ЄС-проксі-сервер для sGTM або як використовувати Google Analytics у спосіб, сумісний із GDPR

Протягом останніх місяців Європа зазнала низки обмежень Google Analytics. Є кілька інцидентів у різних країнах, але найпоширеніший випадок був пов’язаний з правилами в Італії, Франції та Австрії, де регулятори захисту даних заявили, що використання Google Analytics не відповідає GDPR.

У цій статті я хочу поговорити про правила, що забороняють передачу даних європейських користувачів компаніям США. Я також розповім, як ви можете використовувати Stape Europe для налаштування проксі-сервера ЄС для серверного GTM, що допоможе зробити використання Google Analytics сумісним із GDPR.

Юридична історія обміну даними між компаніями ЄС і США почалася в 2016 році, коли Європейська комісія схвалила Privacy Shield (правова база, яка регулює передачу даних у комерційних цілях між компаніями США і ЄС).

У 2020 році Європейський суд визнав, що Privacy Shield не діє. Це сталося через те, що законодавство США не забезпечує достатнього захисту персональних даних жителів Європи.

Широке обговорення в цьому рішенні стосувалося служб Google (наприклад, Google Analytics або Google Fonts), які не можуть гарантувати безпеку даних користувачів ЄС.

Регулятори заявили, що запит на згоду користувача (або стандартні договірні положення) на сайті та запуск американського інтелектуального інструменту відстеження на основі згоди користувача не призведе до відповідності з GDPR.

Два найвідоміші інциденти, пов’язані з передачею даних користувачів із ЄС до США, відбулися в Італії та Франції. Почнемо з французького.

Французький орган захисту даних (CNIL) отримав скарги від французьких користувачів, які запитували, чи відповідає використання Google Analytics (інструмент, який належить американській компанії) правилам GDPR.

CNIL заявив, що використання Google Analytics французькими веб-сайтами призвело до передачі даних європейських користувачів компаніям США. Це порушує правила GDPR, оскільки американські компанії не надають достатніх доказів того, що особисті дані користувачів ЄС безпечні. Крім того, CNIL підтвердив, що впровадження Google SCC недостатньо для виконання вимог GDPR.

Ситуація в Італії в чомусь схожа. Італійський регулятор SA отримав запитання від кількох користувачів про те, чи підпадає під дію GDPR використання певним італійським сайтом Google Analytics. Після тривалих розслідувань італійський регулятор попередив компанії припинити використання Google Analytics або налаштувати GA відповідно до GDPR протягом 90 днів.

Крім того, італійський регулятор оприлюднив публічне повідомлення про те, що отримав численні скарги на передачу даних компаніям США. Усі власники італійських веб-сайтів повинні враховувати це під час впровадження американських інтелектуальних інструментів відстеження. В іншому випадку можуть бути застосовані штрафні санкції.

Отже, підсумовуючи, передача даних користувачів із ЄС компаніям із США не відповідає GDPR. Найбільше питання стосується використання Google Analytics, оскільки це найпоширеніший інструмент аналітики.

Шифрування даних.

Італійський регулятор каже, що передача зашифрованих даних є неприйнятним способом і не може гарантувати захист даних користувачів. Причина в тому, що технологія шифрування очікує ключів шифрування на сайті Google, які можна використовувати для перегляду та обробки необроблених даних користувача. Отже, доки ключ шифрування доступний імпортеру даних (у цьому випадку Google), цей метод не можна вважати сумісним із GDPR.

Вбудовані функції Google Analytics, які видаляють ідентифікаційну інформацію.

Google спробував адаптуватися до правил конфіденційності ЄС, запровадивши функції, призначені для анонімізації даних користувачів. Регулятори ЄС заявили, що на практиці такі технології, як редагування IP-адреси користувача, можуть мати майже нульовий вплив на запобігання ідентифікації користувача. В основному через постійну обробку IP-адрес Google.

Згода користувача.

Google Analytics все ще не є GDPR, якщо користувач погоджується на аналітичні файли cookie. Вони заявили, що передача даних американським компаніям і згода відрізняються. Згода користувача не допомагає вирішити проблему з передачею даних за межі ЄС.

За словами обох регуляторів, можливим рішенням є використання проксі-сервера ЄС. Цей проксі-сервер має на меті порушити взаємодію інструментів відстеження розвідки США з браузерами користувачів. Одним із способів, і, мабуть, найпростішим, для реалізації такого проксі-сервера є використання серверного Google Tag Manager.

Проксі-сервери мають відповідати набору критеріїв. Два найважливіших:

• Компанія, яка володіє проксі-сервером, повинна бути зареєстрована в ЄС
• Проксі-сервер має бути фізично розташований у ЄС

Хоча питання про компанії, зареєстровані в ЄС, зрозуміло, ви можете швидко перевірити, де зареєстрована компанія, на веб-сайті або в довідниках публічних реєстрів. Другий пункт може бути складним.

Основне непорозуміння виникає щодо використання Google Cloud для sGTM. Ви не можете використовувати Google Cloud як проксі-сервер для свого sGTM. Під час налаштування проксі-сервера (яким може бути сервер Google Tag Manager) не лише зона сервера має бути в Європі, але й фізичний сервер має бути розташований у Європі та належати європейській компанії. Google не є компанією ЄС, тобто не відповідає двом основним критеріям.

Погана новина полягає в тому, що використання 100% проксі-сервера ЄС для вашого сервера Google Tag Manager недостатньо. Ви повинні видалити будь-які дані користувача, які використовуються аналітичною платформою для відбитків пальців або ідентифікації користувачів. Ви також повинні псевдоанонімізувати дані користувача, перш ніж надсилати їх до інструменту відстеження США.

1. IP-адреса.

Ви повинні видалити IP-адресу із запиту, щоб переконатися, що її не можна використовувати для ідентифікації користувачів. Просто вирізати IP-адресу не спрацює, оскільки її все ще можна використовувати для ідентифікації зон, де знаходиться користувач.

2. Ідентифікатори користувачів.

Коли користувач відвідує ваш сайт, Google створює унікальний ідентифікатор клієнта, який ідентифікує пару браузер-пристрій користувача та зберігає файли cookie. Ідентифікатор клієнта, створений Google, потрібно видалити, хоча ви все ще можете використовувати випадково згенерований ідентифікатор клієнта.

3. Зовнішній реферер.

Ви повинні видалити будь-які дані про веб-сайт, який відвідав користувач, перш ніж перейти на ваш сайт. Зазвичай ці дані містять інформацію про те, чи відвідувачі перейшли на ваш сайт, натиснувши посилання в чиємусь дописі в блозі, звичайний пошук тощо.

4. Параметр URL.

Часто параметри URL-адреси містять інформацію про джерело, засіб, кампанію чи ідентифікатор кліку. Крім того, деякі веб-сайти вставляють дані користувача (наприклад, електронну адресу, ім’я, телефон) в URL-адресу. Незалежно від того, які параметри URL-адреси має ваш сайт, його потрібно видалити.

5. Будь-які дані, які можуть бути використані для зняття відбитків пальців.

Купу даних можна використовувати для зняття відбитків пальців; наразі немає чіткої інформації про те, які дані регулятори вважають такими, які можна використовувати для зняття відбитків пальців. Однак це може включати параметри браузера, пристрою, моделі, мови, роздільної здатності екрана тощо.

6. Міжсайтовий ідентифікатор.

По суті, будь-який ідентифікатор може ідентифікувати того самого користувача на іншому веб-сайті. Це може бути ідентифікатор користувача, ідентифікатор користувача в CRM, електронна адреса користувача тощо.

7. Будь-які дані, які можуть бути використані для ідентифікації користувача.

Будь-яка інформація про користувача.

Наразі немає способу автоматизувати видалення всіх описаних вище параметрів. Усе це потрібно замінити вручну за допомогою серверного інтерфейсу Google Tag Manager.

Щоб вирішити ці проблеми з відстеженням, ми створили новий продукт – Stape Europe. Stape Europe — це європейська компанія (зареєстрована в Естонії), яка використовує 100% європейського постачальника хмарних серверів Scaleway для розміщення серверних контейнерів GTM.

Ми висвітлюємо всі питання, пов’язані з проксі-сервером, що належить ЄС. Під час налаштування контейнера sGTM за допомогою Stape Europe ви не передаєте жодних даних американській компанії, оскільки сама Stape Europe є зареєстрованою в ЄС, а ми використовуємо сервери, фізично розташовані в Європі.

На жаль, поки що ми не маємо рішення для автоматичного видалення даних користувачів. Хоча наша команда наполегливо працює над впровадженням функцій, які допоможуть автоматично видаляти ідентифікаційну інформацію, або, принаймні, ми полегшимо ваше життя, автоматично видаливши частину ідентифікаційної інформації.

Потрібно багато попрацювати, щоб використання Google Analytics відповідало GDPR. Це може бути справжньою проблемою, якщо ви не знайомі з додаванням тегів на стороні сервера.

Хороша річ полягає в тому, що зі Stape Europe вам не потрібно турбуватися про проксі-сервер ЄС і ви можете безпосередньо зануритися в обмеження даних, встановлені в інтерфейсі Google Tag Manager сервера.

Як виглядатимуть дані Google Analytics після видалення всієї необхідної інформації? Чи буде достатньо аналізу поведінки користувачів, продуктивності сайту тощо? Що ж, ми побачимо менше даних, ніж звикли. Але, схоже, це нова реальність, до якої треба звикати.

Або ви вирішуєте залишатися сумісними з GDPR і отримувати менше даних про відвідувачів веб-сайту. Або нехтуйте цими правилами та ризикуйте отримати попередження чи штрафи за передачу даних користувача до США.

Хоча в Італії, Франції та Австрії були випадки, пов’язані з передачею даних, деякі інші європейські країни вже почали говорити про подібні правила. Тож якщо ви реалізуєте відстеження на стороні сервера, я пропоную негайно видалити частину з передачею даних до США. Не чекайте, поки такі ж випадки трапляться у вашій країні; ви повинні переробити налаштування.

У будь-якому випадку, якщо у вас виникли запитання, не соромтеся зв’язатися з нами. Команда Stape також може допомогти вам налаштувати проксі-сервер ЄС!