Al termine dell'istruttoria avviata dal Garante Privacy in coordinamento con i Garanti europei, l'Autorità ha adottato il primo di una lunga serie di provvedimenti nei confronti di Caffeina Media s.r.l. che gestisce un sito web con l'utilizzo del servizio Google Analytics, raccogliendo una serie di informazioni poi oggetto di trasferimento verso gli Stati Uniti, ove non vige un livello adeguato di protezione dei dati degli utenti.

L'istruttoria era stata avviata a causa di una serie di reclami dai quali era emerso che i gestori dei siti web che facevano uso di Google Analytics raccoglievano attraverso cookie informazioni sulle interazioni degli utenti con tali siti, le pagine visitate ed i servizi proposti e in seguito il tutto veniva trasferito agli Stati Uniti. Come afferma il Garante, tale trattamento dei dati è illecito, evidenziando che l'indirizzo IP è un dato personale e anche qualora venisse troncato non diverrebbe un dato anonimo perché Google sarebbe in grado di arricchirlo con altri dati di cui è in possesso.

Il Garante Privacy ha spiegato che l'illiceità del trattamento risiede nella possibilità delle Autorità governative e delle agenzie di intelligence statunitensi di accedere ai dati personali così trasferiti in assenza delle dovute garanzie, considerando che, alla luce delle indicazioni fornite dall'EDPB con la Raccomandazione n. 1/2020, le misure che integrano gli strumenti di trasferimento utilizzate da Google non assicurano al momento un livello adeguato di protezione dei dati degli utenti.

In conclusione, dunque, i siti web che utilizzano il servizio Google Analytics senza le garanzie previste dal Regolamento UE violano la normativa sulla privacy.