Posso ancora usare Google Analytics sul mio sito in Italia nel 2026?

Sì, con il quadro legale attuale non violi il provvedimento del Garante del 2022: quel provvedimento riguardava l'assenza di una base giuridica valida per il trasferimento dei dati negli Stati Uniti, e dal 10 luglio 2023 quella base giuridica esiste, il Data Privacy Framework UE-USA, confermata nei tribunali europei nel settembre 2025. Resta comunque un quadro in evoluzione, non chiuso per sempre: vale la pena tenerlo d'occhio nei prossimi mesi.

Cosa aveva deciso esattamente il Garante nel 2022?

Il 9 giugno 2022 il Garante ha ammonito un gestore di siti web (Caffeina Media S.r.l.) perché Google Analytics trasferiva i dati dei visitatori verso gli Stati Uniti senza una base giuridica adeguata, dopo che la Corte di Giustizia dell'Unione Europea aveva invalidato l'accordo Privacy Shield nel 2020. Ha dato novanta giorni per adeguarsi, altrimenti avrebbe ordinato la sospensione dei flussi verso gli Stati Uniti, e provvedimenti simili sono seguiti per altri siti nei mesi successivi.

Devo comunque mostrare un banner per il consenso ai cookie di Google Analytics?

Nella grande maggioranza dei casi sì, ed è una questione distinta dal trasferimento dei dati. Le linee guida del Garante sui cookie esentano dal consenso i cookie statistici di terze parti solo se il fornitore non combina i dati con altre elaborazioni né li trasmette ad altri soggetti, una condizione difficile da documentare per un fornitore con le dimensioni di Google. Il banner cookie resta quindi necessario a prescindere da come evolve la vicenda del Data Privacy Framework.

Perché la base giuridica del 2023 potrebbe cambiare di nuovo?

Perché è sotto attacco su due fronti aperti fra il 2025 e il 2026. In Europa, un ricorso contro la decisione di adeguatezza è pendente davanti alla Corte di Giustizia dell'Unione Europea, dopo che il Tribunale dell'Unione Europea lo aveva respinto nel settembre 2025. Negli Stati Uniti, una sentenza della Corte Suprema del 29 giugno 2026 ha indebolito l'indipendenza della Federal Trade Commission, uno dei presupposti su cui si regge l'accordo, spingendo l'organizzazione noyb a chiedere alla Commissione Europea un ritiro ordinato del quadro.

Se il Data Privacy Framework dovesse essere annullato, cosa cambierebbe per il mio sito?

Tornerebbe a mancare una base giuridica diretta per il trasferimento dei dati verso gli Stati Uniti tramite Google Analytics, la stessa situazione contestata dal Garante nel 2022, a meno che non vengano adottate nel frattempo altre misure. Non è una previsione che si può fare oggi con certezza, perché dipende dall'esito di un ricorso ancora pendente: è un motivo in più per non considerare la questione chiusa quando si rivede la configurazione del sito.

BlogGuide

Google Analytics e la privacy: cosa è cambiato per un sito italiano

25 ottobre 2026

Un uomo con gli occhiali esamina e raccoglie dei fogli stampati su una scrivania, in un ufficio con una lampada da tavolo e tende chiare sullo sfondo

Aggiungi alle fonti preferite di Google

Un clic, e Google ti mostrerà i miei articoli più spesso fra i tuoi risultati.

Nel 2022 il Garante per la protezione dei dati personali aveva dichiarato illecito l'uso di Google Analytics così come configurato sulla maggior parte dei siti italiani. È la notizia che molti titolari di attività ricordano ancora, e che spesso diventa un'unica domanda quando si torna a parlare di Analytics oggi: si può ancora usare o no? La risposta è cambiata almeno due volte dal 2022, ed è di nuovo in discussione nel 2026: ecco cosa risulta con certezza a oggi.

Cosa aveva deciso il Garante nel 2022

Il 9 giugno 2022 il Garante ha ammonito Caffeina Media S.r.l. per il trattamento illecito dei dati dei visitatori del proprio sito, raccolti tramite Google Analytics (provvedimento n. 9782890, comunicato il 23 giugno 2022). Il problema non era lo strumento in sé, ma il trasferimento dei dati verso gli Stati Uniti: dopo che la Corte di Giustizia dell'Unione Europea aveva invalidato nel 2020 l'accordo Privacy Shield (sentenza Schrems II), mancava una base giuridica valida per quel trasferimento, e le misure aggiuntive adottate da Google non bastavano, secondo il Garante, a garantire una protezione equivalente a quella europea. Il Garante ha dato alla società novanta giorni per adeguarsi, pena la sospensione dei flussi di dati verso gli Stati Uniti, e provvedimenti simili sono seguiti per altri gestori di siti italiani nei mesi successivi (fonte: Garante per la protezione dei dati personali, provvedimento n. 9782890 del 9 giugno 2022, consultato il 25 ottobre 2026).

Il 2023 cambia la base legale

Il problema individuato dal Garante riguardava la base giuridica del trasferimento, non lo strumento in quanto tale, ed è proprio quella base giuridica che è cambiata l'anno successivo. Il 10 luglio 2023 la Commissione Europea ha adottato una nuova decisione di adeguatezza per gli Stati Uniti, il Data Privacy Framework UE-USA (decisione di esecuzione (UE) 2023/1795), che consente il trasferimento di dati personali verso le aziende statunitensi certificate secondo questo schema. Google figura tra le aziende certificate. Da quella data in poi, un sito che usa Google Analytics con una configurazione coperta dalla certificazione del fornitore smette di avere il problema specifico che il Garante aveva contestato nel 2022 (fonte: Commissione Europea, decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023, consultata il 25 ottobre 2026).

I tribunali hanno confermato la decisione, per ora

Non è rimasta una decisione politica priva di controlli: è stata messa alla prova nei tribunali. Il 3 settembre 2025 il Tribunale dell'Unione Europea ha respinto il ricorso del parlamentare francese Philippe Latombe contro la decisione di adeguatezza, confermandone la validità, comprese le garanzie di indipendenza del meccanismo di ricorso previsto per i cittadini europei (causa T-553/23). Latombe ha presentato appello alla Corte di Giustizia dell'Unione Europea il 31 ottobre 2025 (causa C-703/25 P), e Microsoft è stata ammessa a intervenire nel procedimento a sostegno della Commissione. Alla data di questo articolo l'appello risulta ancora pendente, senza una sentenza (fonti: Tribunale dell'Unione Europea, causa T-553/23, 3 settembre 2025; Corte di Giustizia dell'Unione Europea, causa C-703/25 P, consultate il 25 ottobre 2026).

Un fronte nuovo, aperto a metà 2026

Mentre l'appello Latombe era ancora pendente, si è aperto un secondo fronte dall'altra parte dell'Atlantico. Il 29 giugno 2026 la Corte Suprema degli Stati Uniti, nella causa Trump v. Slaughter, ha stabilito che i commissari della Federal Trade Commission non godono più della tutela contro la rimozione per volontà del presidente, superando un precedente in vigore dal 1935. Il giorno successivo l'organizzazione per la privacy noyb ha inviato una lettera formale alla Commissione Europea, sostenendo che quella sentenza intacca uno dei presupposti su cui si regge la decisione di adeguatezza, cioè l'indipendenza della vigilanza statunitense, ed estendendo lo stesso ragionamento al meccanismo di ricorso creato per i cittadini europei. noyb ha chiesto un ritiro ordinato del Data Privacy Framework, con l'avvertimento di un nuovo ricorso alla Corte di Giustizia entro poche settimane se la Commissione non agisce (fonte: noyb, lettera alla Commissione Europea del 30 giugno 2026, consultata il 25 ottobre 2026).

Cosa significa oggi per chi ha un sito

A oggi, 25 ottobre 2026, la decisione di adeguatezza resta formalmente in vigore: non è stata né revocata dalla Commissione né annullata da un tribunale. Il Comitato Europeo per la Protezione dei Dati ha chiesto formalmente alla Commissione di valutare l'impatto della sentenza americana, ma né la Commissione né il Comitato hanno finora dato indicazioni di sospendere l'uso del quadro. Per chi gestisce un sito italiano, questo si traduce in una situazione concreta: usare Google Analytics oggi non viola il divieto del 2022, perché il problema specifico di allora ha una base giuridica valida dal 2023, confermata una volta nei tribunali. Ma quella base giuridica è sotto attacco su due fronti insieme, ed è già cambiata due volte in meno di quattro anni: trattarla come un punto fermo per sempre sarebbe un errore tanto quanto considerare ancora valido il divieto del 2022.

Il consenso resta un problema distinto

C'è un secondo livello, separato dalla questione del trasferimento dei dati, che riguarda ogni sito a prescindere da come si risolverà la vicenda del Data Privacy Framework: il consenso per i cookie di Google Analytics. Le linee guida del Garante sui cookie (provvedimento n. 231 del 10 giugno 2021) esentano dal consenso i cookie statistici di terze parti solo se ricorrono insieme tre condizioni: una parte significativa dell'indirizzo IP viene mascherata, i dati restano limitati a statistiche aggregate su quel singolo sito, e il fornitore si impegna a non combinarli con altre elaborazioni né a trasmetterli ad altri soggetti. La terza condizione è quella più difficile da documentare per un fornitore come Google, che offre decine di altri servizi: per questo, nella pratica, la maggior parte dei siti italiani continua a richiedere il consenso per Analytics tramite il banner cookie, indipendentemente da come evolve la questione del trasferimento (fonte: Garante per la protezione dei dati personali, provvedimento n. 231 del 10 giugno 2021, consultato il 25 ottobre 2026).

Chi sta scrivendo o aggiornando l'informativa privacy del proprio sito trova questi due punti, il trasferimento dei dati e il consenso cookie, tra le informazioni che servono prima di mettersi a scrivere il testo: è lì che vanno documentati, non in un articolo di cronaca legale. Se vuoi verificare se il tuo sito è ancora allineato su questi due aspetti, se ne può parlare dentro il check-up digitale; altrimenti scrivimi.