@filtro ha detto in Google Analytics è illegale in EU?:

un accordo Europa e Us lo troveranno

Speriamo!!

Gli USA rivedranno le loro leggi sulla sorveglianza? Quanto tempo ci metteranno? Che farà il mercato nel frattempo, dato che oggettivamente si creano degli spazi di opportunità? Le aziende tech in EU finalmente investiranno ora che le barriere all'ingresso dovute alla presenza ingombrante di un monopolista di fatto, oggettivamente sono state abbassate? Si potranno fra parentesi sfruttare a questo scopo i fondi del PNRR?

Lo scenario che personalmente mi auguro è che gli USA facciano gli USA e qua da noi come conseguenza del panico scatenato dalle azioni sanzionatorie dei Garanti finalmente si mettano i soldi dove serve e iniziamo a recuperare il gap.

C'è una valanga di lavoro da fare d'ora in avanti se sei un professionista dell'analytics.

@kal USA devono solo tornare a riconoscere l'Europa come alleato, diciamo che Trump era leggermente nazionalista e voleva uscire da qualunque accordo con gli altri stati, Biden vedremo dove vorrà andare per ora non si capisce

Per fare quello che dici ci vogliono decine di anni, siamo leader in altro pensiamo L'Oreal, Ferrero, Nestlé, ecc. ecc. ma nel Digital manca il tessuto sociale ed economico per pensare di arrivare quei livelli in anni serviranno decenni e non basteranno i soldi del PNRR, oltre ad esserci un costo molto più basso nel crescere negli Stati Uniti rispetto all'Europa: una sola lingua, una cultura più simile, un sistema di leggi più omogeneo ecc. ecc. ed avendo vissuto staples Europe i costi di localizzazione sono giganteschi ed incidono pesantemente. La Cina e la Russian anche su questo hanno un vantaggio incredibile rispetto alla vecchia Europa

Sul piano politico: il Patriot Act (fonte primaria su cui poi è stato costruito PRISM) viene dall'era Bush... ma PRISM è fiorito sotto la presidenza Obama che teoricamente avrebbe dovuto essere multilateralista. E Biden sulla carta è dello stesso orientamento. Per me garanzie non ce ne sono, purtroppo.

Su quello economico invece non sono convinto. Certo, c'è un bel gap con gli USA... ma la capacità tecnologica di costruire data center e cablature la abbiamo eccome. La parte realmente tosta è questa (e incidentalmente è anche la parte che fa PIL), il resto è sovrastruttura software che sinceramente non mi sembra un problema di scala decennale.

Credere che non sia possibile mi pare più un discorso di sudditanza che altro.

Soprattutto sul discorso analytics (per l'adv è sicuramente più complicato) qualcosa c'è già adesso che comunque il mercato è praticamente prosciugato da Google. Basta che inizino a fluire un poco di soldi e le soluzioni fioriscono.

Comunque tornando alle cose tecniche in teoria facendo banalmente un proxy lo risolvi perché la chiamata la fai server to server.

Qui qualche esempio anche se vanno sistemati un pochino per tranciare gli IP.

• https://gist.github.com/paivaric/211ca15afd48c5686226f5f747539e8b
• https://xiaopc.net/2020/05/26/How-to-reverse-proxy-Google-Analytics-and-reCaptcha-via-Nginx/

Diciamo che bene o male se il problema è l'IP è relativamente semplice anche senza mettere in mezzo Tag Manager Server side o altro.

@kal ha detto in Google Analytics è illegale in EU?:

ma la capacità tecnologica di costruire data center e cablature la abbiamo eccome

sì questo direi che non è un problema...anche perché la stessa Google, Amazon, Cloudflare etc si appoggiano dentro Data Center di provider Europei per i nodi in loco. Non sono sempre e solo robe loro.

Da un punto di vista tecnico se il problema è che da client l'ip arriva direttamente ai server di GA che solo dopo lo anonimizza si potrebbe risolvere adottando un sistema di tagging server side per tutti i push a GA.

Quindi a quel punto lato client si possono fare dei push a GTM server side su un dominio proprietario e da GTM server side far partire un POST con l'IP già anonimizzato dell'utente.

A quel punto Google Analytics non riceverebbe proprio il dato dell'IP, neanche in un eventuale log di tutti i GET.

Che il futuro di Google Analytics sia quindi totalmente "serve-side"? O tramite GTM o con una pseudo soluzione simile sviluppata direttamente da Google?

@ceravoloalessandro si con Server Side risolvi usando measurement api. Già fattibile.

@kal ha detto in Google Analytics è illegale in EU?:

Bah! Questa discussione su "GA illegale" non l'ho capita!

Per quanto ne so:

"Google, per i dati degli utenti europei ora risponde l'ufficio in Irlanda

Google modifica le regole sulla privacy e trasferisce alla società irlandese il trattamento dei dati personali secondo il Gdpr"

"Da martedì 22 gennaio [2019] Google Ireland, la società irlandese del gruppo, diventerà la titolare del trattamento dei dati personali degli utenti europei."

"“Se l'utente si trova nello Spazio economico europeo o in Svizzera, a meno che non sia indicato diversamente in eventuali termini aggiuntivi, i servizi vengono forniti da Google Ireland Limited ("Google"), una società costituita e operativa ai sensi della legge irlandese (Numero di registrazione: 368047), con sede a Gordon House, Barrow Street, Dublino 4, Irlanda”, il messaggio della multinazionale."

https://www.wired.it/internet/regole/2019/01/21/google-dati-gdpr-irlanda/

@robot Semplicemente Google nell'analisi fatta insieme a garante della privacy Francese e Austriaco ha ammesso che per motivi di backup i dati vengono importanti su server negli Stati Uniti e questo semplicemente non è ammissibile per la GDPR visto che i dati NSA può accedere ai dati di utenti non americani residenti sui server di aziende americane senza la necessità di un mandato di un giudice

@filtro ha detto in Google Analytics è illegale in EU?:

@robot Semplicemente Google nell'analisi fatta insieme a garante della privacy Francese e Austriaco ha ammesso che per motivi di backup i dati vengono importanti su server negli Stati Uniti e questo semplicemente non è ammissibile per la GDPR visto che i dati NSA può accedere ai dati di utenti non americani residenti sui server di aziende americane senza la necessità di un mandato di un giudice

Ok, so a cosa ti riferisci:

"The Austrian Data Protection Authority has decided that the use of Google Analytics violates the General Data Protection Regulation (GDPR). Other EU member states could follow suit, as regulators cooperate in a task force in the European Data Protection Board.

The decision is based on several complaints that the Austrian NGO noyb filed in the wake of the European Court of Justice’s ‘Schrems II’ decision. The CJEU ruled that the US-EU data transfer agreement ‘Privacy Shield’ is not in line with EU data protection law and struck down the agreement in 2020, which rendered most data transfers to the US illegal.

However, the ruling has been partly ignored by Google. During the proceedings, the tech-giant admitted that “all data collected through Google Analytics […] is hosted (i.e. stored and further processed) in the USA,” which includes European users."
https://www.euractiv.com/section/politics/short_news/use-of-google-analytics-violates-eu-law-austrian-authority-rules/

Tuttavia, dal punto di vista del Proprietario de sito, o del Titolare del trattamento dei dati, cosa cambia?
Si fa presente all'utente l'uso di GA come "terze parti", riportando che la ha sede è in Irlanda.

@robot infatti il problema è che la GDPR prevede la multa PER l’esportatore quindi l’azienda che installa GA

@filtro ha detto in Google Analytics è illegale in EU?:

@robot infatti il problema è che la GDPR prevede la multa PER l’esportatore quindi l’azienda che installa GA

Chiariamo una cosa, chi è l'esportatore?

Google Ireland Limited che archivia i dati dei cittadini UE nei servers USA o il titolare del sito italiano che utilizza GA?

Grazie

@robot il titolare del sito. Google è importatore in questo caso

@filtro ha detto in Google Analytics è illegale in EU?:

@robot il titolare del sito. Google è importatore in questo caso

Scusate, mio intrometto da semplice "marketer" (che brutta parola) che utilizza i servizi Google.
Mi sembra che il nodo della questione (e forse errore del GDPR) sia questo: come può una qualunque PMI italiana (o europea) essere legalmente considerata esportatore di dati, visto che non ha alcun controllo sull'infrastruttura di raccolta dati di Google?
Se i servizi sono erogati da Google Ireland Limited, in questo caso l'esportatore dovrebbe essere questo soggetto.

Per fare un esempio concreto: sto facendo consulenza per un progetto di startup non ancora costituita, che dovrebbe fare una campagna Google Ads di raccolta metriche di validazione. Ciò comporta chiaramente l'integrazione di Google Ads e Analytics e l'utilizzo di un servizio di blocco preventivo dei consensi (paradossalmente non si potrebbe neanche usare Cookiebot), ma pur con tutto in regola e con una privacy policy a prova di bomba elaborata da un legale, si porrebbe sempre il problema dell'esportazione dei dati. Se qualcuno (competitor?) facesse un esposto al garante, questa startup verrebbe condannata prima ancora di essere costituita.
Solo io trovo folle tutto ciò?

@claudius il problema è politico per la maggior parte.
Al momento non ho una risposta o una soluzione. Si aspetta

@claudius ha detto in Google Analytics è illegale in EU?:

in questo caso l'esportatore dovrebbe essere questo soggetto.

L'esportatore è l'entità da cui il soggetto proprietario dei Dati Personali ha ricevuto ed eventualmente validato l'Informativa Privacy.

Com'è logico che sia: è il sito che raccoglie i dati... tramite uno script terzo (posizionato sul codice dall'amministratore del sito) che installa un cookie di prima parte e successivamente invia questi dati ad una terza parte.

Non serve essere dei legali per vedere un trattamento di dati in questa cosa.

@claudius ha detto in Google Analytics è illegale in EU?:

Se qualcuno (competitor?) facesse un esposto al garante, questa startup verrebbe condannata prima ancora di essere costituita.

Sì, esatto.

Solo io trovo folle tutto ciò?

Mah, folle o no... questa è la situazione. Io credo che sia abbastanza seria e per quanto il problema sia politico, personalmente non vedo una soluzione politica all'orizzonte.

In giro ho letto solo indiscrezioni e date possibili per un presunto nuovo accordo sparate senza alcuna fonte.

Sappiamo solo che degli accordi ci sono GIÀ stati e sono stati tutti invalidati. Ed è quasi due anni che viaggiamo nell'illegalità de facto più totale.

Se un accordo non è stato raggiunto in 2 anni, davvero pensiamo che possa essere raggiunto ora? Solo perché i Garanti hanno iniziato a multare le aziende?

Giusto stamani ho letto questo a proposito di Adobe Analytics, che si trova in una situazione simile:

https://cunderwood.dev/2022/02/16/adobe-analytics-and-gdpr/

E soprattutto questo passaggio:

When Google reported to the Austrian DPA that the Google Analytics data processing occurred in the United States it prompted an evaluation of lawful processing where the United States data-adequacy was considered. Google was subject to more strict requirements as a result.

In contrast to this, Adobe has several different Data Processing Centers around the world. For the EU specifically, this means that data can be configured to be processed in a leased data center in London per their documentation. Once the data is processed there, it becomes available to the Adobe Experience Cloud.

This is significant, because the data does not leave the EU

Che non è vero, UK è fuori dall'EU... e infatti un commentatore su Linkedin lo fa notare:

https://www.linkedin.com/feed/update/urn:li:activity:6899892218363031553?commentUrn=urn%3Ali%3Acomment%3A(activity%3A6899892218363031553%2C6899979502001143808)

C'è una moratoria di 4 anni (di cui 1 è di fatto già andato)... che è lunga abbastanza per "tirare a campare", ma non per fare scelte di progetto destinate a durare.

E infatti anche le eccezioni che trova l'autore dell'articolo sull'accettabilità della piattaforma a determinate condizioni vengono criticate da un altro commentatore qua: https://www.linkedin.com/feed/update/urn:li:activity:6899892218363031553?commentUrn=urn%3Ali%3Acomment%3A(activity%3A6899892218363031553%2C6900415144162160640)

Per me la questione è seria e non credo convenga stare ad aspettare la politica (che detto tra noi mi sembra decisamente in altre faccende affaccendata).

SOPRATTUTTO in un'ottica di PMI dove non ci sono schiere di avvocati dell'ufficio legale pagati per dare battaglia.

@filtro ha detto in Google Analytics è illegale in EU?:

@claudius il problema è politico per la maggior parte.
Al momento non ho una risposta o una soluzione. Si aspetta

La "politica" si sta muovendo Stato per Stato: dopo l'Austria... la Francia!

La vicenda in oggetto [sito web francese]

La vicenda origina dalla circostanza che Google ha introdotto misure ulteriori per la gestione dei trasferimenti di dati con il servizio di Google Analytics, queste dice il CNIL, garante privacy francese, nella sua valutazione “non sono sufficienti per escludere l’accessibilità di questi dati per i servizi segreti americani” ancora dichiara che esiste “un rischio per gli utenti francesi di siti web che utilizzano questo servizio e i cui dati vengono esportati”.

La decisione del CNIL è molto chiara, sono stati ritenuti illegittimi i trasferimenti dei dati su Google Analytics e ha così ordinato al titolare di un sito web francese di armonizzarsi al GDPR, regolamento sulla privacy europeo, laddove fosse necessario evitare di utilizzare il servizio nelle condizioni attuali.

La decisione del CNIL francese

Pertanto la decisione del CNIL è stata conseguenza di tutte le segnalazioni che venivano portate in essere dall’associazione NOYB, la quale aveva già portato già un po’ di tempo fa ad una presa di coscienza e posizione l’autorità austriaca. Siffatta presa di posizione è stata attuata a seguito dell’illegittimità del trasferimento dei dati nell’ambito dell’uso ininterrotto di Google Analytics.
https://gdpr.net/gdpr-google-analytics-nel-mirino-del-cnil/

Vabbé, faremo a meno di Google Analytics

Anche se dall'Italia ancora non è arrivata una presa di posizione.

@robot la politica di deve muovere per ripristinare il privacy schield tra Europa e Stati Uniti oppure il web è illegale non google analyrics

Segnalo un Google Trends decisamente da monitorare:

https://trends.google.com/trends/explore?q=gdpr google analytics

Si iniziano a notare già diverse cose interessanti ad esempio tra gli argomenti correlati:

A occhio Trends è in ritardo di circa un paio di settimane (segna "Austria" come impennata, quando il caso più recente è in realtà quello della CNIL francese).

Anche il Lichhtenstein prende ufficialmente posizione sulla questione:

https://twitter.com/OdiaKagan/status/1499339806765195264

Qua la traduzione automatica del pezzo più rilevante:

Il DSS invita pertanto i responsabili a progettare siti web in conformità con le normative sulla protezione dei dati e a utilizzare soluzioni alternative conformi alla protezione dei dati al posto di Google Analytics. Anche se DSS non sta attualmente conducendo alcuna indagine ufficiale su Google Analytics, ci sono già stati una serie di reclami in Liechtenstein che potrebbero essere risolti amichevolmente dagli operatori del sito web disabilitando immediatamente Google Analytics.

Grassetto mio, ma è un punto estremamente importante.

Le autorità Garanti Privacy stanno effettivamente raccomandando ai siti sotto inchiesta di rimuovere Google Analytics.

Arriverà anche in Italia una situazione simile, è solo questione di tempo, probabilmente pochi mesi.