Analisi web: pro­te­zio­ne dati nella creazione di profili utente

L’analisi web è diventata uno strumento centrale dell’online marketing. Numerosi gestori di siti web usano tool per il tracking come Google Analytics, Matomo (ex Piwik) o etracker che per­met­to­no di com­pren­de­re il com­por­ta­men­to degli utenti su un sito web. Sulla base di questi dati si può capire come creare siti web user-friendly e come rendere i processi più ef­fi­cien­ti. Ma mentre i venditori online non possono nemmeno im­ma­gi­nar­si un mondo senza analisi web, chi si occupa della tutela della privacy lancia un allarme: per i clienti spesso non è com­pren­si­bi­le quali dati vengono re­gi­stra­ti dai gestori dei siti web e per quale scopo.

Il po­ten­zia­le conflitto sorge so­prat­tut­to in relazione ai dati personali, con i quali si crea il profilo dell’utente e così possono essere tratte delle con­clu­sio­ni sui singoli clienti. Ma un’analisi web conforme alla pro­te­zio­ne della privacy è possibile anche con le soluzioni stabilite e co­no­sciu­te, a patto che si sia certi di aver adempiuto ad alcuni requisiti, che esigono talvolta in­ter­ven­ti nel codice di pro­gram­ma­zio­ne del tool usato per il tracking.

Fon­da­men­tal­men­te la raccolta dei dati e delle in­for­ma­zio­ni sull’attività di un utente su di un sito web è con­sen­ti­ta, se viene fatta con­for­me­men­te alle direttive sulla privacy. La base giuridica per questo in Europa è rap­pre­sen­ta­ta dal Codice in materia di pro­te­zio­ne dei dati personali. Come risultato di questo codice, la creazione di profili utente è permessa solo se avviene in maniera anonima, ad esempio usando degli pseu­do­ni­mi.

I dati personali con i quali i singoli vi­si­ta­to­ri del sito web po­treb­be­ro essere ine­qui­vo­ca­bil­men­te iden­ti­fi­ca­ti non possono essere raccolti e salvati senza un consenso esplicito degli in­te­res­sa­ti. I garanti della privacy con­si­de­ra­no tra i ri­fe­ri­men­ti personali di questo tipo anche gli indirizzi IP dinamici. Già nel 2009 una con­tro­ver­sia sorta in Germania aveva portato alla con­clu­sio­ne che l’analisi del com­por­ta­men­to dell’utente che utilizza gli indirizzi IP completi (inclusa la geo­lo­ca­liz­za­zio­ne) è con­sen­ti­ta soltanto con un consenso con­sa­pe­vo­le e di­chia­ra­to, a causa della natura personale di questi dati.

Tuttavia queste direttive sulla pro­te­zio­ne dei dati pongono un problema ai gestori di siti web, che vor­reb­be­ro valutare le metriche degli utenti uti­liz­zan­do soluzioni standard del settore, nelle quali quasi tutti i tool di trac­cia­men­to rilevano non solo gli indirizzi IP dinamici di ogni utente, ma anche i cookie per re­gi­stra­re il com­por­ta­men­to degli utenti sul sito web. Un uso del sito conforme alla normativa sulla privacy sarebbe quindi possibile solo con un consenso esplicito dell’utente.

Il GDPR at­tri­bui­sce grande im­por­tan­za al consenso informato. Per i re­spon­sa­bi­li dei siti web, ciò significa che devono rendere ben chiaro ai propri vi­si­ta­to­ri quali dati saranno ar­chi­via­ti e per quale scopo. Pertanto le con­di­zio­ni di consenso generali e on­ni­com­pren­si­ve non sono ammesse. Se sono necessari dati diversi a seconda degli scopi, occorre chiedere all’utente il consenso più volte, cioè se­pa­ra­ta­men­te per ognuno degli scopi. Inoltre non è con­sen­ti­to, come fino a poco tempo fa accadeva spesso, assumere il principio del tacito consenso”. Se gli utenti non si pro­nun­cia­no sul fatto che i loro dati possano essere ar­chi­via­ti, ai sensi del GDPR questo vale come un rifiuto, e lo stesso vale per i cookie.

Secondo il GDPR, ai gestori di siti web vengono offerti fon­da­men­tal­men­te due modi per inserire ed elaborare i dati dell’utente in con­for­mi­tà alla legge:

• tramite un’analisi web espli­ci­ta­men­te approvata
• tramite un’analisi web anonima

Per quanto riguarda la tutela dei dati personali, per stare sul sicuro i gestori di siti web devono ottenere l’ap­pro­va­zio­ne pre­ven­ti­va da parte dei loro vi­si­ta­to­ri per la creazione di profili utente basati sui dati personali. Una tale au­to­riz­za­zio­ne dovrebbe tuttavia apparire al vi­si­ta­to­re del sito in modo evidente nel momento in cui accede al sito. Non è as­so­lu­ta­men­te suf­fi­cien­te includere la di­chia­ra­zio­ne di consenso come sot­to­se­zio­ne nei termini e nelle con­di­zio­ni generali. Invece si può far comparire ad esempio una finestra pop-up alla prima visita dell’utente sul sito. Se viene fornito il consenso è compito del gestore del sito web pro­to­col­lar­lo e con­ser­var­lo, di modo che risulti ac­ces­si­bi­le all’utente in ogni momento.

Inoltre gli utenti devono avere la pos­si­bi­li­tà di revocare il proprio consenso in qualsiasi momento. Questa revoca deve avvenire con la stessa sem­pli­ci­tà con la quale è stato concesso il consenso. Non appena l’utente cambia parere e lo rende noto al gestore del sito, quest’ultimo non può più pro­ces­sa­re i dati dell’utente. I dati che però nel frattempo sono già stati raccolti ed elaborati non devono essere can­cel­la­ti, a meno che l’utente non lo richieda espres­sa­men­te.

Nel caso in cui si uti­liz­zi­no tecniche di trac­cia­men­to su un sito web, i gestori sono obbligati per legge ad avvisare il vi­si­ta­to­re del fatto che il suo com­por­ta­men­to verrà ana­liz­za­to sotto forma di profili utente, indicando in quale misura questo avvenga e quale scopo abbia. L’in­for­ma­ti­va sulla privacy dovrebbe inoltre essere ac­ces­si­bi­le al vi­si­ta­to­re in qualsiasi momento e da qualsiasi pagina del sito. Si consiglia quindi di linkarla nella barra di na­vi­ga­zio­ne o nel footer di un sito web.

Un ulteriore requisito per un’analisi web conforme alla tutela dei dati personali è la pos­si­bi­li­tà da parte dell’utente di revocare il proprio consenso in qualsiasi momento. Il gestore del sito deve inoltre garantire che il processo di revoca del consenso avvenga con la stessa sem­pli­ci­tà di quello per ac­cor­dar­lo. Una volta ricevuta la revoca la raccolta dei dati personali deve cessare.

Se i gestori di un sito web ricorrono a tool di tracking che salvano i dati personali degli utenti su server esterni, il GDPR prevede un consenso per la raccolta, l’ela­bo­ra­zio­ne e l’uso dei dati personali da parte di un fornitore di servizi esterni sotto forma di accordo elet­tro­ni­co. In tale accordo, entrambe le parti del contratto sta­bi­li­sco­no quali servizi includono l’ela­bo­ra­zio­ne dei dati e quali diritti e doveri ne derivano per entrambe le parti.

A seguito dell’in­tro­du­zio­ne del GDPR, gli svi­lup­pa­to­ri dei più noti strumenti di tracking si sono adoperati per rendere il più possibile conformi le proprie offerte ai requisiti richiesti per legge. In linea di principio, tuttavia, è re­spon­sa­bi­li­tà del gestore del sito web pre­oc­cu­par­si che i requisiti legali dell’analisi web vengano ri­spet­ta­ti.

Vi il­lu­stria­mo come si può con­fi­gu­ra­re il software a livello pratico ri­por­tan­do gli esempi di Google Analytics, Matomo ed etracker.

Anche Google ha adattato il proprio servizio di analisi web alle nuove leggi europee. Tuttavia, per rendere l’analisi dei dati web coerente con la pro­te­zio­ne dei dati, dovete apportare le seguenti modifiche:

1. Contratto di ela­bo­ra­zio­ne dei dati: secondo le autorità sulla tutela dei dati, Google in qualità di fornitore di Google Analytics assume la posizione di con­traen­te. I gestori del sito web sono quindi obbligati a stipulare un contratto di ela­bo­ra­zio­ne dei dati del contratto prima di uti­liz­za­re il software, cosa che può avvenire anche online. Dalle im­po­sta­zio­ni dell’account potete com­ple­ta­re l’in­te­gra­zio­ne sull’ela­bo­ra­zio­ne dei dati.
    
2. Con­ser­va­zio­ne dei dati: nelle im­po­sta­zio­ni Google vi consente di eliminare au­to­ma­ti­ca­men­te i dati me­mo­riz­za­ti dopo un certo periodo di tempo: scegliete il periodo più breve, cioè 14 mesi.
    
3. Indirizzo IP anonimo: con Google Analytics gli indirizzi IP degli utenti possono essere resi anonimi at­tra­ver­so l’esten­sio­ne del codice “ano­ny­mi­zelp”, che deve essere inserita ma­nual­men­te dal gestore del sito nel codice di programma del software di tracking. Nella sezione As­si­sten­za di Google potete trovare in­for­ma­zio­ni più tecniche su come Analytics rende anonimi gli indirizzi IP. Al momento il software di tracking è uti­liz­za­to in due varianti: a seconda che sul vostro sito operi il classico Analytics o Universal Analytics, ag­giun­ge­te le seguenti porzioni di codice al programma. Nel classico Analytics l’esten­sio­ne si aggiunge at­tra­ver­so la funzione _ano­ny­mi­zelp della libreria Ja­va­Script ga.js:

In Universal Analytics invece si usa la funzione ga(‘set’, ‘ano­ny­mi­zeIp’, true) nella libreria di Ja­va­Script analytics.js:

In entrambe le varianti si imposta l’ultimo ottetto di un indirizzo IPv4 sul valore zero. Negli indirizzi IPv6 l’IP ma­sche­ra­to salva gli ultimi 80 bit nella memoria.

4. In­for­ma­ti­va sulla privacy e diritto di recesso: secondo i termini di utilizzo di Google Analytics, i gestori dei siti web sono obbligati ad avvisare sull’uso del software nell’in­for­ma­ti­va sulla privacy e a rendere pubblica la raccolta dei dati acquisiti. Tale obbligo deriva anche dal Re­go­la­men­to generale sulla pro­te­zio­ne dei dati. La di­chia­ra­zio­ne deve inoltre informare i vi­si­ta­to­ri del sito web circa il diritto di recesso. Si consiglia di inserire un link messo a di­spo­si­zio­ne da Google per in­stal­la­re un com­po­nen­te ag­giun­ti­vo per il browser che permette di di­sat­ti­va­re Google Analytics.
    
5. Eli­mi­na­zio­ne dei dati obsoleti: tali dati personali dell’utente raccolti in modo non conforme al GDPR devono essere can­cel­la­ti senza eccezioni. In questi casi si consiglia di impostare un account nuovo di Analytics per il sito web in­te­res­sa­to.

Si­mil­men­te a Google Analytics, anche con Piwik o per meglio dire Matomo, il nome attuale, si deve adattare la tutela della privacy in modo tale che il tool che si occupa di tracking venga uti­liz­za­to in maniera conforme alle direttive legali. A dif­fe­ren­za di Analytics, il software open source Matomo si utilizza su un server proprio. Quindi, almeno con Matomo, è eliminato il contratto per l’ela­bo­ra­zio­ne dei dati. Poiché tuttavia è molto probabile che stiate me­mo­riz­zan­do le vostre in­for­ma­zio­ni personali su un server no­leg­gia­to, è ne­ces­sa­rio com­ple­ta­re il suddetto contratto con il provider di hosting.

1. Indirizzi IP anonimi: nelle im­po­sta­zio­ni standard, Matomo dovrebbe già rendere anonimi gli indirizzi IP. Per as­si­cu­rar­si che l’im­po­sta­zio­ne sia di fatto corretta, potete con­trol­lar­la nelle im­po­sta­zio­ni nell’area di am­mi­ni­stra­zio­ne. Qui potete anche stabilire quanti byte (tra uno e tre) devono essere resi anonimi.
    
2. Con­ser­va­zio­ne dei dati: Matomo consente di can­cel­la­re pe­rio­di­ca­men­te i dati raccolti, ad esempio dopo sei mesi. Tramite la voce del menu nell’area di am­mi­ni­stra­zio­ne potete eliminare i vecchi dati nel caso in cui non siano stati re­gi­stra­ti in modo conforme al GDPR. Potete trovare maggiori in­for­ma­zio­ni in merito nelle FAQ ufficiali.
    
3. In­for­ma­ti­va sulla privacy e diritto di recesso: la pos­si­bi­li­tà di recesso nell’ambito della di­chia­ra­zio­ne ob­bli­ga­to­ria sulla pro­te­zio­ne dei dati avviene tramite un iFrame di opt-out, come si può vedere nella sezione di servizio del sito web ufficiale del progetto:

Inoltre Matomo rispetta la richiesta “Do not track”, che molti browser ag­giun­go­no già per im­po­sta­zio­ne pre­de­fi­ni­ta ad ogni richiesta web, a meno che questa funzione non sia di­sat­ti­va­ta.