¿Es Google Analytics legal o ilegal? ¿Cumple con el RGPD?

Hace varios días se han publicado varias noticias “alarmantes” anunciando que Google Analytics es ilegal en Europa.

En realidad se trata de una decisión tomada por la autoridad de protección de datos de Austria, basada en una resolución previa del Tribunal Europeo y que podría terminar afectando al resto de países de Europa.

¿Por qué Google Analytics es ilegal según Austria?

Para entenderlo nos tenemos que remontar a 2020, cuando el Tribunal de Justicia de la Unión Europea declaró no válido el “Privacy Shield” (escudo de privacidad, doctrina Schrems II) entre Europa y Estados Unidos, vigente desde 2016. Este Privacy Shield permitía que las empresas americanas que operaban en Europa (por ejemplo, Google, Facebook, Apple…) pudieran llevarse los datos de usuarios europeos a Estados Unidos, habilitando también, de esta forma, que las agencias americanas como el FBI o la NSA pudieran acceder a ellos.

La sentencia declara a Google Analytics ilegal porque no cumple con el RGPD.

Al revocarse el Privacy Shield en 2020, considerando que Estados Unidos no garantiza una protección suficiente para nuestros datos, equivalente al que se debe ofrecer desde la Unión Europea, se ha abierto la vía para este tipo de sentencias, ya que empresas como Google o Facebook no parece que hayan hecho nada al respecto, y desde Austria esperan que otros países actúen igual.

De hecho, la Asociación Noruega de Protección de Datos (EDPS) está analizando 2 denuncias sobre el uso de Google Analytics y puede tomar el mismo camino.

**10 de febrero de 2022. La CNIL declara también ilegal el uso de Google Analytics en Francia por violar el RGPD.

La clave está en los datos (hay muchas empresas que viven de estos datos), dónde se almacenan nuestros datos y si se transfieren a Estados Unidos. Austria considera que Google Analytics es ilegal porque incumple con el Reglamento General de Protección de Datos (lo que conocemos como RGPD), pues nuestros datos se almacenan o transfieren a Estados Unidos y no hay garantía de que las agencias como el FBI o la NSA no puedan acceder a ellos.

Ahora bien, desde el punto de vista jurídico la resolución austriaca no ha impuesto ninguna pena o sanción, sino que se ha limitado a hacer una declaración “sensacionalista” o mediática, pero sin consecuencias, al menos inmediatas.

Por lo tanto, cualquier noticia alarmando acerca de dejar de usar Google Analytics nos parece, a nuestro criterio, cuando menos, precipitada. Google Analytics va a seguir funcionando. La prohibición de Analytics no es firme y solo Austria se ha pronunciado. Ahora bien, podemos ir explorando otras alternativas.

¿Cómo podría cumplir Google Analytics con el RGPD y ser “legal”?

Probablemente, si Google Analytics decidiera habilitar servidores en Europa en donde almacenar los datos de usuarios europeos, de forma que no tuvieran que pasar o enviarse a Estados Unidos, tendría más fácil cumplir con el RGPD.

Otra opción sería que los diferentes países se vuelvan a poner de acuerdo y firmen un nuevo tratado Privacy Shield que “legalice” la situación actual. En cualquiera de los casos, la solución no parece próxima.

Recordemos que el incumplimiento del RGPD puede acarrear sanciones de hasta 20 millones de euros o un 4 % del volumen de negocio. Y se estima que cerca de 30 millones de portales en todo el mundo usan actualmente alguna de las versiones de Google Analytics.

¿Cómo nos afecta el RGPD y las cookies?

De acuerdo con el RGPD, todos los portales deben contar con consentimiento para establecer cookies que rastreen datos personales. Por otro lado, la ePrivacy establece que se requiere el consentimiento del usuario antes de establecer cookies que no sean las estrictamente necesarias.

Esto implica que, en la práctica, las herramientas como Google Analytics, Google Ads, Facebook Ads…, que recopilan información estadística y/o comportamental con diferentes objetivos, no pueden introducir cookies si el usuario no lo permite. Lo que muchos desconocen es que por ejemplo Google Analytics puede configurarse sin cookies. A través de una funcionalidad denominada Consent Mode, es posible decirle, por ejemplo, a las herramientas de Google si una visita se debe registrar con o sin cookies. En el caso de que se registre sin cookies, simplemente se considerará un ping sin datos de seguimiento que puedan identificar al usuario (Google usará esos datos para modelar el comportamiento global), mientras que, si el usuario ha dado su consentimiento, se enviará la información completa. Aun así, todo este tema de las cookies y el RGPD en la práctica lo que está suponiendo es una importante pérdida de datos para las empresas y para las agencias que nos dedicamos a realizar campañas de marketing digital. Entre un 20 % y un 70 % de los datos actualmente no se miden por la navegación sin cookies.

La publicidad en Internet siempre se ha caracterizado porque podemos medirlo todo y saber, por lo tanto, cómo de bien o mal está funcionando una campaña, o cómo interactúan unas campañas con otras. Pero actualmente todo esto está cambiando. Por ello, las plataformas publicitarias, principales interesadas, están estudiando otro tipo de soluciones para medición sin cookies.

¿Qué alternativas existen hoy a Google Analytics?

Bien, pero si pensamos que Google Analytics no es legal y no lo podemos usar, ni con cookies ni sin cookies, ¿tenemos alternativas?

La respuesta es que actualmente sí existen en el mercado algunas herramientas de analítica que cumplen con el RGPD y que además funcionan sin cookies y no recopilan información que permita identificar a nadie.

En Idento estamos trabajando actualmente con Seal Metrics, de la empresa española Adinton. Conocidos porque han desarrollado otras herramientas, por ejemplo antifraude, hace 1 año que sacaron esta solución de medición totalmente sin cookies y que cumple con el RGPD.

El valor añadido de esta herramienta es que nos permite tener una foto completa de la web en cuanto a saber lo que ocurre en ella. Esta herramienta no mide usuarios como tales, sino que registra todas las páginas vistas y agrupa las visitas en función de la fuente, medio, campaña, palabra clave…, de forma que se pueden saber los datos agregados para cada combinación de estas. El inconveniente de este tipo de medición es que se pierde totalmente la interacción multicanal, ya que no va a reconocer a un usuario que ha accedido anteriormente, la atribución es completamente “last click”. Simplemente sabremos que por SEO o por tal campaña han entrado X visitas y tenemos Y conversiones directas. Pero si un usuario entra primero por una campaña y la conversión la hace con una visita directa, la conversión se asignará a esta última y no a la campaña. Pero con una medición solo con cookies, es posible que esta conversión ni siquiera se registre, lo que sería aún peor.

La configuración de esta herramienta es relativamente sencilla, pues funciona con un script general y los que añadamos para medir eventos o conversiones. Nuestra recomendación es implementar el seguimiento mediante Google Tag Manager, siempre que no lo tengamos bloqueado con nuestro banner de cookies (GTM no mete cookies por sí mismo, las cookies son introducidas por las etiquetas que tengamos).

Por ejemplo, esto es lo que medimos un día puntual con Google Analytics (cookies) y Seal Metrics (sin cookies):

Datos procedentes de Google Analytics (usando cookies y gestión del consentimiento)

Datos procedentes de Seal Metrics (Adinton), sin cookies

Desde nuestro punto de vista, lo ideal es poder combinar una herramienta como Google Analytics que mide muy bien la atribución, aunque perdamos tráfico, con otra como Seal Metrics que si bien no mide la atribución, nos mide el 100 % del tráfico y conversiones.

Así, en relación con la noticia de que Google Analytics es ilegal, recomendamos comenzar a explorar otras alternativas mientras estamos atentos a cómo se desarrollan los acontecimientos.