ЕС-прокси сервер для sGTM или как использовать Google Analytics в соответствии с GDPR

В последние месяцы Европа столкнулась с серией ограничений Google Analytics. Есть несколько инцидентов в разных странах, но самый распространенный связан с правилами в Италии, Франции и Австрии, где регуляторы защиты данных заявили, что использование Google Analytics не соответствует GDPR.

В этой статье я хочу рассказать о правилах, запрещающих передачу данных европейских пользователей американским компаниям. Я также расскажу о том, как с помощью Stape Europe можно настроить прокси-сервер ЕС для серверного GTM, который поможет обеспечить соответствие использования Google Analytics требованиям GDPR.

Юридическая история обмена данными между компаниями ЕС и США началась в 2016 году, когда Европейская комиссия одобрила Privacy Shield (правовую базу, регулирующую передачу данных в коммерческих целях между компаниями США и ЕС).

В 2020 году Европейский суд объявил, что Privacy Shield имеет недостатки. Это произошло потому, что законодательство США не обеспечивает достаточную защиту персональных данных жителей Европы.

Широкое обсуждение в этом постановлении касалось сервисов Google (таких как Google Analytics или Google Fonts), которые не могут гарантировать безопасность данных пользователей ЕС.

Регулирующие органы заявили, что запрос согласия пользователя (или стандартных договорных оговорок) на сайте и запуск американского интеллектуального инструмента отслеживания на основе согласия пользователя не сделает сайт соответствующим GDPR.

Два самых известных инцидента, связанных с передачей данных пользователей ЕС в США, произошли в Италии и Франции. Начнем с Франции.

Французский орган по защите данных (CNIL) получил жалобы от французских пользователей, которые спрашивали, соответствует ли использование Google Analytics (аналитического инструмента, принадлежащего американской компании) правилам GDPR.

CNIL заявила, что использование Google Analytics французскими сайтами привело к передаче данных европейских пользователей американским компаниям. Это нарушает правила GDPR, поскольку американские компании не предоставляют достаточных доказательств того, что персональные данные пользователей из ЕС находятся в безопасности. Кроме того, CNIL подтвердила, что внедрение компанией Google СКК недостаточно для выполнения требований GDPR.

Ситуация в Италии в чем-то схожа. Итальянский регулятор SA получил от нескольких пользователей вопросы о том, подпадает ли использование Google Analytics конкретным итальянским сайтом под действие GDPR. После длительного расследования итальянский регулятор предупредил компании о необходимости прекратить использование Google Analytics или настроить GA в соответствии с GDPR в течение 90 дней.

Кроме того, итальянский регулятор выпустил публичное уведомление о том, что получил многочисленные жалобы на передачу данных американским компаниям. Все итальянские владельцы сайтов должны учитывать это при внедрении американских интеллектуальных инструментов отслеживания. В противном случае могут быть применены штрафные санкции.

Итак, подведем итог: передача данных пользователей из ЕС американским компаниям не соответствует GDPR. Самый большой вопрос связан с использованием Google Analytics, поскольку это самый распространенный инструмент аналитики.

Шифрование данных. 

Итальянский регулятор утверждает, что передача зашифрованных данных не является приемлемым способом и не может гарантировать защиту пользовательских данных. Причина в том, что технология шифрования предполагает наличие на сайте Google ключей шифрования, которые могут быть использованы для просмотра и обработки необработанных пользовательских данных. Поэтому до тех пор, пока ключ шифрования доступен импортеру данных (в данном случае Google), этот метод нельзя считать соответствующим GDPR.

Встроенные функции Google Analytics, которые удаляют PII.

Компания Google пыталась адаптироваться к правилам конфиденциальности ЕС, внедряя функции, предназначенные для анонимизации пользовательских данных. Регуляторы ЕС заявили, что на практике такие технологии, как редактирование IP-адреса пользователя, могут иметь практически нулевой эффект для предотвращения идентификации пользователя. В основном из-за постоянной обработки IP-адресов компанией Google.

Согласие пользователя.

Google Analytics все еще не соответствует GDPR, если пользователь дает согласие на аналитические файлы cookie. Они заявили, что передача данных американским компаниям и согласие - это разные вещи. Согласие пользователя не поможет решить проблему с передачей данных за пределы ЕС.

По мнению обоих регуляторов, возможным решением является использование прокси-сервера ЕС. Этот прокси-сервер призван нарушить взаимодействие инструментов слежения американских спецслужб с браузерами пользователей. Одним из способов, и, возможно, самым простым, реализации такого прокси-сервера является использование серверного Google Tag Manager.

Прокси-серверы должны соответствовать ряду критериев. Два наиболее важных из них:

• Компания, владеющая прокси-сервером, должна быть зарегистрирована в ЕС
• Прокси-сервер должен быть физически расположен в ЕС

Хотя пункт о компаниях, зарегистрированных в ЕС, ясен, вы можете быстро проверить, где зарегистрирована компания, на ее веб-сайте или в каталогах государственных реестров. Второй пункт может оказаться сложным.

Основное недоразумение связано с использованием Google Cloud для sGTM. Вы не можете использовать Google Cloud в качестве прокси-сервера для sGTM. При настройке прокси-сервера (которым может быть сервер Google Tag Manager), не только зона сервера должна находиться в Европе, но и физический сервер должен быть расположен в Европе и принадлежать европейской компании. Google не является компанией ЕС, то есть не удовлетворяет двум основным критериям.

Плохая новость заключается в том, что использование прокси-сервера 100% EU для вашего серверного Google Tag Manager является недостаточным. Вы должны удалить все пользовательские данные, используемые для отпечатков пальцев или идентификации пользователей аналитической платформой. Вы также должны псевдо-анонимизировать данные пользователей перед отправкой их в американский инструмент отслеживания.

1. IP-адрес.

Вы должны удалить IP-адрес из запроса, чтобы убедиться, что он не может быть использован для идентификации пользователей. Простое удаление IP-адреса не поможет, так как он все равно может быть использован для определения мест, где находится пользователь.

2. Идентификаторы пользователей. 

Когда пользователь посещает ваш сайт, Google генерирует уникальный идентификатор клиента, который идентифицирует пару браузер-устройство пользователя и сохраняет файлы cookie. Идентификатор клиента, сгенерированный Google, должен быть удален, хотя вы можете использовать случайно сгенерированный идентификатор клиента.

3. Внешний реферер.

Вы должны удалить все данные о сайте, который посетил пользователь, прежде чем попасть на ваш сайт. Обычно эти данные содержат информацию о том, перешли ли посетители на ваш сайт по ссылке в чьей-то записи в блоге, из органического поиска и т. д.

4. Параметр URL. 

Часто параметры URL содержат информацию об источнике, носителе, кампании или идентификаторе клика. Кроме того, некоторые сайты вставляют в URL данные пользователя (например, электронную почту, имя, телефон). Независимо от того, какие параметры URL несет ваш сайт, их необходимо удалить.

5. Любые данные, которые могут быть использованы для снятия отпечатков пальцев.

Для снятия отпечатков пальцев может использоваться множество данных; на данный момент нет четкой информации о том, какие данные регуляторы считают теми, которые могут быть использованы для снятия отпечатков пальцев. Однако они могут включать браузер, устройство, модель, языковые настройки, разрешение экрана и т.д.

6. Межсайтовый идентификатор. 

В принципе, любой идентификатор может идентифицировать одного и того же пользователя на разных сайтах. Это может быть идентификатор пользователя, идентификатор пользователя в CRM, электронная почта пользователя и т.д.

7. Любые данные, которые могут быть использованы для идентификации пользователя. 

Любая информация о пользователе.

На данный момент не существует способа автоматизировать удаление всех описанных выше параметров. Все они должны быть заменены вручную с помощью серверного интерфейса Google Tag Manager.

Для решения этих проблем с отслеживанием мы создаем новый продукт - Stape Europe. Stape Europe - это европейская компания (зарегистрированная в Эстонии), которая использует 100% провайдера облачных серверов Scaleway из ЕС для размещения серверных GTM-контейнеров. 

Мы освещаем все вопросы, связанные с прокси-сервером, принадлежащим ЕС. При настройке sGTM-контейнера с помощью Stape Europe вы не передаете никаких данных американской компании, поскольку сама Stape Europe является компанией, зарегистрированной в ЕС, и мы используем серверы, физически расположенные в Европе.

К сожалению, на данный момент у нас нет решения для автоматического удаления пользовательских данных. Хотя наша команда упорно работает над внедрением функций, которые помогут удалить PII автоматически, или, по крайней мере, мы облегчим вам жизнь, удалив часть PII автоматически.

Для того чтобы использование Google Analytics соответствовало требованиям GDPR, необходимо проделать большую работу. Это может стать настоящим мучением, если вы не знакомы с тегами на стороне сервера.

Хорошо то, что с Stape Europe вам не нужно беспокоиться о прокси-сервере ЕС и вы можете напрямую погрузиться в ограничения данных, установленные в интерфейсе серверного Google Tag Manager. 

Как будут выглядеть данные Google Analytics после удаления всей необходимой информации? Будет ли этого достаточно для анализа поведения пользователей, производительности сайта и т.д.? Ну, мы увидим меньше данных, чем привыкли. Но, похоже, это новая реальность, к которой нам нужно привыкнуть.

Либо вы решите остаться в соответствии с GDPR и получать меньше данных о посетителях сайта. Либо пренебрегаете этими правилами и рискуете получить предупреждения или штрафы за передачу данных пользователей в США.

Хотя случаи, связанные с передачей данных, имели место в Италии, Франции и Австрии, некоторые другие европейские страны уже заговорили о подобных правилах. Поэтому, если вы внедряете отслеживание на стороне сервера, я советую немедленно удалить часть с передачей данных в США. Не ждите, пока такие же случаи произойдут в вашей стране; вы должны переделать настройку.

В любом случае, если у вас есть вопросы, не стесняйтесь обращаться к нам. Команда Stape также может помочь настроить прокси-сервер ЕС для вас!