Diciamo subito che no, Google Analytics non è illegale in India. I recenti problemi legali di Google Analytics derivano dal fatto che le autorità europee hanno stabilito che l'uso di Google Analytics costituisce una violazione delle norme GDPR sul trasferimento di dati extraeuropei.
Tuttavia, poiché diversi Stati membri dell'UE hanno ritenuto illegale l'uso di Google Analytics, vale la pena di scavare un po' più a fondo ed esplorare il panorama in evoluzione.
- Quali regole si applicano a Google Analytics in India?
- Posso trasferire dati personali dall'Europa all'India?
- Che cos'è tutto questo clamore intorno a Google Analytics?
- La legislazione sulla privacy in India in generale
- Pensieri finali
Immaginiamo!
Quali regole si applicano a Google Analytics in India?
Il GDPR non si applica in India in quanto non è un membro dell'Unione Europea o dello Spazio Economico Europeo. Tuttavia, le aziende indiane devono comunque rispettare il GDPR se si rivolgono al mercato europeo o monitorano i comportamenti nell'UE (questo include l'utilizzo di Google Analytics per un sito web rivolto a un pubblico europeo).
Al momento non esistono regole ferree sulle politiche dei cookie e sul consenso. Di conseguenza, i cookie possono essere collocati e letti senza raccogliere il consenso e senza fornire alcuna informazione.
Posso trasferire dati personali dall'Europa all'India?
Al momento non esiste una decisione di adeguatezza per l'India. In altre parole, la Commissione europea non ha "dato il via libera" all'India come Paese sicuro per il trasferimento dei dati.
È ancora possibile trasferire dati personali in India, ma sarà più difficile che trasferirli in un Paese dell'UE/SEE o in un Paese coperto da una decisione di adeguatezza.
Che cos'è tutto questo clamore intorno a Google Analytics?
La recente tendenza delle decisioni contro Google Analytics fa parte di un più ampio puzzle legale sui trasferimenti di dati tra il SEE e gli Stati Uniti. La questione non coinvolge direttamente l'India, ma riguarda i siti web indiani che utilizzano Google Analytics, a condizione che si rivolgano al mercato e al pubblico europeo. Ne abbiamo scritto ampiamente sul nostro blog, quindi ecco una breve versione.
La questione centrale è la sorveglianza di Stato. Secondo il GDPR, i dati personali europei possono essere trasferiti in modo sicuro solo al di fuori del SEE. Questo è difficile per i trasferimenti di dati dagli Stati Uniti, perché il quadro giuridico statunitense consente una sorveglianza estesa e invasiva dei dati dei cittadini stranieri. Supponiamo che un'azienda indiana raccolga i dati personali degli utenti nell'UE con Google Analytics. In questo caso, i dati saranno trasferiti negli Stati Uniti per essere elaborati da Google, il che crea il rischio che i dati siano soggetti a sorveglianza da parte delle agenzie statunitensi.
Due diversi quadri per il trasferimento dei dati (Safe Harbor e Privacy Shield) tra l'UE e gli Stati Uniti hanno reso possibili in passato trasferimenti di dati conformi al GDPR, ma entrambi i quadri sono stati invalidati dalla Corte di giustizia dell'UE nelle cause Schrems I e II. Un terzo quadro è in arrivo, ma sicuramente dovrà affrontare una sfida legale. Con la sentenza Schrems III già all'orizzonte, il futuro dei flussi di dati tra UE e USA rimane incerto.
Nel frattempo, le aziende devono ricorrere a diversi strumenti legali (tipicamente le clausole contrattuali standard) per trasferire legalmente i dati negli Stati Uniti ai sensi del GDPR. Tuttavia, il problema di questi strumenti è che non offrono alcuna protezione contro la sorveglianza dello Stato. Per questo motivo, nella causa Schrems II la Corte di giustizia ha chiarito che tali strumenti devono essere integrati da ulteriori misure di tutela della privacy ogni volta che i dati vengono inviati in Paesi "non sicuri". Ciò è difficile e del tutto impossibile per i trasferimenti richiesti da alcuni servizi basati su cloud come Google Analytics (ne abbiamo scritto qui). La sorveglianza dello Stato è quindi il motivo per cui trasferire dati in India è tipicamente meno complicato che trasferirli negli Stati Uniti, anche se una decisione di adeguatezza non riguarda nessuno dei due Paesi.
Dopo la sentenza Schrems II del 2020, la maggior parte delle aziende ha continuato a lavorare come sempre con i fornitori di servizi con sede negli Stati Uniti. Nel frattempo, le autorità di protezione dei dati coordinarono il loro approccio ai trasferimenti di dati a livello europeo. Di conseguenza, le autorità austriache, francesi, italiano e ungherese le DPA si sono pronunciate contro l'uso di Google Analytics in decisioni simili. Anche la DPA danese ha assunto una posizione rigorosa in un comunicato stampa. Tutte le decisioni equivalgono praticamente a un divieto a livello statale, come abbiamo spiegato qui. Altre DPA probabilmente seguiranno l'esempio e adotteranno una posizione più dura nei confronti di Google Analytics.
La legislazione sulla privacy in India in generale
La giurisprudenza della Corte Suprema indiana riconosce la privacy come diritto fondamentale. Tuttavia, al momento l'India non dispone di una legge completa sulla protezione dei dati. Diversi statuti, tra cui l'Information Technology Act, prevedono alcune norme sulla protezione dei dati.
All'inizio dell'anno è stata introdotta in Parlamento una legge federale sulla privacy, poi ritirata. Il governo indiano ha recentemente pubblicato la bozza di una nuova legge federale sulla privacy.
Pensieri finali
Che Google Analytics sia illegale o meno in India, sicuramente non è rispettoso della privacy dei visitatori del vostro sito web. In un mondo in cui la sorveglianza statale e la cattiva condotta monopolistica sono più evidenti che mai, noi lottiamo per un Internet indipendente.
Con Simple Analytics, potete comunque raccogliere informazioni e scoprire opportunità dalle analisi del vostro sito web senza utilizzare cookie o raccogliere dati personali. Volete vedere come si presenta? Date un'occhiata alla nostra dashboard live qui.
Se tutto questo vi colpisce, provateci. È gratis.