Google Analytics voltou a ser legal na Europa. Por enquanto

Já temos um novo acordo entre os EUA e a Europa para a transferência de dados pessoais.

Outra vez.

E já vão três.

Vamos ver quanto tempo dura.

Agora vou explicar os motivos da incerteza, mas antes vou tentar esclarecer melhor o tema porque ele tem raízes profundas. Então vamos começar pelo princípio:

A primeira coisa, e a mais importante, é ter em mente que o Google Analytics nunca foi ilegal na Espanha.

Foi, sim, ilegal na França durante alguns meses de 2022.

O mesmo aconteceu na Áustria.

E em Itália ou na Dinamarca.

Foi essa a tendência em 2022 em vários países europeus, mas na Espanha nunca foi ilegalizado. Embora no ano anterior tenha surgido o rumor de que seria.

Mas desde a semana passada (10 de julho de 2023), com a assinatura do novo tratado, como eu disse, já podemos ficar tranquilos.

Pelo menos por algum tempo, porque, se você acompanha o assunto com um mínimo de atenção, sabe que isso vem de longe.

Mais concretamente, desde o 11 de setembro de 2001.

O dia em que o mundo mudou.

Raízes do problema

Já passaram 22 anos desde esse dia, o que não é pouco.

Na época nem sequer existia o Google Analytics, embora existisse Urchin, a tecnologia que o Google comprou em 2005 e que deu origem à primeira versão da sua ferramenta de analytics digital.

Naquele dia fatídico, todos nós, mas sobretudo os EUA, percebemos que a aparente segurança em que vivíamos no mundo ocidental desenvolvido era pouco mais do que uma ilusão.

E foram colocados em prática os sistemas considerados necessários para que um acontecimento semelhante não voltasse a ocorrer.

Talvez por seu caráter mais liberal, talvez por seu caráter mais militar ou talvez porque era a primeira vez que algo com tamanho impacto acontecia em seu território, os Estados Unidos implementaram uma brutal rede global de espionagem.

Uma rede que coletava enormes quantidades de dados de comunicações entre civis de qualquer parte do mundo na internet, com as principais empresas de tecnologia norte-americanas — as GAFA (Google, Amazon, Facebook e Apple) — envolvidas em maior ou menor grau.

Esta rede esteve ativa e operando à margem de qualquer lei durante 12 anos, de 2001 a 2013. Até que um tal Edward Snowden — funcionário da até então pouco conhecida NSA e também da CIA — revelou o escândalo: a NSA tinha desenvolvido uma infraestrutura que permitia coletar praticamente qualquer dado de qualquer pessoa no mundo, incluindo:

• Seus e-mails.
• Seu número de telefone. Ou o da sua esposa. Ou o dos seus amigos.
• Suas senhas.
• O uso dos seus cartões bancários.
• O registro das suas chamadas.

Tudo em nome e sob esse guarda-chuva tão ambíguo da Segurança Nacional.

Se você se interessa pelo tema, ele está muito bem explicado no documentário Citizenfour que reúne as declarações de Edward Snowden. Recomendo muito, mas, se você prefere filmes, Oliver Stone dirigiu o divertido Snowden contando a mesma história de um ponto de vista mais comercial.

As reações ao escândalo

Bem, quando o caso veio a público houve reações tímidas na Europa. Tão tímidas que pareciam fingidas. Ou seja, em público não se podia dizer, mas em privado parecia que os nossos políticos concordavam com o que o governo americano tinha feito.

Mas faltava um pequeno detalhe. Na época ainda não se sabia que os líderes políticos mundiais também estavam sendo espionados.

A gota d’água foi o monitoramento das comunicações do celular da chanceler alemã e líder europeia de facto Angela Merkel, que teve um confronto público intenso com Barack Obama, então presidente dos Estados Unidos.

Aí as coisas mudaram.

Porque, meu amigo, uma coisa é espiar o povo e outra muito diferente é espiar os responsáveis públicos…

Acordos administrativos: de Safe Harbor a Privacy Shield

Assim, muito incomodados por serem espiados, os dirigentes europeus declararam inválidas as regras que regulavam o Safe Harbor, o protocolo de comunicações entre empresas americanas e clientes e cidadãos europeus em vigor desde 2001.

15 anos e um programa PRISM depois, era preciso regular a privacidade de outra forma. Por isso foi criado um novo acordo em 2016, o Privacy Shield, cujo maior impacto era impedir as empresas americanas de armazenar dados pessoais de cidadãos europeus em servidores situados na América.

Ou seja:

• Foi definido especificamente o que eram dados pessoais: além de nomes e contas de e-mail, incluíam também elementos como o IP de conexão à internet.
• Se uma empresa americana já armazenava algum desses dados em seus servidores, tinha duas opções: deixar de armazená-los e excluí-los.

• Continuar armazenando-os, justificando o motivo e usando servidores fora dos EUA, para que a NSA e órgãos semelhantes não tivessem acesso a eles — ou pelo menos não com facilidade.

E todos contentes.

Exceto Max Schrems, um advogado austríaco ativista da privacidade, que conseguiu que o Tribunal de Justiça da União Europeia anulasse este acordo em 2020.

Isso fez com que, nos últimos três anos, as transferências de dados pessoais entre a Europa e os EUA não fossem reguladas por nenhum acordo conjunto mais flexível, mas pelo rigoroso GDPR (Regulamento Geral sobre a Proteção de Dados da União Europeia).

É nesse contexto que se enquadra a ilegalização do Google Analytics na França, já que a ferramenta coleta IPs de cidadãos franceses em servidores situados em território americano.

Por que os demais países europeus não o declaram ilegal? Em princípio, porque o registro do IP está criptografado, por isso não o consideram um dado pessoal propriamente dito.

Uma questão de nuances.

Novo tratado em 2023. Até quando?

Bem, como você provavelmente já ouviu, desde a semana passada temos um novo acordo de referência sobre privacidade entre a Europa e os Estados Unidos.

E isso torna legal o uso do Google Analytics.

Talvez a chegada do GA4 tenha tido alguma coisa a ver com isso.

Talvez seja coincidência.

O que não parece coincidência é o Google ter aberto o acesso à sua IA Bard na Europa três dias depois da aprovação do acordo. Sobretudo considerando que o motivo apresentado para não oferecê-la aqui desde o início era justamente não cumprir a rigorosa política europeia de regulação de dados.

Então, o que vai acontecer agora? Primeiro, Max Schrems vai voltar a recorrer ao TJUE com base no argumento de que as normas americanas sobre vigilância em massa continuam em vigor, embora o novo acordo limite seu uso ao que chama de “proporcional””.

É uma palavra ambígua que não deixa claro a quais dados privados dos cidadãos europeus a administração americana pode acessar.

Por isso, é possível que nos próximos meses tenhamos mais notícias sobre o assunto, em um sentido ou em outro. E será então que saberemos realmente se podemos continuar usando GA4 legalmente ou não.

Até lá, é hora de implementar.

Ou mudar.

Ou rezar. Afinal, toda esta confusão começou por motivos religiosos.

É de cair o queixo.