- Com a transferência de dados pessoais para os EUA por meio de ferramentas de análise de sites em foco, a autoridade sueca de proteção de dados IMY auditou o uso do Google Analytics por CDON, Coop, Dagens Industri e Tele2
- O alvo da auditoria foi a versão do Google Analytics vigente em 14 de agosto de 2020, e a questão central foi o nível de proteção dos dados transferidos no processo de medição e análise de tráfego
- A IMY entendeu que os dados enviados aos EUA pela ferramenta estatística do Google se enquadram como dados pessoais, pois podem ser combinados com outros dados exclusivos
- Embora as quatro empresas tenham se baseado em cláusulas contratuais padrão, foi considerado que as medidas técnicas adicionais de segurança não eram suficientes para garantir um nível de proteção equivalente ao da UE/EEE
- A Tele2 recebeu multa de 12 milhões de coroas suecas (SEK), a CDON de 300 mil SEK; a Tele2 já interrompeu o uso, e as outras 3 empresas receberam ordem para suspender o serviço
Auditoria da IMY sobre o uso do Google Analytics
- A autoridade sueca de proteção de dados IMY auditou o uso do Google Analytics por quatro empresas
- As empresas investigadas foram CDON, Coop, Dagens Industri e Tele2
- O alvo da auditoria foi a versão do Google Analytics vigente em 14 de agosto de 2020
- O Google Analytics é uma ferramenta estatística usada para medir e analisar o tráfego de sites
- A auditoria foi conduzida no contexto de uma reclamação da NOYB (None of Your Business) e da decisão Schrems II do Tribunal de Justiça da União Europeia (CJEU)
- A reclamação alegava que as quatro empresas transferiram dados pessoais para os EUA em violação da lei
- Pelo GDPR, dados pessoais podem ser transferidos para países terceiros fora da UE/EEE, mas a Comissão Europeia precisa decidir que o país em questão oferece um nível adequado de proteção
- No caso Schrems II, o CJEU entendeu que, à época, os EUA não podiam ser considerados como oferecendo um nível adequado de proteção equivalente ao da UE/EEE
Avaliação da transferência de dados pessoais e medidas de proteção
- A IMY considerou que os dados transferidos para os EUA por meio da ferramenta estatística do Google constituem dados pessoais
- Isso porque eles podem ser associados a outros dados exclusivos transferidos em conjunto
- Foi entendido que as medidas técnicas de segurança adotadas pelas quatro empresas eram insuficientes para oferecer proteção essencialmente equivalente à garantida na UE/EEE
- As quatro empresas usaram cláusulas contratuais padrão como base para a transferência de dados pessoais via Google Analytics
- Na ausência de uma decisão de adequação da Comissão Europeia, a transferência pode ocorrer com base em cláusulas contratuais padrão
- Segundo o CJEU, medidas adicionais de proteção podem ser necessárias para que essas cláusulas mantenham, na prática, a proteção pretendida
- A auditoria da IMY concluiu que as medidas técnicas adicionais adotadas pelas quatro empresas não eram suficientes
Multas e ordens de suspensão por empresa
- A IMY decidiu multas e medidas de suspensão refletindo o nível de proteção adotado e o status de uso em cada empresa
- Tele2: multa de 12 milhões de SEK; recentemente interrompeu por conta própria o uso do Google Analytics
- CDON: multa de 300 mil SEK
- A CDON não adotou medidas de proteção tão abrangentes quanto Coop e Dagens Industri
- CDON, Coop e Dagens Industri receberam ordem para interromper o uso do Google Analytics
- A decisão se aplica diretamente às quatro empresas, mas também sinaliza a outras organizações que usam Google Analytics que devem revisar os riscos de transferência de dados pessoais
1 comentários
Opiniões do Hacker News
Minha cunhada (mais precisamente, a namorada do irmão mais novo da minha namorada, mas isso não importa) estudou recentemente para obter uma certificação em análise de dados e, na verdade, tirou várias.
O curso inteiro (https://medieinstitutet.se) é baseado no Google Analytics, então agora o valor dela está atrelado à capacidade de usar o Google Analytics. Pouca gente vai querer passar de 6 a 12 meses reaprendendo um novo sistema de analytics, ou deixar de ser analista de vez, então é provável que resistam fortemente para que essa competência continue válida.
Acho que não avaliamos direito as dependências que aceitamos quando aprendemos algo que torna a vida mais simples. O Google Analytics foi vendido como uma solução que elimina a necessidade de criar analytics próprio; o preço era que o Google também ficava com as informações, mas webmasters individuais não se importavam muito.
Agora há pelo menos milhares de pessoas que dependem da existência dessa ferramenta específica e que podem se tornar economicamente inúteis se ela for proibida. Acho incrivelmente tolo aprender exclusivamente esse tipo de ferramenta, em vez dos princípios básicos e componentes.
Dito isso, vendo que também existe o cargo de “Cloud Engineer”, parece difícil aprender essa lição.
Análise de dados é uma área profissional geral que não está presa ao GA; o certo pareceria chamá-la de “Google Analytics Certification”, sem fazê-la parecer mais ampla do que o conhecimento e as habilidades reais.
Análise de dados envolve estatística e, hoje em dia, provavelmente também inclui um pouco de treinamento, uso e compreensão básica de modelos de machine learning. Já participei da criação de um curso de competências reais de análise de dados para pessoas que queriam mudar de carreira para analista de dados, e esse curso também recebeu certificação oficial como formação profissional para candidatos a emprego.
Profissionais administrativos comuns são treinados em Word/Excel/Outlook, e muitas vezes é muito difícil ou impossível requalificá-los em outras ferramentas. Pode ser por falta de compreensão real, ou por resistência à mudança.
Nas escolas, “Informatik” também muitas vezes se resume a aprender onde clicar nos produtos da Microsoft. Da mesma forma, profissionais técnicos com frequência se especializam em ferramentas e produtos específicos. Mecânicos de automóveis às vezes são praticamente forçados a se especializar em uma determinada marca, e técnicos de eletrodomésticos também tendem a vender e consertar principalmente máquinas de lavar, secadoras e lava-louças de uma única marca.
Toda a direção da tecnologia está indo para a nuvem e, mesmo que você não use grandes provedores como Amazon, Microsoft ou Google, se for um servidor gerenciado, tecnicamente é cloud, esteja onde estiver.
Sinceramente, nunca entrei na onda do Google Analytics e fico feliz por nunca ter gasto mais de 5 minutos colocando algumas linhas de tags nos sites que fiz. Também nunca trabalhei em uma organização grande o bastante para que analytics fosse realmente útil ou valioso.
Hoje posso remover as tags facilmente apagando algumas linhas de código. Fico pensando se grandes organizações não deveriam, desde o início, ter gasto de algumas horas a algumas semanas a mais para criar uma solução própria de analytics.
No fim, parece depender de quanta capacidade de adaptação a pessoa tem. Nesse sentido, se um curso específico de GA ajuda alguém a conseguir o primeiro emprego mais rápido, talvez não seja necessariamente ruim.
Se você aplicar o que aprendeu no Google Analytics e aprender a implementar isso nesses sistemas, poderá vender suas competências tanto para clientes que continuam usando Google Analytics quanto para os que buscam alternativas para evitar multas ou realmente cumprir a legislação local.
Se você fizer proxy dos eventos de rastreamento, talvez ainda dê para continuar usando o Google Analytics. Até onde sei, apenas o endereço IP é considerado dado pessoal; então basta mascarar o IP ou aplicar um hash irreversível, remover qualquer outra coisa que possa ser vista como dado pessoal e então enviar o evento ao Google. Dá para fazer até com um script simples de poucas linhas em PHP
Mas eu já desisti do Google por dois motivos
A) Ter tornado impossível converter dados antigos para a nova versão do Analytics
B) Ter abandonado a API que permitia criar relatórios próprios. Durante anos escrevi muito código que se comunicava com essa API, e agora tudo isso ficou inútil
Recentemente migrei para o Matomo auto-hospedado e, no começo, não pensei muito a respeito, mas depois de me acostumar percebi que ele é muito melhor que o GA. A interface é muito mais bonita, rápida e lógica
Também gosto do fato de ser open source. Mesmo que um dia os criadores do Matomo optem por um fork incompatível, acho que a comunidade criaria um conversor para transformar os dados antigos no novo formato
Depois de usar por um tempo, também percebi que posso consultar diretamente o banco de dados MariaDB e criar ferramentas de relatório. Usar SQL é muito melhor do que brigar com a API absurdamente complexa e pouco intuitiva do Google Analytics
Se você realmente quiser continuar usando o Google Analytics, basta criar um conversor que empurre todos os eventos do Matomo para o Google Analytics. Assim seria uma forma de usar as ferramentas do Google em conformidade com o GDPR. Mas eu não pretendo fazer isso. Para mim, o Google Analytics acabou para sempre, e o Matomo é a terra prometida
A CDON usava a anonimização de IP do GA, que corta parte do IP, mas isso foi considerado insuficiente. Depois do corte, o IP em si não é dado pessoal, mas não estava claro se o corte ocorria antes de sair do país e, se combinado com outros dados pessoais, como cookies, passa a ser considerado dado pessoal
A Coop fazia proxy de todas as chamadas ao GA e usava o mesmo endereço IP genérico para todos os usuários. Não recebeu multa, mas precisa parar de usar o GA
[1] "1.3.15 Effektiviteten hos vidtagna skyddsåtgärder av Google och CDON" https://www.imy.se/globalassets/dokument/beslut/2023/beslut-...
[2] "2.2.2 Integritetsskyddsmyndighetens bedömning" https://www.imy.se/globalassets/dokument/beslut/2023/beslut-...
[3] "1.3.14.2 Coops implementering av server side container" https://www.imy.se/globalassets/dokument/beslut/2023/beslut-...
Essas empresas tinham anos de dados no GA, mas não era possível exportá-los sem gambiarras envolvendo o BigQuery
É difícil acreditar que uma equipe tão bem financiada quanto a do Analytics não tenha encontrado, ou não tenha implementado, uma forma de migrar automaticamente o gtag.js para o GA4. Eles deveriam ter tornado a atualização transparente, convertendo as requisições em segundo plano para que as propriedades analíticas existentes continuassem existindo e obrigando apenas o cadastro de novas propriedades no GA4
A autoridade de proteção de dados entendeu que os cookies _gads, _ga e _gid por si só já permitem identificação. É difícil acompanhar essa lógica, mas a conclusão é que, pelo menos no modelo da Coop, usar proxy não é suficiente para estar em conformidade
Fico curioso se alguém está usando alguma ferramenta de analytics que permita acompanhar o que os usuários fazem e, ao mesmo tempo, esteja em conformidade com o GDPR
Queremos ver quais botões foram clicados, quantas vezes, quais partes do app são mais ou menos usadas, criar funis do caminho normal etc. Não queremos saber quem é o usuário, só entender, do ponto de vista do app, como ele é usado. Antes fazíamos isso com o Google Tag Manager, mas não dá para usar porque não está em conformidade com o GDPR
Este caso diz respeito ao Google Analytics antigo, que foi substituído pelo Google Analytics 4 em 2020. Portanto, a situação é que é preciso deixar de usar uma versão que o Google encerrou definitivamente em 1º de julho deste ano.
Há o argumento de que o GA4 também não passaria pelos mesmos requisitos. A Dinamarca tem essa posição, mas isso ainda não foi posto à prova.
O argumento deles é que, se um cidadão da UE vai à Ásia e visita um site de lá, essas informações são enviadas para servidores nos EUA, e não para servidores na UE. Considerando como a internet funciona, acho isso objetivamente absurdo, mas é possível que a lei funcione assim. Não dá para saber até que isso seja efetivamente analisado, e qualquer pessoa que diga saber o resultado deve ser vista com ceticismo.
Digo isso como residente da UE. Eu, pelo contrário, não quero que sites comecem a verificar residência ou cidadania para determinar a propriedade dos meus dados.
Geolocalização por IP não é um substituto confiável para localização física, muito menos para residência; e cidadania nem entra na equação. Acho bom que a lei reconheça esse ponto.
A decisão não menciona explicitamente a versão; ela diz que certos sites devem parar de usar “a versão da ferramenta Google Analytics usada em 14 de agosto de 2020”. Não diz se era UA ou GA4.
A reclamação original da NOYB aponta para o UA, mas as questões citadas nesta decisão também se aplicariam ao GA4.
Portanto, quando a autoridade de proteção de dados diz que “as empresas devem parar de usar o Google Analytics”, não há motivo para entender que ela se refere apenas a uma versão que já estava descontinuada no momento da publicação.
Enquanto isso, não conseguem fazer nada contra problemas que realmente ameaçam a UE, como a dependência excessiva da Rússia.
A análise de dados atual é, na prática, algo próximo de “levamos a privacidade do usuário a sério, então você não vai obter informações úteis para o seu site; mas não se preocupe, nós vemos todos os dados”.
Se você incorpora o Google Analytics, o cliente não é você, é o Google.
Se você precisa de analytics, sinceramente é melhor criar por conta própria. Não dá para confiar dados de usuários a uma empresa de publicidade.
Imagine que você seja um ótimo palestrante e instrutor, e tenha uma audiência. Hoje, você está entregando essa audiência de presente ao YouTube, Twitter etc. Eles a monetizam em seu lugar e lhe dão só uma pequena parte, enquanto continuam conduzindo sua audiência para concorrentes e outros conteúdos distrativos. Na verdade, o YouTube até vende a opção de anunciar meu vídeo sobre vídeos de concorrentes.
Então é preciso sair disso. Rodar você mesmo o software de comunidade em vez de usar Discord; operar por conta própria videoconferência, transmissão ao vivo, chat, apresentações e conteúdo pago; aceitar pagamentos em criptomoedas além de PaymentRequest. Criar alternativas open source boas o suficiente é difícil, e Mastodon e Bluesky ainda não chegaram lá.
Então, fazendo uma divulgação descarada: minha equipe e eu gastamos 12 anos e US$ 1 milhão criando isto. https://github.com/Qbix/Platform
Entre centenas de recursos, um deles permite ter suas próprias análises no seu próprio banco de dados, no seu próprio site de comunidade. Outros recursos estão aqui: https://qbix.com/features.pdf
Claro que isso não quer dizer que você deva parar até de hospedar conteúdo no YouTube. Mas deve publicar lá apenas teasers curtos, destaques e depoimentos, e fazer tudo apontar para o seu próprio site. Você pode ser descoberto em grandes sites, mas quem estiver realmente interessado em conteúdo longo e na comunidade deve comprar uma assinatura em seu site e criar uma relação direta. Assim, banimento de plataforma ou coerção viram a menor das suas preocupações.
Como eu controlava o lado do servidor, bastava registrar visitas a páginas e CTAs específicos para ver, em linhas gerais, por quais caminhos as pessoas passavam e se faziam pedidos.
Isso é muito mais útil do que depender de as pessoas terem JavaScript ativado ou bloqueadores de rastreamento.
Por exemplo, se alguém foi para a página de pedido, voltou ao FAQ e depois clicou novamente no link “o que é x”, dá para concluir que talvez seja preciso adicionar uma explicação sobre X na página de pedido.
Claro que depende dos dados de que você realmente precisa, mas a maioria dos objetivos pode ser atingida sem coletar um monte de dados desnecessários.
Existem tantas boas opções — especialmente se você quer esse nível de controle, há muitas opções self-hosted e open source — que criar tudo do zero não é necessário e normalmente nem é recomendável.
O custo do GA costuma ser descrito como “subsidiado pelos dados dos clientes”.
Mas hospedar por conta própria eu recomendo, sem dúvida. Como você não compartilha dados com terceiros, muitos problemas de GDPR são resolvidos. Aí basta se preocupar com consentimento e retenção de dados.
Se você processar dados brutos de analytics que possam ser rastreados até usuários, transformando-os em estatísticas generalizadas, a retenção de dados também não me parece ser um grande problema.
Fico curioso para saber quanto as pessoas realmente usam todas as informações analíticas que essas ferramentas oferecem. Conheço o Matomo e outras soluções open source/autohospedadas, mas, de fato, quanta informação é usada?
Na maioria dos casos de uso, acho que se quer saber apenas se o conteúdo é consumido ou lido, quanto tempo as pessoas permanecem e de onde vieram. Isso também dá para fazer com um pequeno script que parseia logs
Já fiz algo parecido parseando logs do Caddy para ter uma noção aproximada do número de visitantes de links, e, na prática, isso era tudo de que eu precisava. Como só rodo quando preciso atualizar, também não consome recursos continuamente. Antes de apagar os logs, salvo o resultado e consigo saber coisas como: o Artigo 1 teve até 39 visualizações, o Artigo 2 teve 5 visualizações
Estamos exagerando demais, e acho que ganharíamos muito se pensássemos por alguns minutos antes de entrar na toca do coelho de analisar tudo
Quanto maior a empresa, mais avessos ao risco os tomadores de decisão ficam, e coisas como analytics acabam sendo usadas como uma boa base de apoio quando uma decisão é questionada
O que me pergunto é qual é o retorno sobre o investimento dessas ferramentas. Em alguns casos certamente funcionam, mas será que sempre? Atualmente empregamos 3 desenvolvedores de business intelligence e 2 desenvolvedores que constroem o produto de fato
O mais engraçado é que, mesmo tendo 3 pessoas em BI, não dá para saber se elas se pagam. Porque os dados delas não conseguem mostrar isso
Para mim, é mais do que suficiente
Também habilitei para alguns clientes, e eles disseram que gostam muito da simplicidade. Menos dados vira um recurso
Para ver quais funcionalidades são usadas, rastreamento de eventos é realmente útil
Nem tudo é marketing ou publicidade maligna
Mas, do ponto de vista de um usuário comum, o GA4 é horrível
Não é necessário GA nem outro framework de analytics inchado
Faço isso umas duas vezes por ano. Ajuda a priorizar o que manter ou atualizar com base no que ainda é lido, no que é encontrado por mecanismos de busca e no que recebe links externos
Usei o ChatGPT para gerar código HTML de apresentação em remark.js a partir de um conteúdo, e ele gerou o código, mas inseriu lá no fim um snippet do GA com um código de conta GA arbitrário
Não percebi na hora e só encontrei alguns dias depois, ao editar os slides. Parte da culpa também foi minha, por preguiça
É responsabilidade do usuário verificar o que o ChatGPT escreveu antes de usar, mas não compartilhar informações pessoais é responsabilidade da OpenAI
Não entendo bem quem precisa de analytics
Quando trabalhei em uma empresa que usava Google Analytics, 99,9% dos mesmos dados poderiam ser obtidos dos logs do servidor com algo como awstats ou goaccess
Até hoje não entendo por que inserir JavaScript para enviar requisições adicionais ou colocar pixels de rastreamento. Afinal, os dados já foram entregues uma vez
Quando a aplicação roda inteira no navegador do cliente, exceto por algumas chamadas de API, fica difícil saber quais páginas estão sendo realmente visualizadas. A menos que o app cliente informe isso diretamente, ou informe ao Google
A conclusão era que era uma questão de sensação. Mesmo que a maioria nunca olhasse de fato, era bom sentir que havia dados sobre os usuários. Mesmo quando contratavam alguém para olhar, muitas vezes não colocavam em prática o que era descoberto
A melhor forma de obter feedback é conversar diretamente com os usuários ou fazer pesquisas
Não me interessa se o Bob clicou no botão; o importante é saber se 1% dos usuários clicou ou se 50% clicaram. Ou, se as pessoas que clicam no botão A têm maior probabilidade de clicar no botão B, talvez seja importante saber se devo colocar os dois mais próximos
Analytics deveria ser estatística anônima de uso, não rastreamento individual. Estão colocando no mesmo saco algo ruim e algo útil e, em geral, inofensivo
O importante é se as partes interessadas do negócio conseguem acessar os dados com facilidade e usá-los na tomada de decisões
É preciso uma interface que visualize os dados e distribua ao máximo o acesso e a análise
Como o Google Analytics é gratuito e praticamente faz parte do maior pacote de marketing, o Google Ads, é comum encontrar muitas partes interessadas de marketing que conhecem minimamente a ferramenta
Dito isso, o começo do Google Analytics 4 foi muito turbulento, então o cenário pode mudar
Também era possível obter estatísticas de termos de busca que levavam a páginas individuais
Alguns anos atrás, em um projeto de cliente, surgiu a conversa sobre GA. O pessoal do nosso lado tentava evitar o Google sempre que possível, e eu sugeri alternativas como Matomo e Fathom. Vários membros da equipe também tinham experiência com essas alternativas, mas o cliente insistia no GA.
Era algo do tipo: “isso é o padrão do setor. Veja empresas de dezenas de bilhões de dólares usando GA. Nós também precisamos usar isso”. Eu ressaltei que essas empresas de comparação tinham dezenas de engenheiros por projeto, enquanto nós éramos 3 pessoas em meio período.
A lógica sempre voltava para “GA é o padrão, e as pessoas conhecem GA”. É verdade, mas é um tanto circular.
Outra proposta foi testar várias opções. Por exemplo, rodar GA e Matomo juntos por um tempo, ou usar GA apenas no site público de marketing e outra coisa na aplicação interna.
Mas foi rejeitado. O motivo era que queriam rastrear cada centavo de gasto em publicidade até o uso por usuários registrados na aplicação interna de trabalho. A lógica era que talvez um dia precisassem de uma análise do tipo: os US$ 70 gastos na região de Tacoma levaram a 3 usuários registrados, e esses 3 usam a ferramenta de orçamento com mais frequência do que os 8 que se registraram a partir de US$ 90 gastos em Toronto, então isso precisava estar lá.
Em vez de “vamos instalar os dois por algumas semanas e testar”, virou “vamos pesquisar várias opções e escrever um relatório de prós e contras”, o que era uma loucura.
Minha preocupação maior era que, para fins de teste e desenvolvimento, não dá para “inicializar” facilmente um banco de dados de analytics que não controlamos. É difícil fazer coisas como zerá-lo ou criar sandboxes novas e ilimitadas a cada execução de teste. Não consegui encontrar uma boa forma de lidar com testes no GA, nem, na prática, em qualquer solução hospedada. Mas talvez isso não seja uma grande preocupação para usuários corporativos de analytics.
Toda vez que um cliente pede para implementar Google Analytics ou o código do pixel do Facebook, sinto que morro um pouco por dentro.
Há clientes que de fato usam Google Ads, mas não há nenhum benefício em usar Analytics. Eu sei porque sou eu quem ajusta as campanhas.
É simplesmente algo que todo mundo faz, e parece que você é burro se não fizer. Essa mentalidade de lemingue sempre me entristece, porque muitas coisas ruins na sociedade nascem disso.
E toda vez que alguém diz que fazer algo por conta própria é perda de tempo, eu construo tudo eu mesmo, até o CMS e o framework de aplicação de página única. No longo prazo, qualquer outra forma é uma enorme perda de tempo. A única vez em que perco tempo enrolando é quando há tabaco envolvido.
Quando visito o site de uma empresa e vejo que ela usa Google Analytics, considero isso um sinal de que a empresa é preguiçosa, ignorante ou hostil com potenciais clientes.
Essas três possibilidades cobrem todos os casos, e nenhuma delas é um sinal positivo.
Qualquer empresa, ou qualquer entidade com presença online, tem o direito de saber o que as pessoas fazem em sua própria plataforma e de usar ferramentas adequadas a esse objetivo. Mas não tem o direito de compartilhar isso com ninguém sem aviso explícito e consentimento do usuário.
A web como um campo de predação digital, onde pessoas imorais exploram pessoas ignorantes, precisa acabar.
A vida comercial não é exatamente uma vitrine de ética, mas a versão digital que evoluiu até aqui está especialmente desalinhada com as normas comuns.
Normalmente, uma pessoa comum dentro da empresa um dia pensa: “como as pessoas ficam sabendo de nós?”. Ela pesquisa no Google como responder a essa pergunta na empresa e encontra o Google Analytics.
Isso certamente não é hostil. Pode ser um pouco ignorante, mas dá para culpá-los?
Concordo que usuários devem ter forte controle sobre seus dados e sobre o escopo do compartilhamento, mas, se você se opõe a todas as empresas terceirizadas de publicidade e analytics, está se opondo à aquisição digital de usuários de 99% dos sites.