Google Analytics ya es legal en Europa. De momento

Ya tenemos un nuevo acuerdo entre EE.UU. y Europa para la transferencia de datos personales.

Otra vez.

Y van tres.

Veremos a ver lo que dura.

Ahora te explico los motivo de la incertidumbre, pero antes voy a intentar aclararte el tema un poco mejor porque tiene raíces profundas, así que empecemos por el principio:

Lo primero y más importante tener claro que Google Analytics nunca ha sido ilegal en España.

Sí que lo ha sido en Francia durante algunos meses de 2022.

Lo mismo que en Austria.

Y que en Italia o Dinamarca.

Ha sido la tendencia en 2022 en varios países europeos, pero en España nunca se ha ilegalizado. Aunque el año pasado se rumoreó que lo sería.

Pero desde la semana pasada (10 julio 2023) y con la firma del nuevo tratado, como te digo, ya podemos estar tranquilos.

Por lo menos por un tiempo, porque, si has seguido el tema con un poco de atención sabrás que esto viene de lejos.

En concreto, desde el 11-S de 2001.

El día que el mundo cambió.

Raíces del problema

Hace 22 años ya de ese día, que se dice pronto.

Entonces ni tan siquiera existía Google Analytics, aunque sí Urchin, la tecnología que compró Google en 2005 que fue el germen de la primera versión de la herramienta de analítica digital de Google.

Ese fatídico día, todos, pero especialmente EE.UU., nos dimos cuenta de que la aparente seguridad en la que vivimos dentro del mundo occidental desarrollado era poco más que una ilusión.

Y se pusieron en marcha los sistemas que se creyeron necesarios para que un evento semejante no volviera a ocurrir.

Quizá por su carácter más liberal, quizá por su carácter más militar o quizá porque era la primera vez que algo de tanto impacto ocurría en su territorio, Estados Unidos desplegó una red de espionaje global brutal.

Una que recogía ingentes cantidades de datos de comunicaciones entre civiles de cualquier parte del mundo en internet, con las principales tecnológicas estadounidenses –las GAFA (Google, Amazon, Facebook y Apple)- implicadas en mayor o menor medida.

Esta red estuvo operativa y operando al margen de cualquier ley durante 12 años, de 2001 a 2013. Cuando un tal Edward Snowden –trabajador de la bastante desconocida hasta entonces NSA y también de la CIA- destapó el escándalo: la NSA había desarrollado una infraestructura que permitía recabar, prácticamente, cualquier dato de cualquier persona del mundo, incluyendo:

• Tus correos electrónicos.
• Tu número de teléfono. O el de tu mujer. O el de tus amigos.
• Tus contraseñas.
• El uso de tus tarjetas bancarias.
• El registro de tus llamadas.

Todo en pos y bajo ese paraguas tan ambiguo de la Seguridad Nacional.

Si te interesa el tema está muy bien explicado en el documental Citizenfour que recoge las declaraciones de Edward Snowden. Es muy recomendable, aunque, si te van más las películas, Oliver Stone dirigió la entretenida Snowden contando la misma historia desde un punto de vista más comercial.

Las reacciones al escándalo

Bien, pues cuando se descubrió el pastel hubo tímidas reacciones en Europa. Tan tímidas que parecieron fingidas. Es decir, que en público no podía decirse, pero en privado (parecía que) nuestros políticos estaban de acuerdo con lo que había hecho el gobierno americano.

Pero faltaba un pequeño detalle más. Entonces todavía se desconocía que los líderes políticos mundiales también estaban siendo espiados.

La puntilla fue la monitorización de comunicaciones del móvil de la canciller alemana y líder europea de facto Angela Merkel, quien tuvo un intenso encontronazo público con Barack Obama, presidente americano entonces.

Ahí ya la cosa cambió.

Porque, ay amigo, una cosa es espiar a la plebe y otra muy distinta es espiar a los cargos administrativos…

Acuerdos administrativos: de Safe Harbor a Privacy Shield

Así que, muy molestos por ser espiados, los dirigentes europeos declararon inválidas las leyes que regulaban el Safe Harbor, que era el protocolo de comunicaciones entre empresas americanas y clientes y ciudadanos europeos vigente desde 2001.

15 años y un programa PRISM mediante, había que regular la privacidad de otra forma. Por eso se creó un nuevo acuerdo en 2016, el Privacy Shield, cuyo mayor impacto es que impedía a las empresas americanas alojar datos personales de ciudadanos europeos en servidores situados en América.

Es decir:

• Se definió específicamente en qué consistían los datos personales, que, más allá de nombres y cuentas de email, también recogían cosas como la IP de conexión a Internet.
• Si una empresa americana venía guardando alguno de estos datos en sus servidores tenía dos opciones:
  • Dejar de guardarlos y eliminarlos.
  • Seguir guardándolos, justificando el motivo y en servidores fuera de EE.UU., de forma que no fueran accesibles (o no de forma fácil) por la NSA y similares.

Y todos contentos.

Salvo Max Schrems, un abogado austriaco activista pro-privacidad, que consiguió que el Tribunal Superior de Justicia Europea derogara este acuerdo en 2020.

Esto ha hecho que los tres últimos años las transferencias de datos personales entre Europa y EE.UU. no hayan estado reguladas bajo ningún acuerdo conjunto más laxo, sino bajo el estricto GRDP (Reglamento General de Privacidad de Datos) europeo.

Y es éste el motivo en el que se encuadra la ilegalización que hizo Francia de Google Analytics, ya que la herramienta recopila IPs de ciudadanos franceses en servidores situados en territorio americano.

¿Por qué el resto de países europeos no la declaran ilegal? Pues en principio porque el registro de la IP se encuentra encriptado, de forma que no lo consideran un dato personal como tal.

Cuestión de matices.

Nuevo tratado en 2023. ¿Hasta cuándo?

Bien, pues como probablemente hayas oído, desde la semana pasada tenemos un nuevo acuerdo marco de privacidad entre Europa y Estados Unidos.

Y eso hace que usar Google Analytics sea legal.

Quizá la llegada de GA4 haya tenido que ver.

Quizá sea casualidad.

Lo que no parece casualidad es que Google haya abierto el uso de su IA Bard en Europa tres días después de que se haya aprobado el acuerdo. Sobre todo, teniendo en cuenta que el motivo esgrimido para no ofrecerla aquí desde un principio era precisamente no cumplir con la estricta política regulatoria en materia de datos europea.

Entonces, ¿qué va a pasar ahora? Pues lo primero es que Max Schrems va a volver a recurrir al TSJE bajo la premisa de que la normativa estadounidense con respecto a la vigilancia masiva sigue vigente, por mucho que en el nuevo acuerdo se limite su uso a “proporcional”.

Es una palabra ambigua que no deja claro a qué datos privados de ciudadanos europeos puede acceder la administración americana.

Por lo tanto, es posible que en los próximos meses tengamos más noticias al respecto, en uno u otro sentido. Y será entonces cuando sepamos realmente si podemos seguir usando GA4 de forma legal o no.

Hasta entonces, pues a implementar.

O a cambiar.

O a rezar. No en balde, todo este follón se inició por motivos religiosos.

Manda narices.