@juanin vero, ma non fa altro che confermare lo scenario eh. Altrimenti perché sbattersi ad offuscare?

Dai non nascondiamoci dietro un dito

@kal stai piegando le cose per perorare la tua tesi che va al di la d Schremp2 e di quello per cui oggi stiamo discutendo:

I dati di Google Analytics sono dati personali se non anonimizzaimo l'ip sì, perché l'IP e l'unico elemento ad oggi riconosciuto come dato personale a livello legale.
Il Garante della privacy contesta come Google anonimizza tale ip (oltretutto solo se richiesto dal proprietario del sito) e questo è IL problema che potrebbe bloccare tutto non solo Google Analytics se l'ip viene esportato negli USA.

Questa è la discussione tutto il resto ci spostiamo su altro ambito che è l'ambito dell'advertising che non ha alcun collegamento con quello con cui stiamo discutendo perché:

Se sono una ditta europea posso raccogliere tutti i tipi di dati, fare finger printing e le peggio cose a livello di tracking e se lo attivo dopo il consenso dell'utente rispetto Schremp2 e questo non risolve il problema della privacy dell'utente.
Facciamo un esempio: Criteo grandissimo player dell'advertising è europeo con base a Parigi e può fare quello che vuole dopo l'accettazione del utente, basta che non trasferisca i dati in US.

Torniamo al tema del post a Schremp2 ed all'esportazione del dato negli US, perché il resto è semplicemente fuori tema: come insinuare il dubbio che Google unisca i dati di analytics con i dati di advertising senza attivare le funzioni di advertising per acquisire non si sa quali dati senza il quali non potrebbe avere un'ottima targetizzazione.

A mio parere ritenere che l'ip anonimizzato cancellando le ultime 4 cifre possa portare in qualche modo a riconoscere l'utente perché google da qualche parte potrebbe avere una tabella per fare il mapping è semplicemente azzardato senza avere accesso i dati. Se avendo accesso i dati si scopre che invece di cancellarli ne fa hash allora ha ragione il garante della privacy, altrimenti il caso è già chiuso.

@kal chiaro. Nel senso che si poteva fare, ma piano piano sarà sempre più difficile e se comunque ora senza consenso anche la piattaforma in sé offusca ovviamente ci saranno dei non-coverage che andranno a recuperare con metodi statistici.

@kal parliamo di Google Analytics e dei sistemi di analisi oppure dei sistemi di advertising?

Perché sono ambiti diversi ed unirli anche nel caso di Google non ha senso visto che vivono in ambienti separati fino a prova contraria e lo dimostra che per attivare le funzioni di Advertising di GA viene fatta una seconda chiamata ai server di advertising per fare il cookie synch

@filtro ha detto in Google Analytics è illegale in EU?:

@kal stai piegando le cose per perorare la tua tesi che va al di la d Schremp2 e di quello per cui oggi stiamo discutendo:

I dati di Google Analytics sono dati personali se non anonimizzaimo l'ip sì, perché l'IP e l'unico elemento ad oggi riconosciuto come dato personale a livello legale.
Il Garante della privacy contesta come Google anonimizza tale ip (oltretutto solo se richiesto dal proprietario del sito) e questo è IL problema che potrebbe bloccare tutto non solo Google Analytics se l'ip viene esportato negli USA.

Questa è la discussione tutto il resto ci spostiamo su altro ambito che è l'ambito dell'advertising che non ha alcun collegamento con quello con cui stiamo discutendo perché:

Se sono una ditta europea posso raccogliere tutti i tipi di dati, fare finger printing e le peggio cose a livello di tracking e se lo attivo dopo il consenso dell'utente rispetto Schremp2 e questo non risolve il problema della privacy dell'utente.
Facciamo un esempio: Criteo grandissimo player dell'advertising è europeo con base a Parigi e può fare quello che vuole dopo l'accettazione del utente, basta che non trasferisca i dati in US.

Torniamo al tema del post a Schremp2 ed all'esportazione del dato negli US, perché il resto è semplicemente fuori tema: come insinuare il dubbio che Google unisca i dati di analytics con i dati di advertising senza attivare le funzioni di advertising per acquisire non si sa quali dati senza il quali non potrebbe avere un'ottima targetizzazione.

A mio parere ritenere che l'ip anonimizzato cancellando le ultime 4 cifre possa portare in qualche modo a riconoscere l'utente perché google da qualche parte potrebbe avere una tabella per fare il mapping è semplicemente azzardato senza avere accesso i dati. Se avendo accesso i dati si scopre che invece di cancellarli ne fa hash allora ha ragione il garante della privacy, altrimenti il caso è già chiuso.

Guarda che c'è tutto scritto nel provvedimento del Garante austriaco eh.

Cito dalla versione tradotta in inglese (pagina 39):

In addition, the submission of the second respondent cannot be followed because the Google

Analytics identifier - as stated above - is in any case combined with other elements and even with one

that is undisputedly attributable to the complainant Google Account can be associated.

The mentioned "anonymization function of the IP address" is not relevant on a case-by-case basis,

since - as also stated above - not has been implemented correctly. Apart from that, the IP address is

only one of many “puzzle pieces” of the complainant's digital footprint.

As a further interim result, it should be noted that the "additional measures" in question not are

effective, as these do not close the legal protection gaps identified in the framework of the judgment

of the ECJ of June 20, 2020 - i.e. the access and monitoring options of US intelligence services.

Come vedi parlano abbastanza chiaramente di digital fingerprint associata al Google Account. Citano espressamente l'indirizzo IP come "uno di molti pezzi di un puzzle" e la capacità di Google di fare cookie synch per via del fatto che l'utente è loggato ad un Account Google.

Quello che dici tu che "solo l'indirizzo IP è un dato personale il resto non conta" non è assolutamente vero.

Anzi francamente in più mi suona veramente tanto di Google-pensiero (cit.).

Ormai il concetto di digital fingerprint come dato personale è abbondantemente sdoganato.

@kal però la funzione è google signals che si attiva solo se hai advertising abilitato come da [documentazione]
(https://support.google.com/analytics/answer/9445345?hl=en#zippy=%2Cin-this-article%2Ccross-platform-reporting)

Ritorniamo al punto precedente che diventa facile far cadere le accuse.

@filtro non c'entrano nulla i "Google Signals". Nel provvedimento vengono nominati più volte come "disattivati" (chiaro tentativo di difesa), ma il garante comunque giunge alle conclusioni citate sopra.

E il perché è presto detto... Google Signals è il nome COMMERCIALE del servizio di riconciliazione cookie tramite fingerprinting che GA offre ai suoi clienti.

Ma Google non ha bisogno tecnicamente che il cliente finale lo attivi per porlo in essere. La tecnologia c'è già ed è pronta da usare (al punto che basta schiacciare un pulsantino da backend per attivarla).

Google per mezzo di GA raccoglie dati sufficienti per fare fingerprinting?

Se la risposta è sì (e lo è, non nascondiamoci dietro a un dito), allora sta trattando dati personali.

Io l'ho scritto sopra e lo ripeto: GA può diventare davvero anonimo solo se un intermediario in area EU ripulisce COMPLETAMENTE i dati di indirizzi IP e User Agent.

Con il solo client ID è davvero impossibile fare fingerprint ed a quel punto torna davvero ad essere dato pseudonimo non personale.

@kal la posizione del garante è abbastanza debole sul dato personale: GA senza funzioni di advertising non raccoglie abbastanza informazioni per fare fingerprinting se l'ip è anonimizzato, perché proprio cita il fatto che google potrebbe recuperare quel dato non si sa come usando funzioni di fingeprinting che senza Advertising non sono attive e ti ricordo che si attivano facendo un cookie synch quindi sono dati di un'altra piattaforma non della stessa piattaforma.
Quindi torniamo all'ip anonimizzato secondo loro non in modo abbastanza completo.

GA sincronizzandosi con l'infrastruttura di advertsing ne raccoglie più che abbastanza se attiviamo le funzioni connesse che prevedono un cookie synch, un cookie di terza parte, un collegamento con in login degli account google, ecc. ecc

La difesa di Google è debole su un punto nevralgico che viene riportato fra le righe: ma se lei funzioni di advertising sono attive tu stai importando i dai in US e siamo punto a capo.

Lavorandoci tutti i giorni in datrix:
lo user agent da solo non basta per fare fingerprinting, è uno degli elementi alla base dei famosi statistical ID perché fingerprinting è una brutta parola.

ip + user agent migliora le cose, ma comunque mi porta a migliaia di utenti con le stesse informazioni

ip + user agent + cookie di terza parte + analisi non indifferente dei dati, mi riduce a qualche centinaio di persone

ip + user agent, + cookie di terza parte + schifezze non indifferenti sfruttando bug dei browser, il canvas html ed altre amenità lato mobile: sì mi permette di arrivare al singolo utente. (molti di queste non più praticabili) ad esempio ad oggi è notizia che in safari posso accedere alla history del browser.

ip + user agent mi identifica un utente solo se ho 10 utenti con ip e useragent differenti, ma se parliamo di milioni di utenti la situazione si complica di molto e bisogna usare molti altri dati.

@filtro ha detto in Google Analytics è illegale in EU?:

usando funzioni di fingeprinting che senza Advertising non sono attive

Guarda, facendola semplice semplice e schematica...

A) La hit di GA contiene:

• IP
• User Agent
• URL risorsa
• timestamp
• Client ID

B) La telemetria del browser contiene le stesse robe:

• IP
• User Agent
• Client ID (? non sono sicuro che le hit del pannello network siano registrate nella telemetria... le page load invece assolutamente sì)
• URL risorsa
• timestamp
• più eventuali hit concomitanti inviate a Google dallo stesso IP+User Agent come terza parte grazie all'utente loggato

C) La telemetria del sistema operativo contiene:

• IP
• Account Google

A) si collega a B) con il Client ID o con una combinazione di timestamp+URL risorsa oltre ad User Agent ed IP. B) si collega a C) con l'Account Google.

Non hai bisogno dei Google Signals se controlli l'ecosistema. Google Signals servono eventualmente al cliente finale, ma Google ce li ha belli belli già pronti a backend.

La parte un po' sporca è quella della telemetria browser, dato che non è detto vi siano hit concomitanti (subito prima/dopo), ma Google raccoglie talmente tanti di quei dati che prima o poi il collegamento lo fa.

EDIT: come non detto, se salvi la cronologia di navigazione nell'account Google (ed è attiva di default), allora il collegamento è puntuale e non probabilistico. Non c'è manco bisogno di chiamare in causa l'OS in questo scenario.

Attenzione, io non so se lo facciano veramente... ma non è rilevante. Possono farlo e quindi in ottica di privacy bisogna dare per presupposto che lo facciano.

Anche perché (e questa è la parte davvero rilevante che ci riporta in topic) se non lo fa Google comunque può farlo il Governo USA, basta che bussi alla porta di Google con un pezzo di carta del formaggio con scritto su "motivazioni di sicurezza nazionale".

Che è esattamente il cuore del problema dal punto di vista legale affrontato nella sentenza Schrems II.

Ciao
mi sono un po' studiato la questione dell'aggiornamento della Privacy, la questione è complessa ma come mai in tutto questo polverone nessuno parla dei log sul server? Li c'è tutto e in chiaro. Le vere problematiche sulla privacy sono ben altre.

P.s.
Ci sono molte cose tralasciate di cui si parla pochissimo. C'è chi fa ancora scraping di email e numeri di telefono sul Web senza farsi nessuno scrupolo nel farlo. Se gli scrivi in merito dicono che si sono sbagliati, si scusano e continuano tranquillamente a fare spam.

@sermatica ha detto in Google Analytics è illegale in EU?:

mai in tutto questo polverone nessuno parla dei log sul server? Li c'è tutto e in chiaro. Le vere problematiche sulla privacy sono ben altre.

Nessuno ne parla perché non è in topic

Il nucleo centrale della questione è l'esportazione di dati personali dall'EU verso gli USA, definito come sempre illegale all'interno della sentenza Schrems II.

Questo provvedimento del Garante austriaco verso il sito che fa(ceva) uso di GA è semplicemente un'applicazione speciale della regola generale.

Per riassumere:

1. è sempre illegale esportare in modo indiscriminato dati personali da uno stato EU verso gli USA (salvo eccezioni molto specifiche)
2. GA manda dati in modo indiscriminato dagli EU verso gli USA
3. i dati che manda GA sono passibili di digital fingerprint e per questo motivo sono stati classificati dal Garante austriaco come dati personali

Questo non è equivalente al rendere "illegale" GA in EU. Significa solo che se hai un'attività in EU e stai usando Google Analytics, sei a rischio di sanzione.

Quindi, allo stato attuale... GA è illegale in EU? No o perlomeno non ancora.

Se usi GA e sei un'azienda EU rischi sanzioni? Sì.

Quanto si rischia veramente? Chissà. Difficile da stimare.

@kal ha detto in Google Analytics è illegale in EU?:

Questo non è equivalente al rendere "illegale" GA in EU. Significa solo che se hai un'attività in EU e stai usando Google Analytics, sei a rischio di sanzione.
Quindi, allo stato attuale... GA è illegale in EU? No o perlomeno non ancora.
Se usi GA e sei un'azienda EU rischi sanzioni? Sì.
Quanto si rischia veramente? Chissà. Difficile da stimare.

Se è illegale o non conforme alla legge in Europa che lo rendano non accessibile a chi vive in Europa. Ma la questione non è solo GA.

@sermatica ha detto in Google Analytics è illegale in EU?:

Se è illegale o non conforme alla legge in Europa che lo rendano non accessibile a chi vive in Europa.

Google sostiene che lo sia, sulla base di alcune Clausole Speciali. E non è un problema suo, perché (per il momento) non rischia sanzioni, la legge colpisce chi esporta.

Ciao a tutti, qui su LinkedIn ho provato a sintetizzare la questione, corroborando la mia personalissima (e dunque altrettanto discutibile) lettura con quanto emerge nella puntata di #Garantismi dedicata al tema, che credo sia - al momento - la fonte più autorevole di cui disponiamo visto che vede l'autore Matteo Flora a confronto con Guido Scorza componente del collegio del Garante per la protezione dei dati personali.

Grazie del parere! Mi permetto di chiosare su questo punto:

In concreto, se nella privacy policy (che i miei utenti devono leggere e approvare), spiego per filo e per segno come stanno le cose e perché ho scelto di usare ad esempio Google Analitics, e i miei utenti acconsentono al trasferimento proposto, posso ritenermi "in regola" o no?

Se spieghi davvero quali sono i rischi (ovvero: "il Governo USA può identificarti come individuo ed accedere ai tuoi dati personali"), chi sarebbe mai così pazzo da cliccare su "Accetto"?

@kal in effetti è stata grosso modo questa l'obiezione dei miei colleghi al legale: come fai ad informare un utente del fatto che hai deciso, consapevolmente, di utilizzare un sistema che mette a rischio la sicurezza dei loro dati personali?

@simbon la riposta dovrebbe essere ovvia.

E lo dico con la morte nel cuore, dato che personalmente adoro Google Analytics (Universal) come strumento... ma stiamo arrivando a passi da gigante alla resa dei conti.

Gli USA rivedranno la loro legislazione per garantire sicurezza ai dati dei cittadini EU?

Lo vedremo, anche se personalmente non sono pronto a scommetterci.

@kal Il problema è che non ci sono altre vie d'uscita. O gli USA "si arrendono" e rinunciano alla possibilità di accedere ai dati dei cittadini europei (magari mantenendo la possibilità di accedere ai dati dei loro cittadini? Certo creerebbe una disparità di trattamento difficilmente giustificabile) o l'Europa cede in parte alle velleità di controllo USA (magari andando a dettagliare le clausole di "permesso all'accesso dei dati dei cittadini europei", ma anche qui non mi sembra una soluzione semplice). Nel frattempo alcune aziende (cito come esempio il caso MailChimp, visto che è un'altra delle aziende coinvolte nelle sentenze post-Schrems II) si stanno organizzando per creare data center basati in Europa, ma si tratta di iniziative sporadiche, costose, e lunghe nei tempi di realizzazione, che non possono rappresentare una soluzione generalizzata, anche perché fanno ricadere sui privati (per quanto con spalle larghe) i costi di una mancata decisione politica.

@simbon il problema non è data center in Europa ma aziende europee se quei data center sono di proprietà di un’azienda americana si torna al punto precedente

@simbon come dice @filtro la questione non si risolve solo con un datacenter su suolo EU.

Serve proprio che l'azienda non sia soggetta al Diritto USA.