cassazione ha stabilito che anche in presenza di un accordo collettivo, spetta in ogni caso al giudice il potere di valutare la congruità del salario minimo stabilito dalle parti sociali, mediante una verifica costituzionalmente orientata di tale misura. Dalla "corretta lettura" dell’articolo 36 della Costituzione, infatti, la Corte giunge a ricavare il principio secondo cui ciascun lavoratore ha diritto a una retribuzione proporzionata alla quantità e qualità del suo lavoro e in ogni caso sufficiente ad assicurare a sé e alla sua famiglia un’esistenza libera e dignitosa. Secondo la Corte (sentenze 27711 e 27769 del 2 ottobre 2023) l'articolo 36 della Costituzione evidenzia due diritti distinti ma interconnessi: il diritto a una retribuzione " proporzionata " in base alla quantità e qualità del lavoro e il diritto a una retribuzione " sufficiente" che assicuri una vita dignitosa per il lavoratore e la sua famiglia. La valutazione della congruità del salario minimo diventa, quindi, una valutazione flessibile dipendente dal contesto economico e sociale in evoluzione. La Corte ha introdotto un nuovo punto di vista sostenendo che per determinare il salario minimo non si debba considerare solo la soglia di povertà assoluta calcolata dall'Istat ma anche i concetti di sufficienza e proporzionalità. La Corte fa riferimento alla direttiva dell'Unione Europea sui salari adeguati che incoraggia gli Stati membri a garantire non solo i bisogni essenziali ma anche la partecipazione a attività culturali, educative e sociali. La valutazione che il giudice è chiamato a svolgere in merito alla congruità del salario minimo è dunque una valutazione fluida , dipendente dal contesto economico in evoluzione e non cristallizzata in parametri intangibili. Secondo gli Ermellini, quindi, si deve garantire al lavoratore una vita non solo non povera, ma anche dignitosa. In questo senso la Corte fa espresso riferimento alla recente direttiva Ue sui salari adeguati (n. 2022/2041) che sprona gli Stati membri a dotarsi di legislazioni nazionali orientate a garantire non solo il soddisfacimento di meri bisogni essenziali (quali cibo, alloggio, e così via) ma anche la legittima partecipazione ad attività culturali, educative e sociali. La direttiva Ue propone alcuni parametri per adeguare il salario minimo, come il potere d'acquisto dei salari rispetto al costo della vita e la distribuzione dei salari. Questo rappresenta un cambiamento rispetto alla precedente giurisprudenza che si concentrava su parametri come l'indice Istat di povertà o l'importo della Naspi o del reddito di cittadinanza. La Corte di Cassazione invita a valutare con prudenza gli scostamenti dalla contrattazione collettiva, ma le recenti sentenze rischiano di creare incertezza , passando dalla certezza dei contratti collettivi a un potenziale eccesso di discrezionalità nelle aule di tribunale. La massima: "Il giudice può discostarsi dal Contratto collettivo Il giudice deve fare riferimento innanzitutto alla retribuzione stabilita dalla contrattazione collettiva nazionale di categoria, dalla quale può tuttavia motivatamente discostarsi, quando la stessa entri in contrasto con i criteri normativi di proporzionalità e sufficienza della retribuzione dettati dall’articolo 36 della Costituzione. Per la determinazione del giusto salario minimo il giudice può usare come parametro la retribuzione stabilita in altri contratti collettivi di settori affini e può fare altresì riferimento a indicatori economici e statistici, anche secondo quanto suggerito dalla direttiva Ue 2022/2041 del 19 ottobre 2022. Cassazione civile, sez. lavoro, 2 ottobre 2023 n. 27711 e n. 27769" Di altro avviso è il Tribunale di Milano che invece richiama espressamente la "prudenza" nel discostarsi dal salario indicato dal CCNL leader: "Ove la retribuzione prevista nel contratto di lavoro risulti inferiore alla soglia minima di sufficienza in base all’articolo 36 della Costituzione, il giudice adegua la retribuzione secondo i criteri costituzionalmente garantiti, con valutazione discrezionale. Ove però la retribuzione sia prevista da un contratto collettivo, il giudice è tenuto a usare tale discrezionalità con la massima prudenza, cura e attenzione e comunque con adeguata motivazione, giacché difficilmente è in grado di apprezzare le esigenze economiche, politiche e sindacali sottese all’intero assetto degli interessi concordato dalle parti sociali nel confronto che porta alla stipulazione del contratto collettivo. Tribunale di Milano, Sezione Lavoro, 21 febbraio 2023 
Autore: Paolo Mascitelli 14 mar, 2023
La Cassazione torna a chiarire il "fenomeno" della colpa d'organizzazione rilevante ai sensi della punibilità dell'ente ex D.Lgs 231
Autore: PAOLO MASCITELLI 21 dic, 2022
C orte di Cassazione , Sezione 4 , Penale , Sentenza 21 settembre 2022  n. 34943
Autore: Paolo Mascitelli 12 mag, 2022
Secondo la Cassazione n. 14760/22 è l egittimo il licenziamento della cassiera di un supermercato che per vincere i premi "cd fedeltà" carica i punti sulla propria carta, quando i clienti abbiano dimenticato o non abbiano proprio la tessera. Il caso A fronte del licenziamento disciplinare subito per i fatti in premessa, la dipendente assumeva a propria difesa la propria estraneità, deducendo che negli orari e nei giorni in cui risultavano eseguiti i fatti, ella si era alzata dalla propria postazione. I giudici di merito respingevano l'impugnazione, facendo gravare sulla dipendente l'onere della prova esimente, ritenendo già comprovata in via documentale la prova della giusta causa, in quanto tale fatto di per sé mina alla radice il rapporto fiduciario anche in ottica futura. Approdati dinanzi al giudice di legittimità, la Cassazione ha concluso per la legittimità della sanzione in funzione anche degli obblighi aziendali discendenti dal particolare rapporto di lavoro esistente tra le parti.T 
Autore: Paolo Mascitelli 22 feb, 2022
Qualsiasi forma idonea a manifestare, chiaramente ed inequivocabilmente, la volontà di avvalersi dell'attività e dell'opera del professionista integra il presupposto necessario per dimostrare la debenza del compenso.
Autore: Paolo Mascitelli 03 mar, 2021
La Cassazione con ordinanza 5077/2021 rigetta il ricorso della ex moglie ed esclude il diritto all'assegno di divorzio, ribadendo le motivazioni già affermate dai giudici di secondo grado. Le indagini difensive del marito erano infatti in grado di fornire prova del fatto che la donna, nonostante le dimissioni formali al proprio datore di lavoro, continuava a prestare di fatto servizio nello studio professionale. Inoltre i problemi di salujte accusati dalla donna quali impedimenti per costituire forza lavoro autonoma e garantirsi un impiego, non si dimostrano fondati in quanto risulta essere nelle piene capacità lavorative.
Show More
Share by: