En la actualidad, el mundo de la analítica web está sufriendo importantes cambios que están preocupando en gran medida a las empresas.
En plena problemática por el uso de Google Analytics debido a la negativa de las autoridades de control a considerar válido su uso, ya que implica necesariamente la transferencia de datos a Estados Unidos, las empresas están empezando su migración a la nueva versión de este sistema: Google Analytics 4 (“GA4”). Esta ha sido anunciada como la versión de Google Analytics que mayor control da a los clientes de cara a garantizar la privacidad de los usuarios cuyos datos se vean tratados por este sistema.
Ante ello, muchas empresas se preguntan ¿es GA4 la solución al problema actual? ¿Permite GA4 garantizar el cumplimiento de la normativa en materia de privacidad?
Es cierto que esta nueva versión permite aplicar mayores garantías sobre las cookies, ya que permite un mayor control por parte de las empresas de aspectos como qué tipo de información recoge la cookie, cuánto tiempo permanece instalada o qué tipo de información se comparte con Google (en principio). Uno de los principales reclamos de esta nueva versión es que permite anonimizar la IP del usuario en el momento de la recogida, lo que supone un importante avance en materia de privacidad.
Sin embargo, estas características no suponen una solución a los dos principales inconvenientes del uso de las cookies:
- El consentimiento del usuario sigue siendo necesario para instalar las cookies de Google. Y es que esta necesidad de consentimiento no está sujeta a la recogida de más o menos datos personales o a tener la IP en abierto o anonimizada, sino que se incluye en la Directiva E-Privacy (y en las normativas nacionales que la transponen) como requisito necesario para la simple instalación de cualquier cookie no esencial (es decir, no estrictamente necesaria para el funcionamiento del sitio web).
- Seguimos incumpliendo la normativa en materia de protección de datos (quizás con una intensidad algo menor, pero incumpliendo, al fin y al cabo) por la transferencia de datos a EEUU, y esto se debe a dos cosas:
- La IP se anonimiza una vez recogida, y con los mecanismos y criterios de Google.
Es decir, Google tiene acceso a esa IP que luego anonimiza, utilizando las técnicas de anonimización que considere oportunas, y sobre las que no se ha publicado información suficiente que permita garantizar la efectividad de la misma.
El problema aquí es que todo lo relacionado con la anonimización queda en manos de Google, por lo que también está en su mano no realizarla, o cruzar los datos para volver a identificar al usuario, sin que podamos saber hasta qué punto la anonimización es irreversible o no.
- Casi como en el caso anterior, la opción de «no compartir datos con Google» está, al fin y al cabo, controlada por el propio Google que, como administrador del sistema, puede anular esta configuración de preferencias si es necesario y si lo solicita el gobierno de Estados Unidos.
Por tanto, aunque se está avanzando en la mejora de la privacidad y el impacto en caso de investigación puede ser menor, no creemos que esta nueva versión de Google Analytics aborde realmente los problemas actuales más relevantes del uso de estas cookies por parte de empresas ubicadas en el Espacio Económico Europeo.
Cada vez parece más claro que la única solución a la actual problemática de las transferencias de datos a Estados Unidos solo puede pasar por la aprobación de un nuevo “Privacy Framework” que sirva de base irrefutable para garantizar que la transferencia de datos a Estados Unidos es válida desde un punto de vista legal.
Ahora bien, esto también pasa por un compromiso real por parte de Estados Unidos en la protección de los datos de ciudadanos europeos, si no queremos que esta situación, derivada de la anulación del Privacy Shield, vuelva a repetirse cada pocos años.
Enrique Extremera Maestro, Head of Privacy, Legal Army