Actualmente, Google Analytics cumple el RGPD, puesto que desde julio de 2023 está en efecto el Marco de Privacidad UE-EEUU, el nuevo acuerdo firmado entre la UE y EE. UU., la decisión de adecuación que hace legales las transferencias de datos entre países europeos y EE. UU., al entender que existe un nivel de protección de datos similar.
Este acuerdo establece, además, que las empresas estadounidenses deben adherirse al mismo y cumplir las obligaciones recogidas en él para ser certificadas por la FTC o el Departamento del Transporte de EE. UU. Google está adherida ya a este Marco normativo.
Señalamos que la versión actual es Google Analytics 4 (GA4).
Sin embargo, Google Analytics no siempre ha cumplido con el RGPD; cómo veremos a lo largo del artículo, la relación entre Google Analytics y RGPD ha sido complicada y ha estado caracterizada por períodos de incumplimiento del Reglamento General de Protección de Datos.
Contenido del artículo
¿Cómo recopila datos Google Analytics?
Google Analytics registra el comportamiento del usuario y la información sobre los visitantes de una página web a través de cookies informáticas y hits, para ello recurre a tres fuentes:
- Solicitud HTTP del usuario
- Información del navegador/sistema del usuario, del que extrae información sobre el navegador y el dispositivo usado, de manera que puede saber qué navegador usamos, desde dónde llegamos y nuestra preferencia de idioma.
- Cookies propias instaladas en el navegador para el que crea un ClientID generado de manera aleatoria, que le permite obtener información de la sesión del usuario.
Para enviar estos datos, se crea una imagen GIF de un solo píxel, que se procesa y se puede visualizar en la cuenta de Google Analytics.
Google Analytics y el RGPD
Las dudas respecto a si cumple Analytics el RGPD siempre están presentes, puesto que cuando usamos esta herramienta para medir las audiencias de nuestra página web, estamos realizando una transferencia internacional de datos personales (los datos se transfieren a servidores en EE. UU.) y a lo largo de los años, la decisión de adecuación respecto a EE. UU. ha ido cambiando, con las caídas de los acuerdos Safe Harbor y Privacy Shield, ambos anulados por sendas sentencias del TJUE en 2015 y 2020, respectivamente (Sentencias Schrems I y II, promovidas por la asociación sin ánimo de lucro Noyb).
Por su parte, Google siempre ha defendido que ellos nunca han cedido datos personales a agencias gubernamentales de EE. UU. y que los datos que transfieren a sus servidores no pueden usarse para identificar usuarios concretos, ya que aplica medidas para anonimizar las IP y otra información. Sin embargo, de cara al RGPD, Analytics sí que recopila información personal identificable, en concreto, identificadores persistentes como la ID de cliente, la ID de usuario y la dirección IP, que son rastreadas y almacenadas en Google Analytics.
Estos momentos de cumplimiento e incumplimiento, hasta la entrada en vigor del Marco de Privacidad UE-EEUU, han hecho que diferentes autoridades de control hayan llegado a afirmar que Google no cumple el RGPD.
Teniendo en cuenta esta polémica en torno a Google y los datos personales que recaba a través de Analytics y el hecho de que Noyb volverá a llevar al TJUE el citado Marco de Privacidad, no está de más repasar las ocasiones más recientes en las que se declaró que Google Analytics no cumplía el RGPD (porque según Noyb, el acuerdo actual adolece de los mismos problemas y carencias que los dos anteriores).
Según las autoridades de control de Austria y Francia
En enero de 2022, la DSB, la Autoridad de Protección de Datos de Austria, declaró ilegal el uso de Google Analytics al entender que este infringe el RGPD. Esta resolución, que surgió tras la tramitación de algunas de las 101 quejas presentadas por Noyb contra Google Analytics en los 27 Estados miembros de la UE, determina que el uso de la dirección IP y los identificadores en los datos de las cookies de Google Analytics incluyen datos personales de los visitantes y usuarios de páginas web, lo que obliga a cumplir con los requisitos del RGPD al usar Google Analytics.
A principios de febrero de 2022, el CNIL francés también sentenció que el uso de Google Analytics no cumplía las exigencias del RGPD. La autoridad de control francesa dijo que Analytics otorga un identificador único a cada visitante de la web. Este identificador, que ya se considera dato personal, junto a los datos asociados al mismo, se transfieren a EE. UU., donde las garantías en cuanto a protección de datos no son comparables a las del RGPD y, por tanto, se consideran transferencias ilegales.
Tanto la DSB como el CNIL emplazaron a las empresas que fueron denunciadas por el uso de Google Analytics, a dejar de usar esta herramienta para la medición de audiencias y sustituirla por una que sí cumpla con los requisitos establecidos para el uso de cookies en el RGPD.
También en enero de 2022, el SEPD emitió una resolución relacionada con el uso de las cookies de Google Analytics. En este caso, la resolución estableció que el propio Parlamento Europeo habría vulnerado el RGPD en la página web que había creado para pedir citas de test para el Covid-19.
La página web en cuestión se contrató a la empresa Ecolog y ya en 2021 provocó que seis eurodiputados, junto a Noyb, presentaran quejas sobre la protección de la privacidad de esta web, puesto que encontraron cookies de rastreo de terceros y avisos de cookies confusos. La política de privacidad de la web no mencionaba las cookies de Google Analytics ni las de Stripe, por lo que incumplía el RGPD en varios aspectos.
El SEPD llevó a cabo una investigación y llegó a la conclusión de que el Parlamento Europeo había cometido varias infracciones en materia de protección de datos, lo que sirvió para imponerle una amonestación (no económica, pero sí que obliga a solucionar esos problemas en el plazo de un mes).
Según la AEPD
Lo cierto es que la AEPD sobre Google Analytics no ha llegado a pronunciarse. Fue preguntada por ello tras las resoluciones de las autoridades austriaca y francesa, pero la AEPD rechazó emitir un informe jurídico sobre las cookies de Analytics y si estas suponían o no una transferencia de datos personales a EE. UU.
El argumento esgrimido por la Agencia fue que en ese momento se estaban tramitando varias denuncias respecto al uso de Analytics en diferentes páginas web (las ya citadas 101 denuncias de Noyb y que en España afectan a empresas como Airbnb, Freepik o la Real Academia Española).
Las acciones de Google para garantizar el cumplimiento del RGPD en el futuro
Con la entrada en vigor del Marco de Privacidad UE-EEUU, Google solo ha tenido que solicitar la certificación para adherirse al documento, comprometiéndose a cumplir con las condiciones y obligaciones establecidas en esta, para poder transferir los datos personales que recaba Analytics de ciudadanos de la UE y el EEE a EE. UU.
Esto no quiere decir que Google no haya tomado y aplicado medidas para garantizar el cumplimiento del RGPD en el pasado y de cara al futuro (y así evitar más resoluciones que concluyan que Google no cumple el RGPD), cómo decíamos, se pueden anonimizar las IP, pero además se puede eliminar la información de usuarios individuales, establecer plazos de tiempo para las cookies de Analytics, restringir el procesamiento de datos de menores de edad, así como recordar a quienes usan esta herramienta que ellos son los responsables del tratamiento y quiénes deben aplicar las medidas correspondientes para recabar y registrar el consentimiento de los interesados para el uso de las cookies de Analytics y reflejarlo en su política de privacidad y política de cookies.
¿Qué debes hacer para cumplir el RGPD al usar Google Analytics?
Para cumplir el RGPD al usar Google Analytics debes tener en cuenta y poner en práctica varias acciones:
- Obtener el consentimiento explícito e informado: Google Analytics utiliza cookies, por lo que antes de instalarlas en el navegador de tus visitantes, debes obtener el consentimiento explícito e informado de los usuarios. Para ello, implementa un aviso o banner de cookies a través del cual los usuarios puedan aceptar o rechazar las cookies. Así mismo, incluye las cookies de Google Analytics en tu política de privacidad y en tu política de cookies (recuerda que debes identificar todas las cookies que utiliza Analytics).
- Configura Google Analytics para que respete la privacidad:
- Activa la anonimización de IPs.
- Desactiva la función de User-ID.
- Deshabilita el intercambio de datos con otros servicios de Google y con terceros.
- Revisa y actualiza tu política de privacidad: Informa sobre el uso de Google Analytics en tu política de privacidad, lo que debe incluir qué datos se recopilan, cómo se utilizan y el tiempo de conservación. Así mismo, informa cómo pueden ejercer los usuarios sus derechos ARSULIPO.
- Firmar el acuerdo de tratamiento de datos con Google: Al usar Google Analytics, Google será el encargado del tratamiento de esos datos, por lo que deberás formalizar un contrato de encargado de tratamiento con ellos. En este caso, tomará la forma de un acuerdo de adhesión que se puede aceptar desde la configuración de Analytics.
- Limita el tiempo de conservación: Puedes configurar Google Analytics para que los datos personales no se conserven más del tiempo necesario.
En definitiva, por el momento podemos decir que Google Analytics cumple el RGPD y que las páginas pueden seguir usándolo, recordando que deben informar sobre las cookies que emplea y su finalidad en su política de cookies y permitir que los usuarios acepten o no su uso.
