Nel corso di questo mese diversi sono stati gli spunti di riflessione emersi sulla questione di diritto portata avanti dall’attivista digitale Federico Leva, che ha in un certo senso forzato l’applicazione del GDPR, chiedendo a un numero sterminato di gestori di siti web  di rimuovere tutti i dati in loro possesso, tracciati attraverso Google Analytics. La risposta, confezionata dagli esperti del nostro Studio, giunge entro le tempistiche previste dal Regolamento, ossia 30 giorni dalla ricezione della richiesta.

Riteniamo utile condividerne la bozza, considerando che si tratta di un’azione senza precedenti a livello nazionale anche per prevenire l’emulazione di future forme di estremizzazione che ribaltino il senso del diritto alla cancellazione dei dati, peraltro attraverso un’azione di spamming, realizzata attraverso strumenti automatizzati.

Nella risposta a Leva che leggerete qui di seguito, sono presenti due elementi che riteniamo opportuno sottolineare:

• la necessità di acquisire ulteriori informazioni, per poter assolvere correttamente alla richiesta cancellazione;
• l’addebito di un contributo spese, in considerazione dei costi che il Titolare dovrà sostenere per intraprendere le azioni richieste.

 

Testo della e-mail

“Gentile Sig. Leva,

riscontriamo la Sua richiesta in qualità di Titolari del trattamento dei dati personali degli utenti del sito xxx (di seguito, anche solo “Sito web”).

In primo luogo, per poter procedere nel fornirLe riscontro, abbiamo necessità di identificarLa correttamente; quindi, le chiediamo di fornirci copia di un suo documento identificativo ad integrazione della richiesta. Per quanto attiene al trattamento dei dati personali effettuati per il tramite dello strumento Google Analytics, Le rappresentiamo che è stata attivata, da tempo, l’opzione “IP-Anonymization” che consente l’oscuramento parziale dell’indirizzo IP degli utenti. Di conseguenza, non è possibile associare in maniera univoca l’indirizzo IP da Lei indicato al dispositivo utilizzato per accedere al Sito web. Per la stessa ragione, ogni altra informazione raccolta tramite Google Analytics e, in particolare, il browser utilizzato, data e ora della navigazione, potrebbe essere associata a numerosi indirizzi IP corrispondenti, nei primi due ottetti, a quello che Lei dichiara essere attribuibile alla Sua utenza.

Per poter procedere alla cancellazione dei Suoi dati personali, pertanto, abbiamo necessità di acquisire ulteriori informazioni che ci consentano di identificarLa in maniera univoca come utente del sito web xxx, evitando di rimuovere dati riferibili a soggetti terzi. A tal fine, Le chiediamo di indicarci, in relazione a tutti gli accessi da Lei effettuati al Sito web, il Client ID utilizzato, la data e l’ora esatta di inizio e fine navigazione, pregandoLa di indicare l’ora UTC anziché il fuso orario del Suo account, e il browser utilizzato in ogni sessione di navigazione. Riteniamo opportuno anticiparLe sin d’ora, ad ogni buon conto, che le Sue richieste sono connotate da un grado di tecnicismo che eccede le competenze medie di un Titolare del trattamento che non abbia specifica formazione in campo informatico. Allo stesso modo, il riscontro alle stesse richieste implica un impegno eccessivo rispetto ai compiti ordinariamente attribuiti ai nostri collaboratori. È il caso di aggiungere, d’altra parte, che la dichiarata strumentalità delle richieste da Lei formulate, con riferimento a trattamenti derivanti da accessi massivi e automatizzati a un numero elevatissimo di siti web, fa dubitare della genuinità e della validità delle ragioni che ne sono alla base, certamente estranee alla ratio di protezione della Sua persona con riguardo al trattamento dei dati personali, su cui dovrebbero essere fondate. Per queste ragioni, ci riserviamo di avvalerci della facoltà, riconosciuta dall’art. 12, par. 5, lett. a) del Regolamento (UE) 679/2016, di addebitarLe un contributo spese commisurato ai costi amministrativi che dovremo sostenere per intraprendere le azioni da Lei richieste, anche in considerazione del fatto che nella Sua prima richiesta non ci ha messo nelle condizioni di procedere con la cancellazione, mancando gli elementi essenziali per identificarLa.

Inoltre, ci appare doveroso chiederLe, a nostra volta, evidenza delle modalità di raccolta dei nostri dati personali e delle procedure impiegate per accedere al Sito web e per inoltrare le Sue richieste.

Ci permettiamo di far presente, infine, l’irrealizzabilità della richiesta, sub 4) della Sua comunicazione, “di interrompere immediatamente ogni trattamento di tali dati personali connessi al mio uso (…) futuro del vostro sito”. Le suggeriamo, ove abbia piacere di visitare nuovamente il Sito web, di non prestare il consenso al posizionamento sul Suo browser dei cookies di Google Analytics, o di deselezionare la pregressa accettazione degli stessi, tramite lo strumento di gestione delle preferenze, accessibile selezionando l’apposito comando collocato in basso a destra di ogni pagina dello stesso Sito web.”

 

Per approfondire, ti segnaliamo anche:

Rassegna articoli

“Non solo Analytics, i servizi di Google e non solo rischiano di essere illegittimi” – intervista all’Avv. Andrea Lisi

Da Google Analytics a Microsoft 365: il web in Europa è a un punto di svolta?

Il Garante mette al bando Google Analytics: l’intervista all’Avv. Andrea Lisi

 

Video

Google Analytics è a rischio non conformità al GDPR? – L’intervista dell’Avv. Andrea Lisi per ACEF

 

DIGEAT +

Divieto di trasferimento dei dati all’estero: una riflessione sull’ astrattismo della giurisprudenza europea

Come gestire le problematiche legate a Google Analytics. Microsoft 365, Fanpage di Facebook & servizi simili

Da DPO a DPO: il caso della PEC su Google Analytics