Google Analytics en la UE, contexto legal y posibles soluciones

Como es sabido por la comunidad, Google Analytics pasa por ciertos problemas legales en cuanto a la transferencia internacional de datos de ciudadanos de la UE a EE. UU. Ya que las agencias de protección de datos consideran ilegal dicha transmisión por ser contrario al derecho europeo.

Este tema lleva varios meses desarrollándose y preocupando a las empresas que operan en la UE con plataformas como Google Analytics. Es por ello que, os traemos algunos posts sobre Privacidad en el que os daremos visibilidad del contexto de la situación y posibles soluciones, las alternativas de mercado que recomendamos desde Improving Metrics y comentaremos sobre el retraso de la desaparición de las cookies y sus implicaciones para el mercado europeo. ¡Comencemos!

¿Cómo hemos llegado a una situación que pone en riesgo el uso de GA en la UE?

Desde que en 2018 fue publicado el Reglamento General de Protección de Datos (RGPD), la privacidad y el tratamiento de datos personales de los usuarios en Internet ha cobrado real importancia y ha generado inconvenientes al respecto de la actividad que realizan empresas internacionales en la Unión Europea. Hablamos de gigantes tecnológicos como Google, Meta, Amazon, entre otros.

A propósito de Google y del tema que nos interesa, la Analítica Digital, vamos a repasar cómo hemos llegado a este escenario.

En 2020, el Tribunal de Justicia de la Unión Europea decidió declarar invalido el acuerdo de 2016 Privacy Shield, (que compartía algunas de las reglas establecidas en el RGPD), por anomalías en la transferencia de datos entre EE. UU. y la Unión Europea, considerando que no garantizaba un nivel de protección adecuado.

Desde entonces, mucho se ha especulado acerca del uso de productos de Google y en concreto de Google Analytics. Y tras reclamaciones, las autoridades de protección de datos de países como Francia, Austria e Italia han prohibido el uso de esta herramienta y, recientemente, Dinamarca se ha sumado a dejar de utilizar productos de Google.

Recordemos que estas empresas estadounidenses realizan la transferencia de los datos de los usuarios de la Unión Europea a servidores localizados en su país. Y una vez allí, EE. UU. tiene como política de estado el uso de cierta información de los usuarios (Signals) para fines de seguridad nacional. Sin embargo, de cara a la Unión Europea, esta información es considerada como información personal del usuario y, por tanto, ilegal.

 ¿Qué datos son considerados información personal y han originado este problema legal?

• IP del usuario: (dato considerado como personal). Este dato se procesa, antes de su anonimización, al pasar previamente por los servidores de Google mediante el protocolo HTTPS.
• Identificación del usuario por cruce de datos: El alto volumen de datos granulares que, aun no siendo considerados datos personales, pueden llegar a identificar a ciertos usuarios a través de su cruce. Las agencias de protección de datos requieren eliminar los siguientes datos antes de su transferencia internacional:

1. Referencia (fuente) de tráfico previa a la visita (Atribución).
2. UTM’s u otros parámetros añadidos a la URL.
3. Identificadores de ámbito usuario, ID’s de transacción.
4. Identificadores únicos propios, como los propios del CRM, Salesforce u otras herramientas.
5. Fingerprints (user agent).
6. Cualquier otro dato susceptible de re-identificar al usuario como la combinación de datos del dispositivo utilizado.

• Identificación del usuario con el uso de Google Signals: Si el usuario se encuentra logado en cualquier servicio de Google, como por ejemplo Gmail y se tiene activado Google Signals en la herramienta Google Analytics, Google podría llegar a identificar al usuario contrastando con los usuarios de sus servicios (todos los usuarios con sistema operativo Android requieren esta situación para su funcionamiento).

La activación de Google Signals es opcional, pero requerida si se quiere activar las funciones publicitarias de Google, por ejemplo, para hacer remarketing.

En principio no debería haber ningún problema con estos datos en el caso de que se utilizara una herramienta de analítica que procese y aloje los datos en servidores europeos.

¿Soluciones a la vista?

El pasado mes de marzo y tras el vacío legal que dejó la anulación del Privacy Shield, la Comisión Europea y EE. UU. anunciaban el principio de un nuevo acuerdo, hablamos del Transatlantic Data Privacy Framework o el marco trasatlántico de privacidad de datos. Este marco viene mitigar la falta de un sistema de protección adecuado de los datos de los usuarios transferidos desde Europa en lo concerniente al uso de servicios de Internet.

La visita del presidente de los Estados Unidos, Joe Biden, a Europa el pasado mes de marzo ha sido la ocasión perfecta para el anuncio, hecho por la presidenta de la Comisión Europea, Ursula Von Der Leyen. Durante su declaración, manifestó satisfacción con el principio de este acuerdo y manifestó que “permitirá flujos de datos predecibles y confiables, equilibrando la seguridad, el derecho y a la privacidad y la protección de datos”.

La resolución de este acuerdo es de vital importancia tanto para Estados Unidos y la UE ya que, según afirmaba el presidente de los Estados Unidos, facilitará el flujo de datos para “favorecer unas relaciones económicas de 7,1 billones de dólares”.

Como vemos, hay intereses económicos y comerciales de peso tras este acuerdo. Sin embargo, y tras los intentos fallidos anteriores, nos queda esperar a que sea aprobado.

Posterior a este anuncio, Google ha comunicado el pasado mes de junio que cuando se recojan los datos de la UE, GA desviará automáticamente el almacenamiento de estos datos a servidores exclusivos de la UE, en este comunicado Google – Privacidad y datos en la UE ofrece la opción de limitar la función de Google Signals geográficamente para excluir a los usuarios geolocalizados en la UE.

Sin embargo, para aplicar esto es necesaria la geolocalización por IP y así saber si el usuario procede de la UE. Al cargar la biblioteca de análisis desde los servidores de Google, empresa estadounidense, es de por si el procesado de datos europeos por parte de una empresa estadounidense, por tanto, considerado ilegal. La legislación europea considera que los datos de los residentes de la UE no están adecuadamente protegidos cuando se envían a los servidores de Google, independientemente del lugar del mundo en el que se encuentren.

Por lo tanto, la actualización de Google de Junio no parece abordar los principales problemas legales del uso de Google Analytics para los ciudadanos de la UE.

En el próximo post ahondaremos sobre las posibles alternativas del mercado para las empresas y nuestras recomendaciones desde Improving Metrics ?