AlpiStats
AccessoProva gratuita
Blog

Google Analytics è legale in Svizzera?

Il team AlpiStats · Pubblicato il · Aggiornato il

Risposta breve: sì. Nessuna legge svizzera vieta Google Analytics. Dal 15 settembre 2024 i dati possono essere trasferiti a imprese statunitensi certificate nell'ambito dello Swiss-U.S. Data Privacy Framework, a cui Google fa riferimento. Per usarlo legalmente occorrono però tre cose: informare i visitatori (informativa sulla protezione dei dati), permettere loro di rifiutare i cookie di misurazione (art. 45c LTC) e ottenere il loro consenso preventivo se il Suo sito si rivolge anche a visitatori dell'Unione europea. Il quadro giuridico per i trasferimenti resta peraltro fragile.

Ultima verifica delle fonti: 16 ottobre 2026. Testo aggiornato il 17 ottobre 2026 (regime di AlpiStats). Questo articolo ha scopo informativo; non sostituisce una consulenza legale.

Perché la questione si pone

Google Analytics (GA4) installa cookie nel browser del visitatore e invia dati di navigazione a Google LLC, una società statunitense. In Svizzera ciò tocca tre regole diverse:

  1. La legge sulla protezione dei dati (LPD riveduta, detta «nLPD»), in vigore dal 1° settembre 2023: disciplina qualsiasi trattamento di dati personali, compresi gli identificatori dei cookie e gli indirizzi IP.
  2. L'articolo 45c della legge sulle telecomunicazioni (LTC): disciplina in modo specifico la memorizzazione o la lettura di informazioni sul dispositivo di un'altra persona, quindi i cookie.
  3. Le regole sulla comunicazione di dati all'estero (art. 16 e 17 nLPD): si applicano non appena i dati lasciano la Svizzera.

Tra il 2020 e il 2022 diverse autorità europee (in particolare Austria, Francia e Italia) hanno ritenuto illecito l'uso di Google Analytics, per mancanza di una protezione sufficiente negli Stati Uniti. Queste decisioni hanno avuto grande risonanza in Svizzera e alimentano ancora l'idea che «Google Analytics sia vietato». Non è così secondo il diritto svizzero, e da allora la situazione è cambiata.

I trasferimenti verso gli Stati Uniti sono di nuovo possibili

Il 14 agosto 2024 il Consiglio federale ha aggiunto gli Stati Uniti all'elenco degli Stati che offrono un livello di protezione adeguato, per le sole imprese certificate nell'ambito dello Swiss-U.S. Data Privacy Framework (DPF). La modifica dell'ordinanza sulla protezione dei dati è entrata in vigore il 15 settembre 2024. Da allora questi trasferimenti non richiedono più garanzie supplementari.

Google indica di basarsi su questo quadro, dal 16 settembre 2024 e «in determinate circostanze», per i trasferimenti di dati dalla Svizzera verso gli Stati Uniti legati ai suoi prodotti pubblicitari e di misurazione. Per gli altri casi, Google rimanda alle clausole contrattuali standard.

Cosa significa concretamente: il trasferimento in sé non è più l'ostacolo principale. Deve tuttavia essere menzionato nella Sua informativa sulla protezione dei dati, con lo Stato di destinazione e la garanzia utilizzata (art. 19 nLPD).

Un quadro che resta fragile

I due precedenti accordi tra l'Europa e gli Stati Uniti (Safe Harbor nel 2015, Privacy Shield nel 2020) sono stati invalidati dalla Corte di giustizia dell'UE, e la Svizzera ha seguito ogni volta. Il quadro attuale ha resistito a un primo ricorso: il Tribunale dell'UE lo ha convalidato il 3 settembre 2025 (causa Latombe). Il 31 ottobre 2025 è stata proposta impugnazione dinanzi alla Corte di giustizia; per quanto ci risulta, è ancora pendente a ottobre 2026.

Il quadro svizzero è giuridicamente distinto da quello europeo, ma ne è il riflesso. Se la Corte di giustizia annullasse il quadro UE, una messa in discussione anche sul versante svizzero sarebbe probabile. Un sito che dipende interamente da Google Analytics comporta quindi un rischio di interruzione, e non soltanto un rischio giuridico.

L'articolo 45c LTC impone, per i cookie non indispensabili, di informare il visitatore del loro impiego e della loro finalità, e di indicargli che può rifiutarli. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha precisato queste regole in una guida sui cookie pubblicata nel gennaio 2025 e aggiornata il 6 ottobre 2025.

Ne risulta quanto segue per Google Analytics:

  • La misurazione dell'audience può essere giustificata da un interesse preponderante del gestore, a condizione in particolare che i dati siano resi anonimi il prima possibile e che i risultati non permettano di identificare le persone (guida IFPDT, n. 3.8.2).
  • Non dispensa però mai dal diritto di rifiuto previsto dall'art. 45c LTC. Tale diritto deve essere visibile fin dalla prima visita ed esercitabile con pochi clic.
  • Un consenso esplicito (opt-in) diventa necessario se il trattamento arriva fino alla profilazione a rischio elevato o riguarda dati sensibili. L'IFPDT chiede di presumere tale rischio finché non lo si può escludere. Attivare Google Signals, collegare GA4 a Google Ads o incrociare i dati con altre fonti può far rientrare il trattamento in questa categoria.

👉 I dettagli sono spiegati nel nostro articolo Serve un banner cookie in Svizzera?.

Cosa fa GA4 con gli indirizzi IP

Secondo la documentazione di Google, per i visitatori situati nell'UE, in Svizzera o nel Regno Unito, GA4 raccoglie i dati tramite server situati in Europa. L'indirizzo IP serve lì a dedurre una localizzazione approssimativa (paese, regione, città), poi viene eliminato: non viene né registrato né memorizzato. I dati sono poi trasmessi ai server di Analytics per l'elaborazione, senza che Google ne precisi l'ubicazione.

È un reale progresso rispetto alla versione precedente (Universal Analytics). Ciò non basta a rendere anonimi i dati: GA4 continua a usare un identificatore di cookie che riconosce lo stesso browser da una visita all'altra, e questo resta un dato personale ai sensi della nLPD.

Chi è responsabile, e cosa si rischia?

Il gestore del sito è responsabile, non Google. L'IFPDT lo afferma chiaramente: è il proprietario del sito a decidere di integrare lo strumento, e non può scaricare la responsabilità sulle condizioni d'uso del fornitore.

La nLPD prevede sanzioni penali che colpiscono le persone fisiche (dirigenti, responsabili), non l'impresa in quanto tale:

  • fino a CHF 250'000 di multa in caso di violazione intenzionale del dovere di informare (art. 60 nLPD);
  • la stessa multa massima per alcune violazioni del dovere di diligenza, tra cui una comunicazione di dati all'estero non conforme alla legge (art. 61 nLPD).

Questi reati sono perseguiti su querela e giudicati dalle autorità penali cantonali. In pratica, per una PMI il rischio più frequente non è la multa, ma una denuncia da parte di un visitatore, un'inchiesta dell'IFPDT o la richiesta di un cliente (gara d'appalto pubblica, grande cliente, settore sanitario o finanziario) che chiede garanzie.

Checklist: usare Google Analytics in modo conforme in Svizzera

  1. Informativa sulla protezione dei dati: nominare Google come destinatario, indicare gli Stati Uniti come paese di destinazione e lo Swiss-U.S. DPF come garanzia, descrivere le finalità e la durata di conservazione.
  2. Diritto di rifiuto: un link o un banner visibile fin dalla prima visita, che blocchi effettivamente GA4 una volta espresso il rifiuto.
  3. Impostazioni GA4: disattivare Google Signals se non Le serve, limitare i dati granulari di localizzazione e dispositivo per la Svizzera, ridurre la durata di conservazione dei dati al minimo utile, disattivare se possibile la condivisione dei dati con Google.
  4. Contratto di trattamento: accettare le condizioni di trattamento dei dati di Google (Google Ads Data Processing Terms) nell'interfaccia di amministrazione.
  5. Nessun dato personale negli URL: indirizzi e-mail, numeri cliente o token nei parametri degli URL finiscono nei report.
  6. Visitatori dell'UE: se il Suo sito si rivolge anche a loro, introdurre un consenso preventivo (opt-in) prima di caricare GA4. Vedere Sito svizzero e visitatori europei: nLPD o RGPD?.
  7. Piano B: sapere come misurerebbe il Suo pubblico se il quadro dei trasferimenti venisse meno.

Quando valutare un'alternativa?

Google Analytics resta uno strumento molto completo, e gratuito nella sua versione standard. Un'alternativa ha senso se:

  • usa soprattutto i dati di base (visite, pagine visualizzate, fonti, paesi, dispositivi);
  • vuole una gestione del consenso più semplice e meno dipendenza dal quadro dei trasferimenti;
  • i Suoi clienti o il Suo settore richiedono dati ospitati in Svizzera;
  • ritiene l'interfaccia di GA4 troppo complessa per l'uso che ne fa.

Gli strumenti di misurazione ospitati in Svizzera rispondono a questi casi, a condizione di accettarne le regole. AlpiStats, ad esempio, memorizza i dati in Svizzera presso Infomaniak e applica la regola più severa a tutti i visitatori, in Svizzera come nell'UE: misura l'audience solo dopo il consenso del visitatore, in entrambe le modalità, e non effettua alcuna misurazione in caso di rifiuto. La modalità Essenziale misura l'audience (pagine, provenienza, dispositivo, paese) senza identificatore persistente di audience nel browser; la modalità Completa aggiunge il riconoscimento dei visitatori che tornano, grazie a un identificatore casuale, senza cookie, conservato al massimo sei mesi, con visite dettagliate pseudonimizzate. Il visitatore può revocare il proprio consenso in qualsiasi momento tramite un badge permanente. La contropartita è assunta: le statistiche riguardano solo i visitatori che hanno accettato, quindi bisogna aspettarsi cifre più basse rispetto a uno strumento che conta senza attendere il consenso. È possibile farlo funzionare in parallelo a Google Analytics durante un periodo di transizione, il che permette di confrontare. Confrontare AlpiStats e Google Analytics.

Domande frequenti

Google Analytics è vietato in Svizzera?

No. Nessuna decisione svizzera lo vieta. Le decisioni di divieto spesso citate provengono da autorità europee e risalgono al 2022, prima del Data Privacy Framework.

Serve il consenso dei visitatori svizzeri per usare Google Analytics?

In linea di principio no: bastano l'informazione e la possibilità di rifiutare. Un consenso esplicito diventa necessario in caso di profilazione a rischio elevato o di dati sensibili, ed è richiesto per i visitatori dell'UE.

L'anonimizzazione dell'IP di GA4 è sufficiente?

Riduce i rischi, ma non rende anonimi i dati, perché GA4 riconosce i browser da una visita all'altra grazie ai suoi cookie.

Cosa succede se il Data Privacy Framework viene annullato?

I trasferimenti verso Google dovrebbero tornare a basarsi su altre garanzie (clausole contrattuali standard e valutazione dei rischi), come tra il 2020 e il 2024. I siti interessati dovrebbero rivedere rapidamente la propria conformità.

Un'amministrazione pubblica può usare Google Analytics?

L'IFPDT esige il consenso esplicito degli organi federali anche per una profilazione normale. Le amministrazioni cantonali e comunali sottostanno al diritto cantonale, spesso più severo; devono verificare presso il proprio incaricato cantonale.

Fonti

Provi AlpiStats sul Suo sito

30 giorni gratuiti, senza carta. Installazione di base in pochi minuti se ha accesso al Suo sito.

Crea un account