Google Analytics è conforme al GDPR?

Google Analytics 4 si può usare legalmente nell'UE, ma comporta obblighi che gli strumenti senza cookie evitano. Questa pagina riassume la situazione a ottobre 2026. Contiene informazioni generali, non consulenza legale.

Il consenso è obbligatorio

GA4 imposta cookie (_ga e _ga_<id>, conservati fino a due anni) per riconoscere i visitatori di ritorno. Secondo le norme UE serve il consenso preventivo del visitatore, e le norme di Google sul consenso degli utenti dell'UE impongono ai siti di ottenerlo. In pratica: un banner dei cookie, e GA4 si carica solo dopo che il visitatore ha accettato.

Trasferimenti verso gli Stati Uniti

Google LLC è un'azienda statunitense. Tra il 2020 e il 2023 diverse autorità dell'UE hanno stabilito che l'uso di Google Analytics violava il GDPR perché i dati arrivavano negli USA senza una protezione adeguata. A luglio 2023 l'UE ha adottato l'EU-US Data Privacy Framework e Google è certificata nel suo ambito, il che rende di nuovo lecito il trasferimento.

Il framework non è una questione chiusa. Un ricorso contro di esso (causa T-553/23, Latombe) è stato respinto dal Tribunale dell'UE a settembre 2025 ed è ora in appello davanti alla Corte di giustizia. Se il framework cade, come è successo ai suoi predecessori nel 2015 e nel 2020, la questione si ripresenta.

Conservazione dei dati

GA4 conserva i dati a livello di evento per 2 o 14 mesi, a seconda della tua impostazione. I report standard aggregati non sono interessati.

Cosa significa per te

• Tieni GA4 subordinato al consenso e accetta che i visitatori che rifiutano manchino dai tuoi report.
• Documenta il trasferimento a Google nella tua informativa sulla privacy e nei tuoi registri.
• Segui l'appello Latombe.

Oppure usa analytics che non impostano cookie, non conservano dati personali e salvano tutto nell'UE, così nulla di quanto sopra si applica. È quello che fa Statsdot; vedi Statsdot vs Google Analytics.