Prohibido el uso de Google Analytics… en Italia

El control del organismo que garantiza la privacidad en Italia (Garante Privacy) ha comenzado a tomar medidas, al igual que los franceses y austriacos, contra Google Analytics. El pasado jueves ha amonestado a la empresa Caffeina Media srl, que utilizaba esta herramienta en su web, pidiéndole que la elimine en un plazo de 90 días. Pero la invitación se refiere informalmente a todas las empresas que utilizan Google Analytics, porque el problema es generalizado. De hecho, el organismo italiano ha concluido que Analytics lleva a cabo una transferencia ilegal de datos europeos a Estados Unidos.  

"De la investigación del Garante Privacy se desprende que los administradores de los sitios web que utilizan Google Analytics recopilan, a través de cookies, información sobre las interacciones de los usuarios con los sitios antes mencionados, las páginas individuales visitadas y los servicios ofrecidos", señala en un comunicado el organismo italiano.

“Entre los muchos datos recopilados, la dirección IP del dispositivo del usuario e información relacionada con el navegador, el sistema operativo, la resolución de pantalla, el idioma seleccionado, así como la fecha y hora de la visita al sitio web. Se ha descubierto que esta información había sido transferida a los Estados Unidos. Al declarar la ilicitud del tratamiento, se reiteró que la dirección IP constituye un dato de carácter personal y que, aunque fuera truncada no pasaría a ser anónima, dada la capacidad de Google de enriquecerla con otros datos en su poder”.

Tal y como destaca el diario Il Sole 24 Ore, se ha llegado a este punto después de que el Tribunal de Justicia de la Unión Europea en 2020 anulara los instrumentos legales con los que se producían estas transferencias de datos desde Europa a EE. UU., debido a que la legislación estadounidense no daba garantías en cuanto a la vigilancia gubernamental sobre esos datos. Ahora se está negociando un nuevo acuerdo de colaboración en materia de transferencia de datos y hasta entonces se encuentra en un limbo de incertidumbre para las empresas que utilizan los servicios estadounidenses.

"El Garante ha destacado, en particular, la posibilidad de que las autoridades gubernamentales y las agencias de inteligencia estadounidenses accedan a los datos personales transferidos sin las debidas garantías, señalando en este sentido que, a la luz de las indicaciones proporcionadas por el Edpb (Recomendación nº 1/2020 de 18 de junio de 2021), las medidas que integran las herramientas de transferencia adoptadas por Google no garantizan, en la actualidad, un nivel adecuado de protección de los datos personales de los usuarios", ha explicado el Garante.

Al final del período de 90 días, el Garante procederá, también sobre la base de actividades de inspección específicas, a verificar el cumplimiento del Reglamento de la UE de las transferencias de datos realizadas por los responsables del tratamiento.

Caffeina Media, en definitiva, se arriesga a una sanción y sería replicar lo que se ha hecho hasta ahora en Europa. En Francia y Austria, esto se ha limitado a una advertencia en vista de la actual incertidumbre normativa.

"Las empresas deben plantearse desprenderse de esta herramienta porque no está claro que se pueda utilizar en la Unión Europea", explica Anna Cataleta, abogada y experta en privacidad al diario Il sole 24 ore, "deberían hacer como la administración pública italiana, que está desprendiéndose de Google Analytics". De hecho, por ley la AP tiene que evaluar herramientas alternativas a Google Analytics, de código abierto, con fuertes mecanismos de anonimización, por diseño y no sólo a posteriori como hace Google".

Dado el uso generalizado de Google Analytics, se abre una fase de atención para muchas empresas italianas con un sitio web. "En esta ocasión, la Autoridad llama la atención de todos los operadores de sitios web italianos, tanto públicos como privados, sobre la ilegalidad de las transferencias realizadas a Estados Unidos a través de Gopogle Analytics, también a la vista de las numerosas denuncias y consultas que están llegando a la Oficina".

"E invita a todos los responsables del tratamiento a verificar la conformidad de los métodos de uso de las cookies y otras herramientas de seguimiento utilizadas en sus sitios web, con especial atención a Google Analytics y otros servicios similares, con la legislación en materia de protección de datos personales", escribe el Garante.