Analisi web: protezione dati nella creazione di profili utente

L’analisi web è diventata uno strumento centrale dell’online marketing. Numerosi gestori di siti web usano tool per il tracking come Google Analytics, Matomo (ex Piwik) o etracker che permettono di comprendere il comportamento degli utenti su un sito web. Sulla base di questi dati si può capire come creare siti web user-friendly e come rendere i processi più efficienti. Ma mentre i venditori online non possono nemmeno immaginarsi un mondo senza analisi web, chi si occupa della tutela della privacy lancia un allarme: per i clienti spesso non è comprensibile quali dati vengono registrati dai gestori dei siti web e per quale scopo.

Il potenziale conflitto sorge soprattutto in relazione ai dati personali, con i quali si crea il profilo dell’utente e così possono essere tratte delle conclusioni sui singoli clienti. Ma un’analisi web conforme alla protezione della privacy è possibile anche con le soluzioni stabilite e conosciute, a patto che si sia certi di aver adempiuto ad alcuni requisiti, che esigono talvolta interventi nel codice di programmazione del tool usato per il tracking.

Fondamentalmente la raccolta dei dati e delle informazioni sull’attività di un utente su di un sito web è consentita, se viene fatta conformemente alle direttive sulla privacy. La base giuridica per questo in Europa è rappresentata dal Codice in materia di protezione dei dati personali. Come risultato di questo codice, la creazione di profili utente è permessa solo se avviene in maniera anonima, ad esempio usando degli pseudonimi.

I dati personali con i quali i singoli visitatori del sito web potrebbero essere inequivocabilmente identificati non possono essere raccolti e salvati senza un consenso esplicito degli interessati. I garanti della privacy considerano tra i riferimenti personali di questo tipo anche gli indirizzi IP dinamici. Già nel 2009 una controversia sorta in Germania aveva portato alla conclusione che l’analisi del comportamento dell’utente che utilizza gli indirizzi IP completi (inclusa la geolocalizzazione) è consentita soltanto con un consenso consapevole e dichiarato, a causa della natura personale di questi dati.

Tuttavia queste direttive sulla protezione dei dati pongono un problema ai gestori di siti web, che vorrebbero valutare le metriche degli utenti utilizzando soluzioni standard del settore, nelle quali quasi tutti i tool di tracciamento rilevano non solo gli indirizzi IP dinamici di ogni utente, ma anche i cookie per registrare il comportamento degli utenti sul sito web. Un uso del sito conforme alla normativa sulla privacy sarebbe quindi possibile solo con un consenso esplicito dell’utente.

Il GDPR attribuisce grande importanza al consenso informato. Per i responsabili dei siti web, ciò significa che devono rendere ben chiaro ai propri visitatori quali dati saranno archiviati e per quale scopo. Pertanto le condizioni di consenso generali e onnicomprensive non sono ammesse. Se sono necessari dati diversi a seconda degli scopi, occorre chiedere all’utente il consenso più volte, cioè separatamente per ognuno degli scopi. Inoltre non è consentito, come fino a poco tempo fa accadeva spesso, assumere il principio del tacito consenso”. Se gli utenti non si pronunciano sul fatto che i loro dati possano essere archiviati, ai sensi del GDPR questo vale come un rifiuto, e lo stesso vale per i cookie.

Secondo il GDPR, ai gestori di siti web vengono offerti fondamentalmente due modi per inserire ed elaborare i dati dell’utente in conformità alla legge:

• tramite un’analisi web esplicitamente approvata
• tramite un’analisi web anonima

Per quanto riguarda la tutela dei dati personali, per stare sul sicuro i gestori di siti web devono ottenere l’approvazione preventiva da parte dei loro visitatori per la creazione di profili utente basati sui dati personali. Una tale autorizzazione dovrebbe tuttavia apparire al visitatore del sito in modo evidente nel momento in cui accede al sito. Non è assolutamente sufficiente includere la dichiarazione di consenso come sottosezione nei termini e nelle condizioni generali. Invece si può far comparire ad esempio una finestra pop-up alla prima visita dell’utente sul sito. Se viene fornito il consenso è compito del gestore del sito web protocollarlo e conservarlo, di modo che risulti accessibile all’utente in ogni momento.

Inoltre gli utenti devono avere la possibilità di revocare il proprio consenso in qualsiasi momento. Questa revoca deve avvenire con la stessa semplicità con la quale è stato concesso il consenso. Non appena l’utente cambia parere e lo rende noto al gestore del sito, quest’ultimo non può più processare i dati dell’utente. I dati che però nel frattempo sono già stati raccolti ed elaborati non devono essere cancellati, a meno che l’utente non lo richieda espressamente.

Nel caso in cui si utilizzino tecniche di tracciamento su un sito web, i gestori sono obbligati per legge ad avvisare il visitatore del fatto che il suo comportamento verrà analizzato sotto forma di profili utente, indicando in quale misura questo avvenga e quale scopo abbia. L’informativa sulla privacy dovrebbe inoltre essere accessibile al visitatore in qualsiasi momento e da qualsiasi pagina del sito. Si consiglia quindi di linkarla nella barra di navigazione o nel footer di un sito web.

Un ulteriore requisito per un’analisi web conforme alla tutela dei dati personali è la possibilità da parte dell’utente di revocare il proprio consenso in qualsiasi momento. Il gestore del sito deve inoltre garantire che il processo di revoca del consenso avvenga con la stessa semplicità di quello per accordarlo. Una volta ricevuta la revoca la raccolta dei dati personali deve cessare.

Se i gestori di un sito web ricorrono a tool di tracking che salvano i dati personali degli utenti su server esterni, il GDPR prevede un consenso per la raccolta, l’elaborazione e l’uso dei dati personali da parte di un fornitore di servizi esterni sotto forma di accordo elettronico. In tale accordo, entrambe le parti del contratto stabiliscono quali servizi includono l’elaborazione dei dati e quali diritti e doveri ne derivano per entrambe le parti.

A seguito dell’introduzione del GDPR, gli sviluppatori dei più noti strumenti di tracking si sono adoperati per rendere il più possibile conformi le proprie offerte ai requisiti richiesti per legge. In linea di principio, tuttavia, è responsabilità del gestore del sito web preoccuparsi che i requisiti legali dell’analisi web vengano rispettati.

Vi illustriamo come si può configurare il software a livello pratico riportando gli esempi di Google Analytics, Matomo ed etracker.

Anche Google ha adattato il proprio servizio di analisi web alle nuove leggi europee. Tuttavia, per rendere l’analisi dei dati web coerente con la protezione dei dati, dovete apportare le seguenti modifiche:

1. Contratto di elaborazione dei dati: secondo le autorità sulla tutela dei dati, Google in qualità di fornitore di Google Analytics assume la posizione di contraente. I gestori del sito web sono quindi obbligati a stipulare un contratto di elaborazione dei dati del contratto prima di utilizzare il software, cosa che può avvenire anche online. Dalle impostazioni dell’account potete completare l’integrazione sull’elaborazione dei dati.
    
2. Conservazione dei dati: nelle impostazioni Google vi consente di eliminare automaticamente i dati memorizzati dopo un certo periodo di tempo: scegliete il periodo più breve, cioè 14 mesi.
    
3. Indirizzo IP anonimo: con Google Analytics gli indirizzi IP degli utenti possono essere resi anonimi attraverso l’estensione del codice “anonymizelp”, che deve essere inserita manualmente dal gestore del sito nel codice di programma del software di tracking. Nella sezione Assistenza di Google potete trovare informazioni più tecniche su come Analytics rende anonimi gli indirizzi IP. Al momento il software di tracking è utilizzato in due varianti: a seconda che sul vostro sito operi il classico Analytics o Universal Analytics, aggiungete le seguenti porzioni di codice al programma. Nel classico Analytics l’estensione si aggiunge attraverso la funzione _anonymizelp della libreria JavaScript ga.js:

In Universal Analytics invece si usa la funzione ga(‘set’, ‘anonymizeIp’, true) nella libreria di JavaScript analytics.js:

In entrambe le varianti si imposta l’ultimo ottetto di un indirizzo IPv4 sul valore zero. Negli indirizzi IPv6 l’IP mascherato salva gli ultimi 80 bit nella memoria.

4. Informativa sulla privacy e diritto di recesso: secondo i termini di utilizzo di Google Analytics, i gestori dei siti web sono obbligati ad avvisare sull’uso del software nell’informativa sulla privacy e a rendere pubblica la raccolta dei dati acquisiti. Tale obbligo deriva anche dal Regolamento generale sulla protezione dei dati. La dichiarazione deve inoltre informare i visitatori del sito web circa il diritto di recesso. Si consiglia di inserire un link messo a disposizione da Google per installare un componente aggiuntivo per il browser che permette di disattivare Google Analytics.
    
5. Eliminazione dei dati obsoleti: tali dati personali dell’utente raccolti in modo non conforme al GDPR devono essere cancellati senza eccezioni. In questi casi si consiglia di impostare un account nuovo di Analytics per il sito web interessato.

Similmente a Google Analytics, anche con Piwik o per meglio dire Matomo, il nome attuale, si deve adattare la tutela della privacy in modo tale che il tool che si occupa di tracking venga utilizzato in maniera conforme alle direttive legali. A differenza di Analytics, il software open source Matomo si utilizza su un server proprio. Quindi, almeno con Matomo, è eliminato il contratto per l’elaborazione dei dati. Poiché tuttavia è molto probabile che stiate memorizzando le vostre informazioni personali su un server noleggiato, è necessario completare il suddetto contratto con il provider di hosting.

1. Indirizzi IP anonimi: nelle impostazioni standard, Matomo dovrebbe già rendere anonimi gli indirizzi IP. Per assicurarsi che l’impostazione sia di fatto corretta, potete controllarla nelle impostazioni nell’area di amministrazione. Qui potete anche stabilire quanti byte (tra uno e tre) devono essere resi anonimi.
    
2. Conservazione dei dati: Matomo consente di cancellare periodicamente i dati raccolti, ad esempio dopo sei mesi. Tramite la voce del menu nell’area di amministrazione potete eliminare i vecchi dati nel caso in cui non siano stati registrati in modo conforme al GDPR. Potete trovare maggiori informazioni in merito nelle FAQ ufficiali.
    
3. Informativa sulla privacy e diritto di recesso: la possibilità di recesso nell’ambito della dichiarazione obbligatoria sulla protezione dei dati avviene tramite un iFrame di opt-out, come si può vedere nella sezione di servizio del sito web ufficiale del progetto:

Inoltre Matomo rispetta la richiesta “Do not track”, che molti browser aggiungono già per impostazione predefinita ad ogni richiesta web, a meno che questa funzione non sia disattivata.