Google Analytics znów jest legalny w Europie. Na razie

Mamy już nowe porozumienie między USA a Europą dotyczące transferu danych osobowych.

Znowu.

I to już trzecie.

Zobaczymy, jak długo wytrzyma.

Za chwilę wyjaśnię powody tej niepewności, ale najpierw spróbuję trochę lepiej uporządkować temat, bo ma bardzo głębokie korzenie. Zacznijmy więc od początku:

Pierwsza i najważniejsza rzecz, którą trzeba jasno zrozumieć, to fakt, że Google Analytics nigdy nie był nielegalny w Hiszpanii.

We Francji był nielegalny przez kilka miesięcy w 2022.

Tak samo w Austrii.

A także we Włoszech czy Danii.

Taki był trend w 2022 w kilku krajach europejskich, ale w Hiszpanii nigdy go nie zdelegalizowano. Choć w zeszłym roku krążyły plotki, że tak się stanie.

Ale od zeszłego tygodnia (10 lipca 2023), wraz z podpisaniem nowego porozumienia, jak mówiłem, możemy na razie odetchnąć.

Przynajmniej przez jakiś czas, bo jeśli choć trochę śledzisz temat, wiesz, że ta historia ciągnie się od dawna.

Konkretnie od 11 września 2001.

Dnia, który zmienił świat.

Korzenie problemu

Od tamtego dnia minęły już 22 lata — aż trudno uwierzyć.

Wtedy Google Analytics jeszcze nawet nie istniał, ale istniał Urchin, technologia kupiona przez Google w 2005, która stała się zalążkiem pierwszej wersji narzędzia Google do analityki cyfrowej.

Tego tragicznego dnia wszyscy, a szczególnie USA, zdaliśmy sobie sprawę, że pozorne bezpieczeństwo, w którym żyliśmy w rozwiniętym świecie Zachodu, było niewiele więcej niż iluzją.

I uruchomiono systemy uznane za konieczne aby podobne wydarzenie już się nie powtórzyło.

Być może z powodu bardziej liberalnego charakteru, być może bardziej militarnego, a może dlatego, że po raz pierwszy coś o takiej skali wydarzyło się na jego terytorium, Stany Zjednoczone rozwinęły brutalną globalną sieć szpiegowską.

Sieć, która gromadziła ogromne ilości danych o komunikacji między cywilami z całego świata w internecie, przy większym lub mniejszym udziale największych amerykańskich firm technologicznych — GAFA (Google, Amazon, Facebook i Apple).

Ta sieć działała poza jakimkolwiek prawem przez 12 lat, od 2001 do 2013. Aż pewien Edward Snowden — pracownik mało wówczas znanej NSA, a także CIA — ujawnił skandal: NSA stworzyła infrastrukturę, która pozwalała zbierać praktycznie dowolne dane o praktycznie dowolnej osobie na świecie, w tym:

• Twoje e-maile.
• Twój numer telefonu. Albo twojej żony. Albo twoich znajomych.
• Twoje hasła.
• Informacje o użyciu twoich kart bankowych.
• Rejestr twoich połączeń.

Wszystko w imię i pod tak niejednoznacznym parasolem Bezpieczeństwa Narodowego.

Jeśli interesuje cię ten temat, bardzo dobrze wyjaśnia go dokument Citizenfour z wypowiedziami, których udziela Edward Snowden. Bardzo polecam, ale jeśli wolisz filmy, Oliver Stone nakręcił całkiem rozrywkowy Snowden opowiadający tę samą historię z bardziej komercyjnej perspektywy.

Reakcje na skandal

Kiedy sprawa wyszła na jaw, reakcje w Europie były dość nieśmiałe. Tak nieśmiałe, że wyglądały na udawane. Publicznie nie można było tego powiedzieć, ale prywatnie nasi politycy zdawali się zgadzać z tym, co zrobił rząd USA.

Brakowało jednak jednego drobnego szczegółu. Wtedy nadal nie było wiadomo, że światowi przywódcy polityczni również byli szpiegowani.

Czarę goryczy przelało monitorowanie komunikacji z telefonu niemieckiej kanclerz i faktycznej liderki Europy Angela Merkel, która ostro publicznie starła się z Barackiem Obamą, ówczesnym prezydentem USA.

Wtedy sytuacja się zmieniła.

Bo, mój drogi, szpiegowanie zwykłych ludzi to jedno, a szpiegowanie urzędników i polityków to zupełnie co innego…

Porozumienia administracyjne: od Safe Harbor do Privacy Shield

Europejscy przywódcy, mocno zirytowani faktem, że sami byli szpiegowani, uznali więc za nieważne przepisy regulujące Safe Harbor, protokół komunikacji między amerykańskimi firmami a europejskimi klientami i obywatelami, obowiązujący od 2001.

Po 15 latach i programie PRISM trzeba było uregulować prywatność inaczej. Dlatego w 2016 powstało nowe porozumienie nazwane Privacy Shield, którego największym skutkiem było uniemożliwienie amerykańskim firmom przechowywania danych osobowych obywateli Europy na serwerach znajdujących się w Ameryce.

Innymi słowy:

• Dokładnie określono, czym są dane osobowe. Oprócz nazwisk i kont e-mail obejmowały też takie informacje jak IP używane do połączenia z Internetem.
• Jeśli amerykańska firma przechowywała już takie dane na swoich serwerach, miała dwie możliwości: Przestać je przechowywać i je usunąć.

• Nadal je przechowywać, uzasadnić powód i korzystać z serwerów poza USA, tak aby NSA i podobne instytucje nie miały do nich dostępu — albo przynajmniej nie miały go łatwo.

I wszyscy byli zadowoleni.

Wyjątkiem był Max Schrems, austriacki prawnik i aktywista działający na rzecz prywatności, który doprowadził do unieważnienia tego porozumienia przez Trybunał Sprawiedliwości Unii Europejskiej w 2020.

To sprawiło, że przez ostatnie trzy lata transfery danych osobowych między Europą a USA nie były regulowane żadnym łagodniejszym wspólnym porozumieniem, lecz rygorystycznymi przepisami GDPR (unijnego ogólnego rozporządzenia o ochronie danych).

I właśnie w tym kontekście Francja uznała Google Analytics za nielegalny, ponieważ narzędzie zbiera IP obywateli Francji na serwerach znajdujących się na terytorium USA.

Dlaczego pozostałe kraje europejskie nie uznają go za nielegalny? Zasadniczo dlatego, że zapis IP jest zaszyfrowany, więc nie traktują go jako danych osobowych samych w sobie.

Kwestia niuansów.

Nowe porozumienie w 2023. Na jak długo?

Jak zapewne słyszałeś, od zeszłego tygodnia Europa i Stany Zjednoczone mają nowe ramowe porozumienie dotyczące prywatności.

A to sprawia, że korzystanie z Google Analytics jest legalne.

Być może pojawienie się GA4 miało z tym coś wspólnego.

Być może to przypadek.

To, co nie wygląda na przypadek, to fakt, że Google udostępnił swoją AI Bard w Europie trzy dni po zatwierdzeniu porozumienia. Zwłaszcza jeśli pamiętamy, że powodem, dla którego wcześniej nie oferowano jej tutaj, było właśnie niespełnianie surowych europejskich regulacji dotyczących danych.

Co więc stanie się teraz? Po pierwsze, Max Schrems ponownie odwoła się do TSUE, twierdząc, że amerykańskie przepisy dotyczące masowej inwigilacji nadal obowiązują, mimo że nowe porozumienie ogranicza jej stosowanie do czegoś „proporcjonalnego””.

To niejednoznaczne słowo, które nie wyjaśnia, do jakich prywatnych danych obywateli Europy może uzyskać dostęp administracja USA.

Dlatego możliwe, że w najbliższych miesiącach pojawią się kolejne wiadomości w tej sprawie, w jedną lub drugą stronę. Dopiero wtedy naprawdę dowiemy się, czy możemy nadal legalnie korzystać z GA4.

Do tego czasu — wdrażać.

Albo zmienić.

Albo się modlić. W końcu cały ten bałagan zaczął się z powodów religijnych.

Ręce opadają.