Google Analytics siempre envía datos a Estados Unidos

Google Analytics sigue siendo la herramienta web más popular para espiar el comportamiento de los usuarios.

La inesperada admisión de Google dejó algo claro: todos los datos recogidos en una web con Google Analytics se envían a Estados Unidos y se tratan allí. Siempre.

¿Por qué lo reconoció Google?

Todo empezó con una reclamación presentada contra Google por noyb, la organización de defensa de la privacidad, ante la autoridad austriaca de protección de datos. Esta planteó más de 20 preguntas a Google.

Las respuestas de Google fueron a menudo evasivas, desdeñosas e incompletas. Entender por qué insistió en que los datos de Google Analytics se almacenan exclusivamente en Estados Unidos requiere un poco de contexto.

¿Cuál era el contexto jurídico?

Tras la sentencia del Tribunal de Justicia de la UE sobre el Privacy Shield, conocida como «Schrems II», Estados Unidos se consideraba un tercer país no seguro. Según la postura expuesta aquí, transferir datos personales a Estados Unidos requiere consentimiento.

El tráfico de una web implica transferencias de datos personales: los tribunales han reconocido que la dirección de red del usuario, su dirección IP, es un dato personal.

Estados Unidos se consideraba un tercer país no seguro porque sus leyes permiten a las autoridades, incluidos los servicios de inteligencia, acceder a los datos de empresas estadounidenses. Si una de esas empresas almacena datos de clientes alemanes, las autoridades estadounidenses pueden acceder a ellos.

Las facultades de acceso secreto a los datos proceden especialmente de la ley FISA y la Orden Ejecutiva 12333. En su respuesta a la autoridad, Google sostenía que ambas normas solo permitían acceder a datos almacenados fuera de Estados Unidos.

El razonamiento de Google era este: guardamos todos los datos en Estados Unidos, así que FISA y la Orden Ejecutiva 12333 no permiten acceder a ellos. Por tanto, están seguros con nosotros.

El argumento no se sostiene, pero quizá sea el mejor que Google podía ofrecer. Puede que la creatividad de sus argumentos jurídicos tenga algo que ver con los sueldos de sus abogados. En cualquier caso, Google admitió lo que muchos sospechaban sin poder demostrarlo.

¿Están seguros los datos en Estados Unidos?

La pregunta más útil es si los datos que Google Analytics envía y almacena en Estados Unidos están realmente protegidos.

Cuando alguien en Europa visita una web con Google Analytics, los datos de análisis se generan en Europa. Google los recoge mediante un servidor llamado colector.

El colector recibe los datos del dispositivo y se sitúa, siempre que es posible, cerca del usuario. Después, los datos se envían a Estados Unidos.

La recogida de datos tiene lugar, por tanto, en todo el mundo. FISA y la Orden Ejecutiva 12333 permiten a la NSA, la agencia de inteligencia estadounidense, realizar lo que se conoce como upstream collection: interceptar un cable transatlántico por el que llegan datos a Estados Unidos.

Cabe señalar, con cierta ironía, que hacerlo sin consentimiento es de por sí ilícito. Además, habría que informar a las personas afectadas, algo que aparentemente no ocurre. El RGPD también les reconoce, entre otros, un derecho de oposición. Otro concepto que parece ajeno a la NSA.

Por qué Google Analytics requiere consentimiento

Siguiendo este razonamiento, la recogida mundial de datos y su envío a Estados Unidos bastarían para exigir consentimiento antes de cargar Google Analytics.

La configuración estándar de Google (Universal) Analytics descrita aquí utiliza cookies. Según el artículo 15.3 de la ley alemana de telemedios (TMG), esto requiere consentimiento. Los motivos son los siguientes:

• Google Analytics instala y lee las cookies.
• Los valores de las cookies se envían a los servidores de Google.
• Las cookies no son técnicamente imprescindibles: Google Analytics puede funcionar sin ellas.
• El artículo 5.3 de la Directiva ePrivacy exige consentimiento. Da igual qué información contengan las cookies: ni siquiera tiene que tratarse de datos personales.
• Según la sentencia del Tribunal Supremo Federal alemán de 28 de mayo de 2020, asunto I ZR 7/16 («Planet49»), la TMG debe interpretarse de acuerdo con la Directiva ePrivacy.

También podría ser imposible celebrar un contrato de encargo del tratamiento válido con Google, entre otras razones por su red mundial de subencargados y porque la eliminación de datos solicitada podría tardar dos meses.

Todo ello permite sostener una obligación general de consentimiento para Google Analytics, incluso sin cookies.

Explicar el tratamiento de datos de Google Analytics

Si has leído los avisos de privacidad de Google y las condiciones contractuales de Google Analytics, quizá sigas sin tenerlo claro. La información es tan enrevesada, vaga y dispersa entre documentos que ofrecer una explicación transparente parece casi imposible.

Sin embargo, el artículo 12 del RGPD exige información transparente y comprensible sobre el tratamiento de datos con Google Analytics.

Conclusión

Obtener un consentimiento válido para Google Analytics parece difícil. Las ventanas de cookies no solo resultan molestas: en la práctica, la mayoría incumple los requisitos legales.

A su vez, usar Google Analytics sin consentimiento exigiría prescindir de las cookies. La calidad de los datos sería cuestionable, porque la herramienta no está optimizada para ese funcionamiento.

Herramientas como Trackboxx permiten analizar las visitas respetando la privacidad. Sin cookies ni un uso significativo del fingerprinting, no hace falta solicitar consentimiento. La prioridad es la facilidad de uso, que no es precisamente el punto fuerte de Google Analytics: incluso tras horas en su panel, puede que todavía no lo entiendas todo.

Además, creo que deberíamos dar preferencia a los proveedores alemanes y dejar de regalar datos a Google cuanto antes.

Si alguna vez has contactado con una gran empresa para pedir ayuda o resolver una duda, seguramente conoces la sensación de no recibir una respuesta de verdad. En mi experiencia, los proveedores locales cuidan mucho más al cliente y tienen una mayor vocación de servicio.