Google Analytics: ¿qué hacer tras la decisión de la CNIL?

¿Se podrá seguir utilizando Google Analytics? Es la pregunta que se hacen hoy numerosos responsables de sitios web tras la decisión de la CNIL del 10 de febrero de 2022. En efecto, la Comisión Nacional de Informática y Libertades francesa (CNIL) consideró que Google Analytics, tal como está configurado por defecto, no cumplía con los requisitos del Reglamento General de Protección de Datos (RGPD).

Consecuencia: hoy en día muchísimos propietarios de sitios buscan una solución alternativa a la herramienta de Google.

Como ellos, es posible que usted haya instalado Google Analytics para obtener datos sobre su tráfico y sin duda se pregunte cómo hacer para cumplir con el RGPD.

Estas son algunas pistas y soluciones que podemos proponerle para hacer un seguimiento de los datos de tráfico de sus contenidos.

Entender la decisión de la CNIL sobre Google Analytics

Repasemos los hechos. El 10 de febrero de 2022, la CNIL requiere a un responsable de sitio que se ponga en conformidad con el RGPD. La causa: el uso de Google Analytics y, muy en particular, la transferencia de datos hacia los Estados Unidos.

“La CNIL constata que los datos de los internautas se transfieren así a los Estados Unidos en violación de los artículos 44 y siguientes del RGPD. Por ello, requiere al responsable del sitio para que ponga estos tratamientos en conformidad con el RGPD, si es necesario dejando de recurrir a la funcionalidad Google Analytics (en las condiciones actuales) o recurriendo a una herramienta que no implique una transferencia fuera de la UE. El responsable del sitio en cuestión dispone de un plazo de un mes para ponerse en conformidad…”

En efecto, incluso con el consentimiento de los internautas a través de las cookies de Analytics, la CNIL considera que la herramienta no permite anonimizar totalmente los datos.

Desde el punto de vista del RGPD, esto constituye un problema porque:

Google podría estar en condiciones de identificar a los visitantes al cruzar estos datos con otra información de la que dispone.
La CNIL estima que Google no ofrece suficientes garantías sobre la seguridad de los datos una vez que estos se transfieren a los Estados Unidos.

El origen de esta decisión de la CNIL proviene de una acción de la ONG austriaca NOYB, dirigida por el activista Max Schrems. En 2020, esta había presentado una denuncia contra 101 empresas europeas que, según ella, no respetaban el RGPD ni la sentencia “Schrems II”.

Así, la autoridad austriaca de protección de datos consideró, en enero, que Google Analytics violaba efectivamente el reglamento europeo, seguida de cerca por la CNIL. Se trata de decisiones que podrían ser adoptadas por otras autoridades europeas de control.

En consecuencia, los sitios afectados por estas decisiones tienen un mes para ponerse en conformidad y abandonar Google Analytics. No obstante, por el momento, no se ha adoptado ninguna sanción económica contra los sitios afectados.

Google también reaccionó en un comunicado, informando de que la empresa iba a poner a disposición nuevas herramientas.

Recopilación de datos y RGPD, ¿cómo funciona?

En vigor desde mayo de 2018, el Reglamento General de Protección de Datos o RGPD tiene como objetivo proteger los datos personales y sensibles de los usuarios de internet.

Con Google Analytics, por ejemplo, los sitios deben solicitar el consentimiento de sus visitantes para la recopilación de sus datos. Existen así dos casos principales.

➔ El internauta no da su consentimiento para el depósito de cookies de Analytics.

Las soluciones de Analytics y publicitarias de Google siguen funcionando, pero de forma más limitada y sin depositar cookies.

➔ El internauta da su consentimiento

Esto conlleva el depósito de una cookie de Google Analytics que permitirá:

medir la audiencia del sitio,
personalizar campañas publicitarias (por ejemplo, Google Ads).

Los datos recopilados por Google para medir la audiencia son los siguientes:

la dirección IP: una dirección única, propia del dispositivo conectado.
el client id (identificador que permite seguir un recorrido de navegación individual en su sitio UA-XXXXX-X).

Cabe señalar que algunas soluciones de recopilación de información no requieren el consentimiento de los usuarios si los datos recopilados están perfectamente anonimizados.

¿Qué es una cookie? 🍪

Una cookie es un pequeño archivo de texto, registrado por el navegador de internet de un usuario cuando visita un sitio web.

Existen dos tipos de cookies:

Las cookies propias o internas. Alojadas en el servidor del sitio web visitado, permiten, entre otras cosas, mejorar la experiencia del usuario conservando cierta información sobre el visitante: preferencia de idioma, identificador de conexión, páginas consultadas, contenido de un carrito, etc.

También pueden utilizarse con fines publicitarios.

Las cookies de terceros. Están alojadas en un dominio diferente al del sitio visitado. Permiten a aplicaciones de terceros ver qué páginas se han consultado y recopilar cierta cantidad de datos sobre el usuario. Se utilizan mucho para la segmentación de la publicidad. De hecho, Google anunció el fin de este tipo de cookies para 2023.

Google Analytics y RGPD: ¿cómo reaccionar?

Ante esta situación, dispone de varias soluciones para optimizar la conformidad de Google Analytics con el RGPD.

Solución 1: esperar…

En efecto, muchas empresas están esperando a que Google se ponga en conformidad con el RGPD a nivel europeo, pero también a que los Estados Unidos y Europa lleguen a un acuerdo sobre una flexibilización de la ley. Esto podría pasar, por ejemplo, por el alojamiento de los datos de Google Analytics en Europa, a través de una empresa europea.

Solución 2: adaptar Google Analytics

Si se siente cómodo con Google Analytics, también puede configurar Google Analytics para que respete mejor los requisitos del RGPD.

Todavía no existe una solución confirmada para garantizar la conformidad de Google Analytics con los requisitos del RGPD.

Sin embargo, según nuestras investigaciones, existen varias pistas e hipótesis para que Google Analytics respete mejor los requisitos del RGPD.

Esto puede pasar por:

La anonimización de las direcciones IP antes de su almacenamiento,
La reducción de la vida útil de las cookies de Google Analytics,
La firma de un acuerdo de protección de datos (Data Protection Agreement) con Google,
La protección de las cookies de Google Analytics gracias al consentimiento de los visitantes,
Reducir la recopilación de datos por parte de las cookies de GA,
etc.

Por el momento, estas recomendaciones no son muy sencillas de aplicar y requieren mucho esfuerzo. Por eso quizá sería más juicioso recurrir a una solución complementaria.

Solución 3: optar por soluciones alternativas

No cunda el pánico: también existen numerosas alternativas como complemento de Google Analytics.

La CNIL proporciona, por ejemplo, una lista de soluciones respetuosas con el RGPD. Estas son algunas:


Nombres	Características principales
Analytics Suite Delta desarrollado por AT Internet	Recomendado por la CNIL. Tarificación bajo solicitud en función del volumen de páginas web. Se ha desarrollado un conector Semji para poder recuperar todos los datos de su sitio.
Abla Analytics	Gratuito por debajo de 5000 páginas vistas al mes ( ver la tabla de tarifas). Esta solución forma parte de la lista oficial de la CNIL.
Matomo autoalojamiento	Gratuito en código abierto. La herramienta está disponible en autoalojamiento, lo que permite ser propietario de los propios datos. Esta solución forma parte de la lista oficial de la CNIL.
Etracker Analytics	Gratuito por debajo de 25 000 páginas vistas al mes.
Fathom	Empresa canadiense que respeta el RGPD y realiza el almacenamiento y el tratamiento de los datos europeos en Alemania.
Plausible	Sin cookies. Alojamiento en Europa.

El posicionamiento de Semji

Por nuestra parte, hemos decidido esperar a ver si las negociaciones entre Google y la CNIL desembocan en un acuerdo.

Sea cual sea la alternativa elegida, podemos garantizar la continuidad de sus datos de seguimiento. Actualmente contamos con un conector con AT Internet. Pero es perfectamente posible desarrollar conexiones para otras soluciones de analítica.

No dude en ponerse en contacto con nosotros para hablar sobre la solución de analítica que haya adoptado. Mientras tanto, puede probar Semji gratuitamente para maximizar el ROI de sus contenidos.