Servidor proxy de propriedade da UE para sGTM ou como utilizar o Google Analytics GDPR de forma compatível com o GDPR

Durante os últimos meses, a UE começou a limitar a utilização dos serviços Google para países europeus. Existem vários incidentes em diferentes países, mas a incidência mais difundida esteve relacionada com os regulamentos em Itália, França, e Áustria, onde os reguladores de protecção de dados dizem que a utilização do Google Analytics não é compatível com o GDPR.

Neste artigo, quero falar sobre os regulamentos que proíbem a transferência de dados de usuários europeus para empresas americanas. Também abordarei a forma como se pode utilizar o Stape Europe para criar um servidor proxy da UE para o servidor GTM que ajudará a tornar a utilização do Google Analytics compatível com o GDPR.

A história legal da partilha de dados entre empresas da UE e dos Estados Unidos começou em 2016 quando a Comissão Europeia aprovou o Privacy Shield (um quadro legal que regula a transferência de dados para fins comerciais entre empresas dos Estados Unidos e da UE). 

Em 2020, o Tribunal de Justiça Europeu declarou que o Privacy Shield tem uma deficiência. Isto aconteceu uma vez que a legislação dos Estados Unidos não oferece proteção de dados pessoais suficiente aos residentes europeus.

A extensa discussão neste acórdão foi sobre os serviços Google (como o Google Analytics ou Google Fonts) que não podem garantir que os dados dos usuários da UE sejam seguros. 

Eles declararam que pedir o consentimento do usuário (ou cláusulas contratuais padrão) no site e desencadear um rastreamento inteligente baseado no consentimento do usuário nos Estados Unidos não tornará esta ferramenta de rastreamento GDPR completa. 

Os dois incidentes mais famosos relacionados com a transferência de dados de usuários da UE para os Estados Unidos foram em Itália e França. Comecemos pelo francês. 

A autoridade francesa de proteção de dados (CNIL) recebeu queixas de usuários franceses que perguntaram se a utilização do Google Analytics (uma ferramenta de inteligência que pertence à empresa americana) estava em conformidade com as regras do GDPR. 

A CNIL declarou que a utilização do Google Analytics pelos websites franceses resultou numa transferência de dados de usuários europeus para empresas americanas. Isto viola as regras da GDPR uma vez que as empresas americanas não fornecem provas suficientes de que os dados pessoais dos usuários da UE são seguros. Além disso, a CNIL confirmou que a implementação de SCCs pelo Google não é suficiente para cumprir os requisitos da GDPR. 

A situação em Itália é, de alguma forma, semelhante. O regulador italiano SÁ recebeu perguntas de vários usuários sobre se a utilização de um determinado sítio italiano do Google Analytics se enquadra no âmbito do GDPR. Após longas investigações, o regulador italiano avisou a empresa italiana de que deveria deixar de utilizar o Google Analytics ou estabelecer uma AG em conformidade com o GDPR em 90 dias. 

Além disso, o regulador italiano divulgou um aviso público de que tinham recebido várias queixas sobre a transferência de dados para as empresas dos EUA. Todos os proprietários de websites italianos devem considerar isto na implementação de ferramentas inteligentes de rastreio baseadas nos EUA. Caso contrário, poderão ser aplicadas sanções. 

Assim, em suma, a transferência de dados de usuários da UE para empresas dos EUA não é compatível com a GDPR. A maior questão relaciona-se com a utilização do Google Analytics, uma vez que é a ferramenta analítica mais difundida. 

Encriptação de dados.

O regulador italiano diz que a transferência de dados codificados não é uma forma aceitável e não pode garantir a proteção dos dados dos usuários. A razão é que a tecnologia de encriptação espera chaves de encriptação no site do Google que podem ser utilizadas para ver e processar dados brutos do usuário. Assim, enquanto a chave de encriptação estiver disponível para o importador de dados (neste caso, Google), este método não pode ser considerado compatível com a GDPR.

Características incorporadas do Google Analytics que removem o PII.

O Google tentou adaptar-se às regras de privacidade da UE, implementando características destinadas a tornar anónimos os dados dos usuários. Os reguladores da UE afirmaram que, na prática, a redacção da IP do usuário pode ter um efeito próximo de zero na prevenção da identificação do usuário. Principalmente devido ao constante processamento de IP pela Google. 

Consentimento do usuário.

O Google Analytics ainda não é GDPR se um usuário consente em cookies analíticos. Eles declararam que a transferência de dados para empresas dos Estados Unidos e o consentimento são diferentes. O consentimento do usuário não ajuda a resolver o problema. 

De acordo com ambos reguladores, a solução possível é utilizar um servidor proxy da UE. Este servidor proxy tem como objetivo quebrar a interação das ferramentas de rastreio da inteligência dos Estados Unidos com os navegadores dos usuários. Uma das formas, e talvez a mais fácil, de implementar um tal servidor proxy é utilizar o Google Tag Manager.

Os servidores proxy têm de cumprir um conjunto de critérios. Os dois mais importantes são:

• Uma empresa que possua um servidor proxy tem de estar registada na UE
• O servidor proxy deve estar fisicamente localizado na UE

Embora o ponto sobre as empresas registadas na UE é claro, é possível verificar rapidamente onde uma empresa está registada no seu sítio web ou consultando os diretórios de registo público. O segundo ponto pode ser complicado. 

O principal mal-entendido é a utilização do Google Cloud para sGTM. Não pode utilizar o Google Cloud como servidor proxy para o seu sGTM. Ao configurar um servidor proxy (que pode ser um servidor Google Tag Manager), não só a zona do servidor deve estar na Europa, mas o servidor físico deve estar localizado na Europa e ser propriedade de uma empresa europeia. 

A má notícia é que a utilização de um servidor proxy 100% UE para o seu servidor Google Tag Manager é insuficiente. Deve remover quaisquer dados de usuário utilizados para impressões digitais ou identificar os usuários pela plataforma analítica. Deve também pseudo-anonimizar os dados dos usuários antes de os enviar para a ferramenta de localização dos Estados Unidos. 

1. Endereço IP.

Deve remover o endereço IP do pedido para se certificar de que não pode ser utilizado para identificar os usuários. O simples corte do IP não funcionará, pois ainda pode ser utilizado para identificar áreas onde o usuário se encontra. 

2. Identificadores do usuário.

Quando um usuário visita o seu site, o Google gera um identificador de cliente único que identifica o par navegador-dispositivo do usuário e armazena cookies. O ID de cliente gerado pelo Google deve ser removido, embora ainda se possa utilizar um ID de cliente gerado aleatoriamente. 

3. Referenciador externo.

Deve remover quaisquer dados sobre o website que o usuário visitou antes de aceder ao seu site. Normalmente, estes dados contêm informações sobre se os visitantes acederam ao seu site, clicando num link no post do blogue de alguém, pesquisa orgânica, etc. 

4. Parâmetro URL.

Muitas vezes, os parâmetros URL contém informações sobre a fonte, meio, campanha, ou id de clique. Além disso, alguns websites inserem dados do usuário (como correio eletrônico, nome, telefone) no URL. Independentemente dos parâmetros de URL que o seu sítio carregue, este deve ser removido. 

5. Quaisquer dados que possam ser utilizados para a recolha de impressões digitais

Um monte de dados pode ser utilizado para a recolha de impressões digitais; por enquanto, não há informação clara sobre quais os reguladores de dados que contam como os que podem ser utilizados para a recolha de impressões digitais. Inclui browser, dispositivo, modelo, definições de idioma, resolução de ecrã, etc. 

6. Identificador inter-sites.

Basicamente, qualquer identificador pode identificar o mesmo usuário num sítio web diferente. Pode ser um ID de usuário, ID de usuário em CRM, e-mail de usuário, etc. 

7. Qualquer dado que possa ser utilizado para identificação do usuário.

Qualquer informação sobre o usuário.

Por enquanto, não há forma de automatizar a remoção de todos os parâmetros acima descritos. Todos estes devem ser substituídos manualmente, utilizando a interface do servidor Google Tag Manager. 

Para enfrentar estes desafios de rastreio, criamos um novo produto - Stape Europe. A Stape Europe é uma empresa europeia (registrada na Estónia) que utiliza um fornecedor de servidores em nuvem 100% da UE Scaleway para alojar contentores GTM de servidores. 

Cobrimos todas as questões relacionadas com o servidor proxy de propriedade da UE. Ao configurar um contêiner sGTM utilizando a Stape Europe, não se transferem quaisquer dados para a empresa americana, uma vez que a própria Stape Europe é uma empresa registrada na UE, e utilizamos servidores que estão fisicamente localizados na Europa. 

Infelizmente, por enquanto, não temos uma solução para a remoção automática de dados dos usuários. Embora a nossa equipa esteja a trabalhar arduamente para implementar funcionalidades que ajudarão a remover automaticamente os dados pessoais, ou pelo menos facilitaremos a sua vida, removendo automaticamente alguns dos dados pessoais. 

Muito trabalho tem de ser feito para que a utilização do Google Analytics seja compatível com o GDPR. Poderá ser uma verdadeira dor se não estiver familiarizado com a etiquetagem do lado do servidor. 

O bom é que com o Stape, não precisa de se preocupar com o proxy-server da UE e pode mergulhar diretamente nas limitações de dados configuradas na interface do servidor Google Tag Manager. 

Como é que os dados do Google Analytics lhe cuidaram depois de remover toda a informação necessária? Será suficiente analisar o comportamento do usuário, o desempenho do site, etc.? Bem, veremos menos dados do que estamos habituados a ver. Mas parece que esta é uma nova realidade a que temos de nos habituar. 

Ou se decide manter a conformidade com o GDPR e receber menos dados sobre os visitantes do sítio. Ou negligenciar estas regras e arriscar-se a receber avisos ou multas por transferência de dados de usuários para os Estados Unidos. 

Embora tenha havido casos relacionados com a transferência de dados em Itália, França e Áustria, alguns outros países europeus já começaram a falar de regulamentos semelhantes. Assim, se implementar o rastreio do lado do servidor, sugiro a remoção imediata da parte com transferência de dados para os Estados Unidos. Não espere até que os mesmos casos aconteçam no seu país; deve refazer a configuração.

De qualquer forma, se tiver alguma dúvida, não hesite em contactar-nos. A equipa da Stape pode também ajudar a criar um servidor proxy da UE para si!