Google Analytics è di nuovo legale in Europa. Per ora

Ora abbiamo un nuovo accordo tra Stati Uniti ed Europa per il trasferimento dei dati personali.

Di nuovo.

E siamo a tre.

Vedremo quanto durerà.

Tra poco ti spiego i motivi dell'incertezza, ma prima cerco di chiarire un po' meglio la questione, perché ha radici profonde. Quindi partiamo dall'inizio:

La prima cosa, e la più importante, da avere chiara è che Google Analytics non è mai stato illegale in Spagna.

Lo è stato invece in Francia per alcuni mesi nel 2022.

Lo stesso in Austria.

E in Italia o Danimarca.

Questa è stata la tendenza nel 2022 in diversi Paesi europei, ma in Spagna non è mai stato reso illegale. Anche se l'anno scorso si vociferava che lo sarebbe diventato.

Ma dalla settimana scorsa (10 luglio 2023), con la firma del nuovo trattato, come ti dicevo, possiamo stare tranquilli.

Almeno per un po', perché se hai seguito la questione con un minimo di attenzione saprai che questa storia viene da lontano.

Più precisamente, dall’ 11 settembre 2001.

Il giorno in cui il mondo cambiò.

Le radici del problema

Sono già passati 22 anni da quel giorno, e non sono pochi.

All'epoca Google Analytics non esisteva nemmeno, anche se esisteva Urchin, la tecnologia acquistata da Google nel 2005 che diventò il seme della prima versione dello strumento di digital analytics di Google.

Quel giorno fatidico tutti, ma soprattutto gli Stati Uniti, ci rendemmo conto che la sicurezza apparente in cui vivevamo nel mondo occidentale sviluppato era poco più di un'illusione.

E vennero messi in campo i sistemi ritenuti necessari per evitare che un evento simile potesse ripetersi.

Forse per il suo carattere più liberale, forse per quello più militare o forse perché era la prima volta che qualcosa di così impattante accadeva sul suo territorio, gli Stati Uniti misero in piedi una brutale rete globale di spionaggio.

Una rete che raccoglieva enormi quantità di dati sulle comunicazioni tra civili di qualsiasi parte del mondo su internet, con le principali aziende tecnologiche statunitensi — le GAFA (Google, Amazon, Facebook e Apple) — coinvolte in misura maggiore o minore.

Questa rete rimase operativa e fuori da ogni legge per 12 anni, dal 2001 al 2013. Finché un certo Edward Snowden — dipendente dell'allora poco conosciuta NSA e anche della CIA — fece esplodere lo scandalo: la NSA aveva sviluppato un'infrastruttura che permetteva di raccogliere praticamente qualsiasi dato su qualsiasi persona al mondo, tra cui:

• Le tue email.
• Il tuo numero di telefono. O quello di tua moglie. O dei tuoi amici.
• Le tue password.
• L'uso delle tue carte bancarie.
• Il registro delle tue chiamate.

Tutto in nome e sotto quell'ombrello così ambiguo della Sicurezza Nazionale.

Se l'argomento ti interessa, è spiegato molto bene nel documentario Citizenfour , che raccoglie le dichiarazioni di Edward Snowden. È molto consigliato, ma se preferisci i film, Oliver Stone ha diretto il divertente Snowden , che racconta la stessa storia da un punto di vista più commerciale.

Le reazioni allo scandalo

Bene, quando venne fuori tutto ci furono reazioni timide in Europa. Talmente timide da sembrare finte. In pubblico non si poteva dire, ma in privato sembrava che i nostri politici fossero d'accordo con ciò che aveva fatto il governo americano.

Ma mancava ancora un piccolo dettaglio. All'epoca non si sapeva ancora che anche i leader politici mondiali venivano spiati.

Il colpo di grazia fu il monitoraggio delle comunicazioni del cellulare della cancelliera tedesca e leader europea de facto Angela Merkel, che ebbe un duro scontro pubblico con Barack Obama, allora presidente degli Stati Uniti.

Da lì le cose cambiarono.

Perché, amico mio, una cosa è spiare la plebe e un'altra ben diversa è spiare chi ricopre incarichi pubblici…

Accordi amministrativi: da Safe Harbor a Privacy Shield

Così, molto irritati per essere stati spiati, i leader europei dichiararono invalide le regole che disciplinavano il Safe Harbor, il protocollo di comunicazione tra aziende americane e clienti e cittadini europei in vigore dal 2001.

15 anni e un programma PRISM più tardi, bisognava regolare la privacy in modo diverso. Per questo nel 2016 venne creato un nuovo accordo, il Privacy Shield, il cui impatto principale era impedire alle aziende americane di archiviare i dati personali dei cittadini europei su server situati in America.

In altre parole:

• Venne definito con precisione cosa si intendesse per dati personali: oltre a nomi e account email, comprendevano anche elementi come l'IP della connessione a Internet.
• Se un'azienda americana conservava già alcuni di questi dati sui propri server, aveva due opzioni: Smettere di conservarli ed eliminarli.

• Continuare a conservarli, giustificando il motivo e usando server fuori dagli Stati Uniti, affinché non fossero accessibili — o non facilmente — alla NSA e a organismi simili.

E tutti contenti.

Tranne Max Schrems, un avvocato austriaco e attivista per la privacy che riuscì a far annullare questo accordo dalla Corte di giustizia dell'Unione europea nel 2020.

Questo ha fatto sì che negli ultimi tre anni i trasferimenti di dati personali tra Europa e Stati Uniti non fossero regolati da alcun accordo comune più permissivo, ma dal rigido GDPR (Regolamento generale sulla protezione dei dati dell’Unione europea).

Ed è in questo contesto che si inserisce l'illegalizzazione di Google Analytics in Francia, dato che lo strumento raccoglie gli IP dei cittadini francesi su server situati in territorio americano.

Perché gli altri Paesi europei non lo dichiarano illegale? In linea di principio perché la registrazione dell'IP è crittografata, quindi non viene considerata un dato personale in senso stretto.

Questione di sfumature.

Nuovo trattato nel 2023. Fino a quando?

Bene, come probabilmente avrai sentito, dalla settimana scorsa abbiamo un nuovo accordo quadro sulla privacy tra Europa e Stati Uniti.

E questo rende legale l'uso di Google Analytics.

Forse l'arrivo di GA4 ha avuto qualcosa a che fare.

Forse è una coincidenza.

Quello che non sembra una coincidenza è che Google abbia aperto l'accesso alla sua IA Bard in Europa tre giorni dopo l'approvazione dell'accordo. Soprattutto considerando che il motivo addotto per non offrirla qui fin dall'inizio era proprio il mancato rispetto della rigida normativa europea sui dati.

Quindi, cosa succederà adesso? Per prima cosa Max Schrems farà di nuovo ricorso alla CGUE sostenendo che le norme statunitensi sulla sorveglianza di massa restano in vigore, anche se il nuovo accordo ne limita l'uso a qualcosa di “proporzionato””.

È una parola ambigua che non chiarisce a quali dati privati dei cittadini europei possa accedere l'amministrazione americana.

Quindi è possibile che nei prossimi mesi avremo altre notizie al riguardo, in un senso o nell'altro. E solo allora sapremo davvero se possiamo continuare a usare GA4 legalmente oppure no.

Fino ad allora, si implementa.

O si cambia.

O si prega. Dopotutto, tutto questo casino è iniziato per motivi religiosi.

Roba da matti.