Google Analytics e consenso ai cookie

La gestione del consenso in Google Analytics è complicata. Le regole per il consenso dei cookie variano da Paese a Paese. E anche quando si riesce a capire quali regole si applicano, può essere complicato impostare Google Analytics in modo conforme.

Michelin chose Simple AnalyticsJoin them

Ecco come iniziare con Google Analytics e il consenso dei cookie!

Il consenso per i cookie è un campo minato. Nell'UE la situazione è abbastanza chiara: la Direttiva ePrivacy e il GDPR richiedono il consenso opt-in per i cookie.

Lo stesso vale per lo Spazio economico europeo, perché il GDPR si applica anche ai membri del SEE (leggi: tutti i paesi dell'UE più Islanda, Liechtenstein e Norvegia). Questo vale anche per paesi come il Regno Unito e il Brasile, che hanno leggi sulla privacy strettamente allineate al GDPR.

Altri Paesi hanno regole più permissive: ad esempio, la legge statunitense non prevede l'obbligo di consenso opt-in o addirittura opt-out, anche se le leggi statali hanno talvolta regole più restrittive. Ad esempio, il CCPA prevede un'opzione di opt-out, ma solo per alcuni siti web.

La situazione è ancora più confusa, perché a volte la legge richiede il consenso in alcune situazioni, ma non in altre. Ad esempio, il COPPA statunitense limita le possibilità di utilizzo dei cookie nel monitoraggio dei bambini.

In conclusione, si tratta di una questione complicata e la risposta dipende sia dalla legislazione che dallo scenario in questione. Ma per l'UE la risposta è chiara: Google Analytics richiede il consenso nell'UE. Abbiamo anche creato una mappa interattiva che fornisce informazioni per paese.

È necessario il consenso anche per Google Analytics 4?

Sì, almeno nell'UE**.** Google Analytics 4 non è una soluzione senza cookie. Non supporta i cookie di terze parti, ma utilizza comunque cookie di prima parte che richiedono il consenso ai sensi della normativa UE.

Si noti che gli strumenti di analisi dei siti web rispettosi della privacy, come Simple Analytics, non richiedono il consenso e quindi non è necessario un cookiebanner.

Come si raccoglie il consenso?

Il modo più pratico per raccogliere il consenso è un banner sui cookie. Questo banner deve fornire informazioni chiare sullo scopo dei cookie e offrire un'opzione chiara e semplice per rifiutarli.

Per gestire il consenso, i siti web si affidano in genere a software di terze parti, chiamati piattaforme di gestione del consenso (CMP). Fortunatamente, la maggior parte delle CMP sono integrate con Google Analytics, quindi non è difficile farle funzionare insieme.

Si noti che il consenso dell'UE è sempre, senza eccezioni, un consenso opt-in. In pratica, il visitatore deve cliccare su una sorta di pulsante "sì, dammi i cookie". L'opzione di opt-out non è sufficiente!

Come si raccoglie il consenso in Google Analytics?

Utilizzate una piattaforma di gestione del consenso (CMP): implementate una CMP sul vostro sito web. Questa piattaforma mostrerà agli utenti un banner di consenso e consentirà loro di scegliere le proprie preferenze in merito all'utilizzo dei cookie e alla raccolta dei dati.
Configurare la CMP: spetta a voi assicurarvi che la vostra CMP sia configurata in modo conforme al GDPR! Non date per scontato che il lavoro sia finito solo perché avete un CMP. Tra le altre cose, dovete assicurarvi che il vostro banner sui cookie offra una chiara opzione per rifiutarli e fornisca informazioni trasparenti sul loro utilizzo.
Configurare GA4 per la modalità di consenso: In GA4 è possibile attivare la modalità di consenso, che consente di regolare il comportamento di Google Analytics in base al consenso dato dall'utente. Questa operazione può essere effettuata nelle impostazioni delle proprietà di GA4.
Modificare la configurazione di GA4: Adattare la configurazione di GA4 per rispettare le scelte di consenso degli utenti. In genere si tratta di modificare il tag analytics del sito web per verificare lo stato del consenso prima dell'invio. Ad esempio, utilizzando Google Tag Manager, è possibile impostare dei trigger basati sullo stato del consenso.
Testare l'implementazione: Infine, assicuratevi di testare a fondo la vostra implementazione per garantire che analytics si comporti correttamente in base al consenso fornito.
Revisione e aggiornamento regolari: le leggi e le normative possono cambiare, quindi è necessario rivedere e aggiornare regolarmente il processo di gestione del consenso.

La fase 4 dipende dalle integrazioni di CMP e Google Analytics utilizzate, pertanto non esiste un unico script da copiare e incollare. Consultate la documentazione di Google Analytics e del vostro CMP per sapere quale codice vi serve nel vostro caso specifico. Tuttavia, una regola generale è che il sito web deve richiamare il codice di consenso prima di inserire i cookie. In caso contrario, i cookie verranno inseriti indipendentemente dalle preferenze dell'utente, il che è illegale in alcuni Paesi.

Come posso impostare un pulsante "non vendere" in Google Analytics?

Alcune leggi sulla privacy, come la CCPA, richiedono un'opzione di opt-out per la vendita di informazioni personali. Ecco come è possibile implementare un'opzione di opt-out:

Sviluppate un meccanismo sul vostro sito web (come un pulsante o un link nella pagina dell'informativa sulla privacy) che consenta agli utenti di esprimere il proprio desiderio di rinunciare al tracciamento di Google Analytics.
Utilizzate l'API JavaScript di Google Analytics per rispettare questa scelta di opt-out. Quando un utente rinuncia, è possibile impostare un flag nel cookie o nella memoria locale del sito web per ricordare questa preferenza e modificare il codice di tracciamento di Google Analytics per verificare la presenza di questo flag di rinuncia prima di inviare i dati.
In alternativa, è possibile utilizzare una soluzione basata sui cookie, in cui l'impostazione di un cookie specifico indica al JavaScript di Google Analytics di non inviare alcuna informazione a Google Analytics per quell'utente.

Inutile dire che è necessario assicurarsi che questa soluzione funzioni con qualsiasi integrazione CMP o GA in uso.

Ancora una volta, questa soluzione non è conforme alla legge dell'UE. Il GDPR e la Direttiva ePrivacy richiedono il consenso opt-in!

Come faccio a rispettare le richieste di non tracciamento in Google Analytics?

Google Analytics non riconosce automaticamente le richieste di non tracciamento, il che è piuttosto irritante. È quindi necessario rimboccarsi le maniche e fare il lavoro da soli:

Rilevare le impostazioni DNT: Per prima cosa, utilizzate JavaScript per rilevare se l'utente ha abilitato il DNT nel proprio browser. È possibile verificare lo stato del DNT utilizzando navigator.doNotTrack in JavaScript, che restituisce 1 se il DNT è abilitato.
Caricare condizionatamente GA4: prima di inizializzare il codice di tracciamento GA4, richiamare una funzione per determinare se il DNT è abilitato. Se lo è, saltare l'inizializzazione di GA4.
Gestione lato server: In alternativa, è possibile gestire lo stato DNT sul lato server. Se viene rilevata una richiesta DNT, il server può modificare la pagina per non includere il codice di tracciamento GA4 o per includere una versione modificata che disabiliti l'invio dei dati.

Non c'è alcun obbligo di rispettare le richieste DNT per gli utenti dell'UE, ma se volete farlo comunque, vi suggeriamo di gestire lo stato DNT sul lato server. Il rilevamento del DNT tramite JavaScript è un po' problematico ai sensi della Direttiva ePrivacy ed è meglio scegliere la prudenza.

Tutto questo sembra inutilmente complicato

Google ha deciso di non occuparsi della gestione del consenso in Google Analytics, lasciando al cliente il compito di trovare un CMP conforme e di capire come integrarlo con Google Analytics.

Questo ha alcuni vantaggi: offre al cliente una grande flessibilità e la possibilità di gestire la gestione del consenso internamente, se dispone del know-how necessario. D'altro canto, rende Google Analytics più difficile da usare, perché nessun codice copia-incolla può far funzionare GA con i CMP e le integrazioni di loro scelta.

Come si configura correttamente un CMP?

Tenete presente che l'utilizzo di una CMP non garantisce la raccolta di un consenso valido. Un CMP vi fornisce gli strumenti necessari per gestire il consenso, ma spetta a voi configurarlo correttamente.

Ad esempio, per essere conformi al GDPR, è necessario che:

spiegare chiaramente a cosa servono i cookie
fornire un link alla vostra informativa sulla privacy
offrire un pulsante di "rifiuto" ben visibile sul primo livello.

I requisiti possono essere diversi per altre legislazioni. Ad esempio, la California non ha regole di consenso opt-in, ma alcuni siti web (non tutti! Si veda il nostro blog) sono tenuti a rispettare i segnali "do-not-track" e a offrire un'opzione di opt-out per la vendita di dati (e sì, questo include le analisi web!).

La maggior parte dei CMP giura di essere pronta all'uso e già configurata per conformarsi a determinate legislazioni, ma è comunque meglio fare attenzione: in passato alcuni CMP hanno giocato un po' con le regole.

In conclusione:

capire quali sono i requisiti da rispettare
assicurarsi che il CMP soddisfi tali requisiti

Infrangendo la legge, semplicemente.

I fornitori di CMP vorrebbero farvi credere che esiste una formula magica segreta per ottenere un banner cookie conforme al GDPR con tassi di opt-in altissimi, ma non è così che funziona. Ci sono diversi trucchi che si possono usare per aumentare i tassi di opt-in, ma sono nel migliore dei casi loschi e nel peggiore illegali.

Le autorità di regolamentazione europee hanno preso posizione sulla spinosa questione del design dei banner dei cookie e hanno chiarito che molti trucchi di design ampiamente abusati costituiscono una violazione del GDPR. Se volete rispettare la legge, non nascondete il pulsante "rifiuta tutto" in un secondo o terzo livello della vostra informativa sui cookie. Non costringete gli utenti a "personalizzare" le loro preferenze, in modo da poter proporre loro venti impostazioni diverse, sperando che si stanchino e facciano clic su "accetta tutto". Non nascondete il pulsante "rifiuta" con caratteri piccoli o a basso contrasto e non offrite opzioni stupide come "salva".

Un banner sui cookie conforme al GDPR offre all'utente un'opzione visibile, immediatamente disponibile e chiaramente formulata per rifiutare i tracker non necessari. Questo tipo di banner vi darà anche un basso tasso di opt-in perché le persone non amano essere tracciate. Per saperne di più sull'analisi dei siti web senza cookie , cliccate qui.

Pensieri finali

In poche parole: c'è un compromesso tra la conformità al GDPR e le percentuali di opt-in. Non c'è un modo intelligente per aggirarlo.

L'impostazione di Google Analytics è più complicata del necessario e può essere piuttosto onerosa per le organizzazioni più piccole. Simple Analytics è una soluzione più intuitiva e rispettosa della privacy! È possibile installarlo e configurarlo con poche righe di codice. Grazie alla sua intuitiva interfaccia utente e all'assistente AI integrato, potrete iniziare a lavorare in pochissimo tempo.

Siamo inoltre orgogliosi che il nostro prodotto sia rispettoso della privacy e conforme al GDPR! Vi forniamo tutti gli approfondimenti di cui abbiamo bisogno senza raccogliere dati personali. Questa politica rispetta la privacy dell'utente e previene qualsiasi problema di conformità!

Se vi sembra una buona idea, non esitate a provarci!