Aggiornamento, sul Blog di Google oggi se ne escono con una perla:

It’s time for a new EU-US data transfer framework
If you rely on an open, global internet, you’ll want the European Union and the U.S. government to agree soon on a new data framework to keep the services you use up and running.
https://blog.google/around-the-globe/google-europe/its-time-for-a-new-eu-us-data-transfer-framework/

Hmmm...

Dopo due anni passati a non fare letteralmente nulla, ora che i nodi arrivano al pettine... ha un po' il suono di una resa.

Dato che il problema è sia economico che politico-diplomatico, il gigante incapace di agire invoca l'intervento della politica.

Che è come dire: noi non abbiamo intenzione di cambiare infrastruttura o modificare la raccolta dei dati. Che si mettano d'accordo le autorità regolatorie. Tanto non è solo un problema nostro, muoia Sansone con tutti i Filistei.

Ora, le autorità regolatorie EU sono elefantiache e non muoveranno certamente un dito (vi ricordate Brexit?). Le sentenze ci sono ed è chiaro a tutti che stanno per partire sanzioni a raffica, in più paesi europei. Più passa il tempo e più il rischio si alza. Per tutti.

Le autorità USA che faranno? Staranno anche loro a guardare, credo. Alla fine è un problema dei privati...

Io vedo all'orizzonte:

1. sempre più sanzioni che metteranno al bando GA per i siti dell'EU
2. sempre più clienti ci contatteranno per liberarsi di GA, sull'onda delle suddette sanzioni

Piaccia o no, credo che questo sarà quello che dovremo aspettarci nel corso dei prossimi 12-18 mesi.

Ah, esiste il rischio concreto che le stesse sentenze si estendano a tools adiacenti come le conversioni/remarketing di Google Ads, il Pixel di Facebook... e potenzialmente (mi rendo conto che sarebbe un'apocalisse vera, ma la possibilità c'è) anche lo stesso Google Tag Manager (che comunque raccoglie l'indirizzo IP degli utenti che scaricano la libreria... anche se questo può essere probabilmente risolto proxandola lato server).

Io la vedo grigia.

Probabilmente anche i business model basati sulla pubblicità saranno fortemente a rischio se questa roba passa veramente.

Diventa tutto illegale in sostanza.

Non so se veramente ci guadagnerà qualcuno da questa cosa. Credo proprio di no.

@juanin il punto è che questa roba è già passata. La sentenza Schrems II è del luglio 2020, ormai quasi due anni fa.

La vera domanda è: perché finora non abbiamo fatto nulla di nulla?

Forse Google e l'autorità legislativa USA pensavano davvero che era tutta una finta?

E soprattutto: noi ce la siamo davvero bevuta così?

@juanin ha detto in Google Analytics è illegale in EU?:

Non so se veramente ci guadagnerà qualcuno da questa cosa. Credo proprio di no.

L'atteggiamento di Google è chiaramente "muoia Sansone con tutti i Filistei". Abusa (tanto per cambiare) della sua posizione dominante per minacciare velatamente di tirare giù tutto il mercato dietro di lui.

A me sinceramente questa arroganza da un po' fastidio ed onestamente sono molto curioso di vedere che succede.

La storia recente (non ho citato Brexit per caso) insegna che non puoi davvero pensare di ingaggiare una battaglia muscolare con le istituzioni europee.

Sarai anche un leone con le zanne aguzze, ma l'elefante che vorresti aggredire pesa tonnellate.

@juanin ha detto in Google Analytics è illegale in EU?:

Io la vedo grigia.

Lo è.

@kal al momento non sono sentenze sono provvedimenti quindi non hanno alcun valore legale. Ora dovranno andare in causa e vedere se le osservazioni verranno accolte.

Quindi per ora di sanzioni e di cambiamenti alla normativa non ce ne sono.

Soprattuto facciamo attenzione che tutti parlano di sanzioni a google, ma in realtà la GDPR punisce l’esportatore, non l’importatore. Google in questo caso è importatore mentre il proprietario del sito è l’esportatore

@filtro verissimo, non per nulla sopra scrivevo:

Io vedo all'orizzonte:

1. sempre più sanzioni che metteranno al bando GA per i siti dell'EU
2. sempre più clienti ci contatteranno per liberarsi di GA, sull'onda delle suddette sanzioni

Scenario realistico.

@kal vediamo se è quando arriveranno le sanzioni sono diversi gradi di giudizio e diversi anni di tribunale

@filtro per arrivare sul mercato reale e gettare scompiglio bastano un po' di provvedimenti a pioggia. E le basi giuridiche per questi provvedimenti abbiamo visto che ci sono.

E a rischio di suonare noioso: non c'è solo GA. Di tracker basati su cloud USA che ne sono uno strafotto.

Io non sono ottimista sinceramente.

Domanda da ignorante: questa cosa può avere ripercussioni anche su tutti i servizi che appoggiano dati europei su server US? Tipo Dropbox, mailchimp, ecc..?

@jabba la risposta breve è "sì".

Ad esempio, su MailChimp c'è questa recentissima: https://edpb.europa.eu/news/national-news/2021/bavarian-dpa-baylda-calls-german-company-cease-use-mailchimp-tool_en

Sarebbe veramente l'apocalisse... vediamo che salta fuori

@jabba ha detto in Google Analytics è illegale in EU?:

Sarebbe veramente l'apocalisse... vediamo che salta fuori

La parte buffa di tutta sta faccenda è che l'apocalisse c'è già stata... un anno e mezzo fa. Sembra che caschiamo tutti dal pero, ma la sentenza Schrems II è di luglio 2020!

@kal ma non è questione di essere ottimista o meno e che parliamo di lana caprina in alcuni casi è quando si va a processo conta la capacità dei vari avvocati.

Facciamo un esempio il garante austriaco ritiene che l’anonimozzazione che fa google del
Ip non sia sufficiente perché google avendo visto l’ip potrebbe avere una facile mappa di decodifica, però google dichiara di cancellare le ultime 4 cifre quindi puoi avere la mappa di decodifica che vuoi e ti sfido a ricostruire l’ip originale.

Se ci sarà un processo i tempi saranno lunghi. Aspettiamo e vediamo. È un precedente ma di cose ne possono ancora capitare

@filtro la sentenza austriaca sostanzialmente prende in considerazione l'indirizzo IP solo come una delle componenti della digital fingerprint, in associazione con i cookie client ID e l'user agent.

Sai bene quanto me che per Google fare cookie reconciliation tecnicamente è un gioco da ragazzi. Controlla da solo il 70% degli User Agent sia mobile che desktop... (e nel caso del mobile, l'utente è permanentemente loggato sull'account Google).

Saran bravi quanto vuoi sti avvocati, ma il materiale fondato tecnicamente c'è eccome.

Beh, abbiamo avuto la possibilità di sfruttare il mezzo e di dar loro la possibilità di sfruttarlo... 20anni fa era differente.. e forse un poì meglio...
Io comunque, adotto sia un'analisi dei log e registro ogni tipo di accesso per i miei clienti più importanti proprio perché basarsi sul fatto che esistano entità esterne che ti forniscono dati potrebbe essere un problema se muoiono o magari iniziano a farti pagare cifre stratosferiche.

Detto ciò Google troverà una soluzione.. è solo un "paletto"... ma i soldi da investire non mancano (altrimenti salta)

Magari il problema è su realtà più piccole che forniscono servizi e magari usano tracking ed è li che guadagnano...

Comunque dai basta un bel bannerone di iubenda in cui l'utente perde mezz'ora o clicca "va bene la qualsiasi" e abbiamo risolto

@kal prende in considerazione l’ip come dato personale perché tutto si gioca su questa cosa perché non fosse personale sarebbe esportabile.

Se togli l’ip decade tutto perché il resto non è classificabile come dato personale

@mirkomassarutto il problema è un po’ più ampio, prendiamo la libreria di jqwuey hostata sui server di Amazon.
Essendo che il server si salva l’ip e quel server o si trova negli Stati Uniti o fa backup dei dati di log dove l’ip è presente non potresti utilizzarla.

@kal quella austriaca non è una sentenza è proprio questo il punto, ma è un provvedimento in cui rimanda al garante tedesco un eventuale alto provvedimento e da quel provvedimento potremmo partire una causa e quindi i vari livelli di giudicato.

Certo un provvedimento può trasformarsi in una nuova linea guida del garante che uscirà in una certa data ed avrà un certo tempo di interregno in cui ci si dovrà adattare alle linee guida.
Per ora non c’è una sentenza non c’è una nuova linea guida ergo business as usual.

Quello che mi aspetto è che scherms intenti una class action a difesa dei consumatori e delle aziende europe contro google partendo dal provvedimento austriaco chiederà quei 6 miliardi di euro: 10 euro per ogni cittadino europeo entrato in contatto con google analytics.

E potrebbe anche vincerla obbligando google a cambiare la gestione, ma questo è fare nostradamus ci posso azzeccare come no

@filtro infatti ho citato "esistano entità esterne"
detto questo "almeno per ora" molte puoi evitarle... mettendole in local (io per esempio utilizzo svg di fontawesome direttamente dal mio server perché sicuramente guadagno anche in tempi di risposta)... idem con jquery (si cdn comoda... ma ribadisco che se schiatta non hai un soluzione di backup)

ogni cosa che utilizzi esternamente ha la "sua policy" e li stai...

Ma domanda, questa cosa può andare realmente avanti?

Perché se lo fa, in linea teorica anche tutto Microsoft 365 e compagnia cantante è illegale.

E ormai anche diverse infrastrutture dello stato (italiano in primis) si basano proprio su servizi USA.

@eleclipse ha detto in Google Analytics è illegale in EU?:

Ma domanda, questa cosa può andare realmente avanti?

Sì, credo che possiamo aspettarcelo.

Perché se lo fa, in linea teorica anche tutto Microsoft 365 e compagnia cantante è illegale.

https://edps.europa.eu/press-publications/press-news/press-releases/2021/edps-opens-two-investigations-following-schrems_en

E ormai anche diverse infrastrutture dello stato (italiano in primis) si basano proprio su servizi USA.

Non a caso nel mio post di inizio discussione ho segnalato questa iniziativa: https://designers.italia.it/progetti/web-analytics-italia/