Comunque scusatemi il francesismo, ma mi sembra una grossa "minchiata" tutto questo potenziale scenario.

Non puoi decidere dall'oggi al domani che la normalità diventi illegalità diffusa dai. Non sta in piedi con tutti il rispetto per le autorità garanti e per l'Unione Europea.

Per pensare un adeguamento del genere servono anni. Non mesi.

@juanin ha detto in Google Analytics è illegale in EU?:

Non puoi decidere dall'oggi al domani

Ma non è stato deciso "dall'oggi al domani". Se cerchi documentazione sul Privacy Shield e sulla sentenza Schrems II se n'è discusso TANTISSIMO negli ambienti giuridici. Sia prima che poi. (per dire... "widely anticipated" scrivono qui) E la sentenza Schrems I è del 2015, già lì si capiva in che direzione stavamo andando.

Siamo noialtri che ci siamo svegliati ora.

Poi c'è il fatto che i nostri fornitori USA per tenersi i clienti hanno fatto orecchie da mercante, assumendo una posizione da "è tutto ok non vi preoccupate, stanno solo scherzando" e noi non ci siamo preoccupati, quando invece forse forse avremmo dovuto... iniziando da subito a considerare di cambiare fornitori. Qualcuno lo ha fatto effettivamente.

Mentre gli attivisti privacy Schrems in testa andavano avanti come i panzer, noi ce ne siamo oggettivamente disinteressati.

@eleclipse ha detto in Google Analytics è illegale in EU?:

Che dire, sembrano le basi per un possibile stravolgimento

Yep, infatti è proprio quello che ho scritto nel mio post iniziale.

@kal sì ok chiaro che va avanti da anni, ma ora come dice @filtro tra questa sentenza e quello che sarà secondo me ce ne passa. Non è che post questa sentenza adesso parte la macchinetta automatica delle sanzioni.

Follia pura. Anche perché le sanzioni non toccheranno solo a Google & Co.

@juanin ha detto in Google Analytics è illegale in EU?:

Non è che post questa sentenza adesso parte la macchinetta automatica delle sanzioni.

Non parte la "macchinetta automatica"... ma certamente aumenta il profilo di rischio. Anzi, il profilo di rischio è aumentato di colpo dopo la Schrems II, siamo noialtri che lo abbiamo "prezzato" male.

Alla fine l'approccio alla gestione della privacy è sempre stato basato su una valutazione del rischio commisurato al contesto.

Aziende grandi con molti dati personali devono mettere in atto procedure più solide, fornitori certificati etc.

Era così anche prima.

Follia pura. Anche perché le sanzioni non toccheranno solo a Google & Co.

Infatti le sanzioni le becchiamo "noi"!

@kal @juanin usiamo le pare le giuste: questa non è una sentenza ma un provvedimento: ergo non ha alcun valore legale.

Dà una possibile direzione secondo il garante della privacy austriaca che potrà o meno essere presa in considerazione e trasformarsi in una sentenza a cui si potrà fare appello ecc ecc. anni di tribunale.

Esempio che non vuole essere la soluzione se invalidano la visione del garante austriaca per cui l’anonimmozzazione del ip fatta da google è per il garante austriaco una pseudo anonimizzazione e quindi ancora dato personale, tutto salta.

I dettagli qui sono importanti e non siamo noi a poter dire se sarà possibile o no.

Nel mentre potrebbero arrivare nuove linee guida con dei tempi per adattarsi ad esse.

Tutto il resto è pura fantasia.

@filtro la sentenza a cui faccio riferimento è la Schrems II.

Questo provvedimento del garante privacy austriaco ha tutta l'aria di essere il primo di una serie.

Vero che "ci vorranno anni", ma io credo che non serva a molto mettere la testa sotto la sabbia: trasferire dati personali in USA è illegale per l'ordinamento UE.

E chi fa analytics o peggio ancora advertising nei dati personali ci sguazza, non è che possiamo davvero girarci attorno.

Indirizzo IP (anche se mascherato) + User Agent (in particolar modo se mobile che è un dispositivo personale) + client ID = una persona singolarmente identificabile.

È così e lo sappiamo.

Possiamo solo decidere se farci i conti ora oppure poi.

@kal non concordo

ip anonimizzato cancellando le ultime 4 cifre non recuperabili + cookie di prima parte + user agent

non identifico nessuna persona, ma proprio nessuna e non posso collegare il suo comportamento su nessun altro sito.

In Italia anche con l'ip non anonimizzato ti sfido a riconoscere l'utente con quella combinazione visto come sono assegnati gli ip

@filtro ha detto in Google Analytics è illegale in EU?:

non identifico nessuna persona, ma proprio nessuna e non posso collegare il suo comportamento su nessun altro sito.

Neanche se sei il proprietario di quell'user agent di cui raccogli i dati di telemetria, nonché del sistema operativo su cui lo stesso è installato?

@kal considera pure che ora iOS non manda più neanche lo user agent, e con l'app transparency non ti manda più neanche il device ID. I browser si stanno muovendo per seguire e lo stesso sta facendo Android.

La direzione è quella...se hai il dato di prima parte sei fortunato altrimenti ti attacchi e oltre a questo Apple sta pure marciando verso chi ha il dato di prima parte randomizzando la mail di iscrizione.

@juanin vero, ma non fa altro che confermare lo scenario eh. Altrimenti perché sbattersi ad offuscare?

Dai non nascondiamoci dietro un dito

@kal stai piegando le cose per perorare la tua tesi che va al di la d Schremp2 e di quello per cui oggi stiamo discutendo:

I dati di Google Analytics sono dati personali se non anonimizzaimo l'ip sì, perché l'IP e l'unico elemento ad oggi riconosciuto come dato personale a livello legale.
Il Garante della privacy contesta come Google anonimizza tale ip (oltretutto solo se richiesto dal proprietario del sito) e questo è IL problema che potrebbe bloccare tutto non solo Google Analytics se l'ip viene esportato negli USA.

Questa è la discussione tutto il resto ci spostiamo su altro ambito che è l'ambito dell'advertising che non ha alcun collegamento con quello con cui stiamo discutendo perché:

Se sono una ditta europea posso raccogliere tutti i tipi di dati, fare finger printing e le peggio cose a livello di tracking e se lo attivo dopo il consenso dell'utente rispetto Schremp2 e questo non risolve il problema della privacy dell'utente.
Facciamo un esempio: Criteo grandissimo player dell'advertising è europeo con base a Parigi e può fare quello che vuole dopo l'accettazione del utente, basta che non trasferisca i dati in US.

Torniamo al tema del post a Schremp2 ed all'esportazione del dato negli US, perché il resto è semplicemente fuori tema: come insinuare il dubbio che Google unisca i dati di analytics con i dati di advertising senza attivare le funzioni di advertising per acquisire non si sa quali dati senza il quali non potrebbe avere un'ottima targetizzazione.

A mio parere ritenere che l'ip anonimizzato cancellando le ultime 4 cifre possa portare in qualche modo a riconoscere l'utente perché google da qualche parte potrebbe avere una tabella per fare il mapping è semplicemente azzardato senza avere accesso i dati. Se avendo accesso i dati si scopre che invece di cancellarli ne fa hash allora ha ragione il garante della privacy, altrimenti il caso è già chiuso.

@kal chiaro. Nel senso che si poteva fare, ma piano piano sarà sempre più difficile e se comunque ora senza consenso anche la piattaforma in sé offusca ovviamente ci saranno dei non-coverage che andranno a recuperare con metodi statistici.

@kal parliamo di Google Analytics e dei sistemi di analisi oppure dei sistemi di advertising?

Perché sono ambiti diversi ed unirli anche nel caso di Google non ha senso visto che vivono in ambienti separati fino a prova contraria e lo dimostra che per attivare le funzioni di Advertising di GA viene fatta una seconda chiamata ai server di advertising per fare il cookie synch

@filtro ha detto in Google Analytics è illegale in EU?:

@kal stai piegando le cose per perorare la tua tesi che va al di la d Schremp2 e di quello per cui oggi stiamo discutendo:

I dati di Google Analytics sono dati personali se non anonimizzaimo l'ip sì, perché l'IP e l'unico elemento ad oggi riconosciuto come dato personale a livello legale.
Il Garante della privacy contesta come Google anonimizza tale ip (oltretutto solo se richiesto dal proprietario del sito) e questo è IL problema che potrebbe bloccare tutto non solo Google Analytics se l'ip viene esportato negli USA.

Questa è la discussione tutto il resto ci spostiamo su altro ambito che è l'ambito dell'advertising che non ha alcun collegamento con quello con cui stiamo discutendo perché:

Se sono una ditta europea posso raccogliere tutti i tipi di dati, fare finger printing e le peggio cose a livello di tracking e se lo attivo dopo il consenso dell'utente rispetto Schremp2 e questo non risolve il problema della privacy dell'utente.
Facciamo un esempio: Criteo grandissimo player dell'advertising è europeo con base a Parigi e può fare quello che vuole dopo l'accettazione del utente, basta che non trasferisca i dati in US.

Torniamo al tema del post a Schremp2 ed all'esportazione del dato negli US, perché il resto è semplicemente fuori tema: come insinuare il dubbio che Google unisca i dati di analytics con i dati di advertising senza attivare le funzioni di advertising per acquisire non si sa quali dati senza il quali non potrebbe avere un'ottima targetizzazione.

A mio parere ritenere che l'ip anonimizzato cancellando le ultime 4 cifre possa portare in qualche modo a riconoscere l'utente perché google da qualche parte potrebbe avere una tabella per fare il mapping è semplicemente azzardato senza avere accesso i dati. Se avendo accesso i dati si scopre che invece di cancellarli ne fa hash allora ha ragione il garante della privacy, altrimenti il caso è già chiuso.

Guarda che c'è tutto scritto nel provvedimento del Garante austriaco eh.

Cito dalla versione tradotta in inglese (pagina 39):

In addition, the submission of the second respondent cannot be followed because the Google

Analytics identifier - as stated above - is in any case combined with other elements and even with one

that is undisputedly attributable to the complainant Google Account can be associated.

The mentioned "anonymization function of the IP address" is not relevant on a case-by-case basis,

since - as also stated above - not has been implemented correctly. Apart from that, the IP address is

only one of many “puzzle pieces” of the complainant's digital footprint.

As a further interim result, it should be noted that the "additional measures" in question not are

effective, as these do not close the legal protection gaps identified in the framework of the judgment

of the ECJ of June 20, 2020 - i.e. the access and monitoring options of US intelligence services.

Come vedi parlano abbastanza chiaramente di digital fingerprint associata al Google Account. Citano espressamente l'indirizzo IP come "uno di molti pezzi di un puzzle" e la capacità di Google di fare cookie synch per via del fatto che l'utente è loggato ad un Account Google.

Quello che dici tu che "solo l'indirizzo IP è un dato personale il resto non conta" non è assolutamente vero.

Anzi francamente in più mi suona veramente tanto di Google-pensiero (cit.).

Ormai il concetto di digital fingerprint come dato personale è abbondantemente sdoganato.

@kal però la funzione è google signals che si attiva solo se hai advertising abilitato come da [documentazione]
(https://support.google.com/analytics/answer/9445345?hl=en#zippy=%2Cin-this-article%2Ccross-platform-reporting)

Ritorniamo al punto precedente che diventa facile far cadere le accuse.

@filtro non c'entrano nulla i "Google Signals". Nel provvedimento vengono nominati più volte come "disattivati" (chiaro tentativo di difesa), ma il garante comunque giunge alle conclusioni citate sopra.

E il perché è presto detto... Google Signals è il nome COMMERCIALE del servizio di riconciliazione cookie tramite fingerprinting che GA offre ai suoi clienti.

Ma Google non ha bisogno tecnicamente che il cliente finale lo attivi per porlo in essere. La tecnologia c'è già ed è pronta da usare (al punto che basta schiacciare un pulsantino da backend per attivarla).

Google per mezzo di GA raccoglie dati sufficienti per fare fingerprinting?

Se la risposta è sì (e lo è, non nascondiamoci dietro a un dito), allora sta trattando dati personali.

Io l'ho scritto sopra e lo ripeto: GA può diventare davvero anonimo solo se un intermediario in area EU ripulisce COMPLETAMENTE i dati di indirizzi IP e User Agent.

Con il solo client ID è davvero impossibile fare fingerprint ed a quel punto torna davvero ad essere dato pseudonimo non personale.

@kal la posizione del garante è abbastanza debole sul dato personale: GA senza funzioni di advertising non raccoglie abbastanza informazioni per fare fingerprinting se l'ip è anonimizzato, perché proprio cita il fatto che google potrebbe recuperare quel dato non si sa come usando funzioni di fingeprinting che senza Advertising non sono attive e ti ricordo che si attivano facendo un cookie synch quindi sono dati di un'altra piattaforma non della stessa piattaforma.
Quindi torniamo all'ip anonimizzato secondo loro non in modo abbastanza completo.

GA sincronizzandosi con l'infrastruttura di advertsing ne raccoglie più che abbastanza se attiviamo le funzioni connesse che prevedono un cookie synch, un cookie di terza parte, un collegamento con in login degli account google, ecc. ecc

La difesa di Google è debole su un punto nevralgico che viene riportato fra le righe: ma se lei funzioni di advertising sono attive tu stai importando i dai in US e siamo punto a capo.

Lavorandoci tutti i giorni in datrix:
lo user agent da solo non basta per fare fingerprinting, è uno degli elementi alla base dei famosi statistical ID perché fingerprinting è una brutta parola.

ip + user agent migliora le cose, ma comunque mi porta a migliaia di utenti con le stesse informazioni

ip + user agent + cookie di terza parte + analisi non indifferente dei dati, mi riduce a qualche centinaio di persone

ip + user agent, + cookie di terza parte + schifezze non indifferenti sfruttando bug dei browser, il canvas html ed altre amenità lato mobile: sì mi permette di arrivare al singolo utente. (molti di queste non più praticabili) ad esempio ad oggi è notizia che in safari posso accedere alla history del browser.

ip + user agent mi identifica un utente solo se ho 10 utenti con ip e useragent differenti, ma se parliamo di milioni di utenti la situazione si complica di molto e bisogna usare molti altri dati.

@filtro ha detto in Google Analytics è illegale in EU?:

usando funzioni di fingeprinting che senza Advertising non sono attive

Guarda, facendola semplice semplice e schematica...

A) La hit di GA contiene:

• IP
• User Agent
• URL risorsa
• timestamp
• Client ID

B) La telemetria del browser contiene le stesse robe:

• IP
• User Agent
• Client ID (? non sono sicuro che le hit del pannello network siano registrate nella telemetria... le page load invece assolutamente sì)
• URL risorsa
• timestamp
• più eventuali hit concomitanti inviate a Google dallo stesso IP+User Agent come terza parte grazie all'utente loggato

C) La telemetria del sistema operativo contiene:

• IP
• Account Google

A) si collega a B) con il Client ID o con una combinazione di timestamp+URL risorsa oltre ad User Agent ed IP. B) si collega a C) con l'Account Google.

Non hai bisogno dei Google Signals se controlli l'ecosistema. Google Signals servono eventualmente al cliente finale, ma Google ce li ha belli belli già pronti a backend.

La parte un po' sporca è quella della telemetria browser, dato che non è detto vi siano hit concomitanti (subito prima/dopo), ma Google raccoglie talmente tanti di quei dati che prima o poi il collegamento lo fa.

EDIT: come non detto, se salvi la cronologia di navigazione nell'account Google (ed è attiva di default), allora il collegamento è puntuale e non probabilistico. Non c'è manco bisogno di chiamare in causa l'OS in questo scenario.

Attenzione, io non so se lo facciano veramente... ma non è rilevante. Possono farlo e quindi in ottica di privacy bisogna dare per presupposto che lo facciano.

Anche perché (e questa è la parte davvero rilevante che ci riporta in topic) se non lo fa Google comunque può farlo il Governo USA, basta che bussi alla porta di Google con un pezzo di carta del formaggio con scritto su "motivazioni di sicurezza nazionale".

Che è esattamente il cuore del problema dal punto di vista legale affrontato nella sentenza Schrems II.

Ciao
mi sono un po' studiato la questione dell'aggiornamento della Privacy, la questione è complessa ma come mai in tutto questo polverone nessuno parla dei log sul server? Li c'è tutto e in chiaro. Le vere problematiche sulla privacy sono ben altre.

P.s.
Ci sono molte cose tralasciate di cui si parla pochissimo. C'è chi fa ancora scraping di email e numeri di telefono sul Web senza farsi nessuno scrupolo nel farlo. Se gli scrivi in merito dicono che si sono sbagliati, si scusano e continuano tranquillamente a fare spam.

@sermatica ha detto in Google Analytics è illegale in EU?:

mai in tutto questo polverone nessuno parla dei log sul server? Li c'è tutto e in chiaro. Le vere problematiche sulla privacy sono ben altre.

Nessuno ne parla perché non è in topic

Il nucleo centrale della questione è l'esportazione di dati personali dall'EU verso gli USA, definito come sempre illegale all'interno della sentenza Schrems II.

Questo provvedimento del Garante austriaco verso il sito che fa(ceva) uso di GA è semplicemente un'applicazione speciale della regola generale.

Per riassumere:

1. è sempre illegale esportare in modo indiscriminato dati personali da uno stato EU verso gli USA (salvo eccezioni molto specifiche)
2. GA manda dati in modo indiscriminato dagli EU verso gli USA
3. i dati che manda GA sono passibili di digital fingerprint e per questo motivo sono stati classificati dal Garante austriaco come dati personali

Questo non è equivalente al rendere "illegale" GA in EU. Significa solo che se hai un'attività in EU e stai usando Google Analytics, sei a rischio di sanzione.

Quindi, allo stato attuale... GA è illegale in EU? No o perlomeno non ancora.

Se usi GA e sei un'azienda EU rischi sanzioni? Sì.

Quanto si rischia veramente? Chissà. Difficile da stimare.