Immagina: apri la posta elettronica al mattino e trovi un messaggio da un'autorità di controllo europea. Una sanzione da 1 milione di euro. Il motivo: Google Analytics, che hai installato tre anni fa e di cui ti sei dimenticato. Non è fantasia. A ottobre 2025, la Corte d'Appello di Stoccolma ha confermato la sanzione contro Tele2. Il ricorso è stato respinto, la multa è diventata esecutiva.

Sette paesi europei hanno emesso decisioni contro Google Analytics nella forma in cui lo configura il 90% dei proprietari di siti web. Il problema non è lo strumento in sé, ma dove e come i dati degli utenti europei finiscono per disperdersi.

Google ha risposto: GA4 con anonimizzazione IP forzata, Consent Mode v2, server di trattamento in Europa. La Commissione Europea ha adottato il Data Privacy Framework. Ma nel 2026 tutto questo basta? E, soprattutto, cosa deve fare subito un proprietario di sito per evitare di ripetere la sorte di Tele2? Analizziamolo basandoci sui fatti, fondandoci su decisioni reali di tribunali e autorità di controllo.

💡 Panoramica rapida:

• Scopri perché la sentenza Schrems II del 2020 ha abbattuto il Privacy Shield e minato la base giuridica per Google Analytics in Europa
• Osserva le multe reali: Tele2 ha pagato 1 milione di euro, CDON 27.700 euro, e il ricorso di Tele2 è fallito a ottobre 2025
• Esplora la mappa dei divieti: sette paesi UE con decisioni ufficiali contro specifiche implementazioni di GA
• Valuta la risposta di Google: anonimizzazione IP forzata, server europei, Consent Mode v2
• Comprendi lo stato del Data Privacy Framework: è in vigore, ma NOYB sta già preparando Schrems III
• Segui una checklist in otto punti per rendere GA4 conforme al GDPR
• Confronta GA4 con alternative cookieless: Plausible, Fathom, Umami, e valuta onestamente cosa si perde

Schrems II: la sentenza che ha minato la base giuridica per Google Analytics

Il 16 luglio 2020, la Corte di Giustizia dell'Unione Europea ha emesso la sua sentenza nel caso Schrems II (Causa C-311/18). La Corte ha invalidato il Privacy Shield. Questo meccanismo era l'unica base giuridica che consentiva alle aziende statunitensi di ricevere lecitamente dati personali dall'UE.

La causa principale: la Sezione 702 del FISA e l'Ordine Esecutivo 12333. Questi due atti conferiscono alle agenzie di intelligence statunitensi l'accesso ai dati detenuti dai fornitori americani. Google, con la sua sede in California, rientra pienamente nel loro ambito di applicazione.

Dopo Schrems II, alle aziende è rimasta una sola strada per i trasferimenti leciti di dati verso gli USA: le Clausole Contrattuali Standard (SCC) più "misure supplementari". Ma la CGUE ha affermato chiaramente: le promesse contrattuali non prevalgono sulle leggi sulla sicurezza nazionale. Nessun contratto obbliga le agenzie di intelligence statunitensi a ignorare il FISA. Questo vicolo cieco giuridico è diventato il fondamento delle decisioni contro Google Analytics.

Maggiori dettagli: audit GDPR.

Le prime multe: Tele2, CDON e il precedente svedese

A giugno 2023, l'Autorità svedese per la protezione della privacy (Integritetsskyddsmyndigheten, IMY) ha sanzionato due grandi operatori:

• Tele2 (operatore di telecomunicazioni): 1 milione di euro (12 milioni di corone svedesi) per aver utilizzato Google Analytics senza misure di protezione dei dati sufficienti.
• CDON (rivenditore online): 27.700 euro (300.000 corone) per le stesse violazioni.

Entrambe le società trasferivano dati negli USA tramite SCC. Ma l'autorità di controllo ha stabilito che le misure tecniche di protezione aggiuntive erano insufficienti. Il contratto esisteva, ma non c'era una protezione reale contro l'accesso da parte delle agenzie di intelligence statunitensi.

Tele2 ha presentato ricorso contro la multa. A ottobre 2025, la Corte d'Appello di Stoccolma ha respinto il ricorso e confermato la sanzione. Questo è un momento chiave: il tribunale ha confermato che usare Google Analytics senza misure supplementari adeguate non è una carenza tecnica, ma una piena violazione del GDPR.

Parallelamente, l'IMY ha esaminato i casi di Coop e Dagens Industri. Anche queste aziende usavano Google Analytics. Non hanno ricevuto multe. La differenza: hanno condotto un audit tecnico, implementato una crittografia a un livello che l'autorità di controllo ha ritenuto adeguato e documentato ogni passaggio.

L'insegnamento del precedente svedese: Google Analytics di per sé non è vietato. Ciò che è vietato è trasferire dati senza misure di protezione comprovate e funzionanti. La differenza tra una multa da 1 milione di euro e nessuna contestazione è il volume del lavoro tecnico, non la scelta dello strumento.

La mappa dei divieti: quali paesi UE hanno emesso decisioni contro GA

Dal 2022, sette paesi europei hanno pubblicato decisioni ufficiali che dichiarano illecito l'uso di Google Analytics nelle specifiche implementazioni esaminate:

Ogni decisione riguardava una specifica implementazione di GA su un sito web specifico. Non si tratta di un divieto a livello UE. Ma la posizione coordinata tramite il Comitato Europeo per la Protezione dei Dati (EDPB) significa che una decisione in un paese funge da precedente per gli altri.

La campagna di NOYB (l'organizzazione di Max Schrems) ha presentato 101 reclami in 30 paesi UE e SEE già nell'agosto 2020. Il processo si è protratto per anni, ma non si è fermato. Le autorità di controllo continuano ad avviare procedimenti.

Cosa ha cambiato Google: GA4, server europei e Consent Mode v2

A seguito dell'ondata di decisioni, Google ha introdotto tre modifiche significative dal punto di vista del GDPR.

Anonimizzazione IP per impostazione predefinita. In Universal Analytics, l'anonimizzazione era un'opzione. Veniva spesso dimenticata, e proprio questo fatto è emerso nelle decisioni austriaca e francese. In GA4, l'anonimizzazione è forzata e non può essere disattivata: gli indirizzi IP degli utenti europei vengono oscurati prima che i dati entrino in fase di trattamento.

Trattamento su server UE. Dal 2023, il traffico europeo può essere trattato su server Google all'interno dell'UE prima di essere inviato fuori dalla regione. La casa madre negli USA ricade ancora sotto le leggi sulla sorveglianza americane, ma la superficie esposta a contestazioni si è notevolmente ridotta.

Consent Mode v2, obbligatorio da marzo 2024. Si tratta di un livello JavaScript tra il banner di consenso e i tag di Google. Quando un utente rifiuta i cookie, Consent Mode v2 non si limita a bloccare l'installazione del tracker, ma invia "ping cookieless" anonimizzati. Senza Consent Mode v2, GA4 non può operare lecitamente con il traffico europeo.

Una sfumatura importante: Consent Mode v2 ha due modalità. Quella Base blocca i tag fino all'ottenimento del consenso esplicito, un'opzione giuridicamente solida. Quella Avanzata invia segnali cookieless in ogni caso, anche senza consenso. Google ottiene più dati per la modellazione, ma legalmente questo è un percorso più controverso. La scelta della modalità è una delle prime decisioni che dovrai prendere durante la configurazione.

Data Privacy Framework: salvezza o toppa temporanea

Il 10 luglio 2023 la Commissione Europea ha adottato una decisione di adeguatezza per l'EU-US Data Privacy Framework (DPF). Si tratta del successore del Privacy Shield, abbattuto dalla sentenza Schrems II. Google LLC ha ottenuto la certificazione DPF, il che risolve formalmente il principale problema di conformità legale: i trasferimenti di dati verso aziende certificate negli Stati Uniti hanno di nuovo una base giuridica.

Ma è troppo presto per rilassarsi. Tre fattori di rischio.

Primo: il DPF poggia su ordini esecutivi presidenziali statunitensi. Un cambio di amministrazione potrebbe indebolirli o revocarli. Max Schrems ha dichiarato pubblicamente di non riuscire a immaginare come «un ordine imposto agli USA dagli europei, che regoli la sorveglianza americana all'estero, possa sopravvivere alla logica America First».

Secondo: NOYB sta già impugnando il DPF in tribunale. Il primo attacco legale al DPF è stato respinto, ma NOYB sta preparando un nuovo caso più ampio, Schrems III. Gli avvocati lo definiscono una questione di tempo, non di probabilità.

Terzo: il DPF risolve solo il problema del trasferimento transfrontaliero. Tutti gli altri requisiti del GDPR, consenso, minimizzazione dei dati, limitazione delle finalità, restano in vigore. Un banner non conforme all'Articolo 7 del GDPR rende l'intera catena illegale, a prescindere dal DPF.

Il Datatilsynet norvegese lo ha espresso con precisione: «Quello che finora è stato il problema principale con Google Analytics sembra risolto. Tuttavia, non escludiamo che lo strumento possa presentare altre criticità privacy».

Quindi GA4 è legale in Europa nel 2026

La risposta breve: è legale se configurato correttamente. Con alcune riserve.

Se avete GA4 con Consent Mode v2, un banner di consenso valido (pulsanti «Accetta» e «Rifiuta» equivalenti, nessuna casella pre-spuntata), elaborazione su server UE, SCC firmate e raccolta dati minimizzata, siete in una posizione difendibile. I reclami sono possibili. Ma avete una conformità documentata, ed è esattamente ciò che l'autorità di controllo verifica.

Il problema è che la maggior parte dei siti web non raggiunge quello stato. Un'analisi del 2025 su 254.000 siti web ha mostrato che solo il 15% dei banner cookie in Europa soddisfa i requisiti minimi del GDPR. Un altro studio su 35.000 siti ha rilevato violazioni sul 49% delle risorse controllate. Se il banner non è valido, l'implementazione di GA4 eredita automaticamente quell'invalidità.

Una grana a parte: la perdita di dati. La stessa ricerca registra una perdita del 40-70% dei dati tracciati quando viene implementato un banner autentico con un pulsante «Rifiuta» equivalente. Quando fino a due terzi dei visitatori europei rifiutano i cookie, i numeri in GA4 diventano modellizzati anziché misurati. Le autorità di controllo stanno già ponendo domande: se la modellizzazione stessa crei nuovi problemi GDPR.

La conclusione pratica: GA4 in Europa nel 2026 è un rischio gestito, non una questione chiusa.

Cosa fare subito: una checklist pratica

Ecco otto punti che le autorità di controllo europee esaminano quando verificano un'implementazione di GA. Esaminateli uno per uno.

• Passate a GA4 se siete ancora su Universal Analytics. Universal Analytics è stato dismesso da Google a luglio 2024. I dati non vengono più raccolti, ma i rischi GDPR non sono scomparsi.

• Implementate Consent Mode v2. Senza, GA4 non può trattare lecitamente il traffico europeo. L'integrazione avviene tramite una piattaforma CMP: CookieYes, Cookiebot, Complianz o iubenda. Scegliete la modalità Basic per la massima protezione legale.

• Verificate il vostro banner di consenso. Due pulsanti equivalenti: «Accetta tutto» e «Rifiuta tutto». Nessuna casella pre-spuntata, nessun «legittimo interesse» come pretesto per la raccolta. Verificate tramite la scheda Network degli Strumenti per sviluppatori: quando rifiutate i cookie, non devono esserci richieste a google-analytics.com.

• Attivate l'elaborazione su server UE. GA4, Amministrazione, Impostazioni dati, Raccolta dati, Raccolta dati regionale. Due minuti.

• Impostate la conservazione dei dati a 14 mesi. GA4, Amministrazione, Impostazioni dati, Conservazione dei dati. È il periodo più breve consentito da Google. Il GDPR richiede che i dati non siano conservati più a lungo del necessario.

• Disattivate la condivisione dei dati con i prodotti Google. GA4, Amministrazione, Impostazioni dati, Condivisione dei dati: deselezionate tutte le caselle. Per impostazione predefinita, Google riceve i vostri dati per migliorare i propri servizi. Per la conformità GDPR questa opzione deve essere disattivata.

• Firmate un Accordo sul trattamento dei dati con Google. Il DPA è disponibile nelle impostazioni del vostro account GA4. Verificate che l'informativa privacy del vostro sito menzioni esplicitamente l'uso di Google Analytics e le finalità del trattamento.

• Verificate i vostri processi di raccolta e archiviazione dei dati. Per le aziende con grandi volumi di traffico questa non è un'opzione, è un requisito. Un auditor confronterà i flussi di dati effettivi con i processi documentati. Una discrepanza tra quanto dichiarato nell'informativa e quanto GA4 raccoglie effettivamente è una strada diretta verso una sanzione.

Un percorso separato per chi non vuole affatto gestire questo rischio: gli strumenti cookieless. Plausible, Fathom, Umami e Swetrix per definizione non raccolgono dati personali. Nessun cookie, nessun obbligo di banner di consenso. Nessun trasferimento di dati verso gli USA, nessun problema Schrems II. Il prezzo: perdete i funnel utente, l'attribuzione Google Ads e la consueta profondità di segmentazione. Per progetti editoriali, blog e piccole imprese questo è spesso un compromesso onesto.

⁉️🤔 Domande frequenti

Google Analytics è completamente vietato in Europa?

No. Singoli paesi UE hanno ritenuto illegittime specifiche implementazioni di GA su specifici siti web. Non esiste un divieto a livello europeo. GA4 con Consent Mode v2, server europei e un banner di consenso valido si trova in una posizione difendibile nel 2026.

È importante capire la portata: le decisioni hanno riguardato casi in cui i dati venivano trasferiti negli Stati Uniti senza misure tecniche di salvaguardia aggiuntive. Il semplice utilizzo di GA4 con uno stack di conformità completo non è mai stato sanzionato finora. Ma questa non è una garanzia: le autorità di controllo lavorano con un ritardo di due o tre anni, e i procedimenti del 2023-2024 non hanno ancora raggiunto la fase decisionale.

In cosa GA4 differisce da Universal Analytics dal punto di vista del GDPR?

In GA4, l'anonimizzazione dell'IP è forzata e non può essere disattivata. Universal Analytics la rendeva opzionale, ed è stato proprio questo il fondamento delle prime decisioni in Austria e Francia. GA4 utilizza un modello basato sugli eventi anziché sulle sessioni, il che riduce il volume di dati personali raccolti. In più, il Consent Mode v2 è obbligatorio.

GA4 è stato progettato architetturalmente per la realtà post-Schrems. Gli indirizzi IP vengono eliminati prima dell'elaborazione, il Consent Mode v2 è diventato obbligatorio da marzo 2024 e l'elaborazione dei dati su server europei riduce la superficie di contestazione. Ma la conformità dipende dalla configurazione: GA4 da solo non rende un sito web conforme al GDPR.

Quanto costa effettivamente una sanzione per violazione del GDPR tramite Google Analytics?

Il limite massimo ai sensi dell'Articolo 83 del GDPR: fino a 20 milioni di euro o al 4% del fatturato annuo globale. Sanzioni registrate per GA: Tele2, 1 milione di euro, CDON, 27.700 euro. L'importo dipende dalla portata delle violazioni, dal volume di dati trattati e dalle misure di salvaguardia dimostrate all'autorità di controllo.

Il precedente svedese ha mostrato che la differenza tra nessuna contestazione e una sanzione da 1 milione di euro è data dal volume di lavoro tecnico e documentale, non dalla scelta dello strumento. Coop e Dagens Industri usavano lo stesso Google Analytics, ma con misure aggiuntive adeguate, e non sono state sanzionate.

Devo usare il Consent Mode v2 se non utilizzo Google Ads?

Sì. Il Consent Mode v2 è obbligatorio per qualsiasi sito web con traffico europeo che utilizzi GA4. Che tu abbia o meno Google Ads è irrilevante. Da marzo 2024, senza Consent Mode v2, GA4 non può raccogliere lecitamente dati sui visitatori europei.

Il Consent Mode v2 gestisce i segnali analytics_storage e ad_storage. Senza un consenso correttamente configurato, GA4 o non raccoglie affatto dati, oppure li raccoglie in violazione del GDPR. Dal punto di vista dell'autorità di controllo, non c'è differenza tra «solo analytics» e «analytics per la pubblicità»: il trattamento dei dati personali richiede il consenso in entrambi i casi.

Cosa succede se il Data Privacy Framework viene invalidato?

La situazione tornerebbe a quella post-Schrems II: le aziende che trasferiscono dati negli Stati Uniti devono basarsi sulle SCC più misure di salvaguardia aggiuntive. La differenza è che GA4 con Consent Mode v2 e server europei è meglio preparato a uno scenario del genere rispetto a quanto lo fosse Universal Analytics nel 2020.

Un'invalidazione del DPF non sarebbe istantanea: le procedure giudiziarie nell'UE richiedono anni e le imprese avrebbero un periodo di transizione. Consiglio pratico: testa per un mese un'alternativa cookieless in parallelo a GA4. Se il DPF dovesse cadere, potrai fare il passaggio in un giorno, invece di un mese di migrazione d'emergenza.

Posso usare GA4 su un sito web in Ucraina e in altri paesi extra-UE?

Tecnicamente sì. Legalmente: il GDPR si applica al trattamento dei dati dei residenti nell'UE, indipendentemente dalla posizione geografica del sito web. Se il tuo sito è visitato da utenti provenienti da Germania, Francia o Polonia, stai trattando i loro dati personali e devi rispettare il GDPR. La geolocalizzazione del server è irrilevante.

Il GDPR è extraterritoriale per progettazione. Un sito web ucraino con un pubblico europeo si trova esattamente nella stessa situazione giuridica di uno tedesco. La differenza pratica sta solo nella probabilità di applicazione: l'IMY svedese non andrà a sanzionare direttamente un'azienda ucraina, ma gli utenti europei possono presentare un reclamo tramite NOYB e l'autorità di controllo locale verrà coinvolta tramite il coordinamento dell'EDPB.

In conclusione: soppesare rischio e azione

GA4 nel 2026 non è né «vietato» né «completamente sicuro». È uno strumento che richiede una configurazione consapevole. Sette paesi UE hanno emesso decisioni contro di esso, è già stata comminata e confermata in appello una sanzione da 1 milione di euro e NOYB continua a fare pressione sulle autorità di controllo. Allo stesso tempo, Google ha costruito uno stack di conformità che non esisteva nel 2020: anonimizzazione IP forzata, Consent Mode v2, server europei, certificazione DPF.

Per il titolare di un sito web, la scelta si riduce a due opzioni. Se hai bisogno della profondità completa di GA4 (funnel, attribuzione, remarketing, integrazione con Google Ads), segui la checklist in otto punti qui sopra, configura ogni voce e dormi sonni tranquilli con una conformità documentata. Se la profondità non è critica e la certezza giuridica conta di più, passa a uno strumento cookieless e chiudi definitivamente la questione GDPR.

La terza opzione, «installare GA4 così com'è e sperare per il meglio», nel 2026 non esiste più. Le autorità di controllo in Europa hanno dimostrato che sanzioneranno per questo. Con soldi veri, non con avvertimenti. La decisione è tua, ma va presa su basi informate.