Hace unos días se montó cierto revuelo acerca del posible uso de determinadas aplicaciones en Europa por la suspensión del acuerdo de Puerto Seguro entre USA y la Unón Europea. Aunque el problema, de momento no ha sido tan grave como anunciaba el titular de El Confidencial, tal y como explica la Agencia Estatal de Protección de Datos, si que ha planteado cierto panico en el sector digital, incluido en el de los analistas web.

La cuestión radica en que la herramienta más usada para la anlitica digital, Google Analytics (GA), tiene el registro de los datos en Estados Unidos…incluidos los de los visitantes a las webs públicas, en las que también el uso está generalizado. Esto hace que todo lo referente al uso de la herramienta de analítica de Google por parte de las  Administraciones Publicas plantee cuestiones sobre la privacidad de los usuarios que pueden ser problemáticas en el futuro. Asi que sin ser abogado, voy a intentar aclarar de qué manera se puede implantar GA en una administración sin tener problemas a futuro y, sobre todo,para no amenazar la privacidad de los usuarios.

¿como funciona GA?

GA es una herramienta para la analitica digital. Basicamente lo que hace es recopilar datos de los usuarios que visitan nuestro sitio web. En terminos generales, la mecanica de funcionamiento es la siguiente:
Al entrar en el sitio web, GA registra la IP del usuario y extrae los datos correspondientes al equipo, sistema operativo, navegador, ubicacion etc.
GA deposita en el usuario una cookie de seguimiento. Esa cookie es propia del sitio web y, basicamente lo que hace es asignar una identidad de GA a ese equipo y ese navegador. Con ella puede seguir la traza de la navegacion del usuario a lo largo del sitio web en esa sesión y en todas las visitas que haga mientras mantenga la cookie. Cada vez que el usuario abre una pagina, GA mira de donde viene. Si viene de fuera, apunta el origen, si viene de dentro del sitio (de otra pagina), resta a la hora de llegada la hora de llegada al sitio anterior. De esta manera GA sabe en que sitios ha estado el usuario y cunato tiempo ha estado en cada página.
Cuando GA ve que un usuario no ha hecho nada durante cierto tiempo (media hora por defecto), deduce que el usuario se ha idob y da por cerrada la sesión.

La cuestión es que con todos estos datos que tiene, Google los procesa, ordena y archiva, presentando a los usuarios de analytics los datos en dos formatos:

• los informes. A partir del interfaz de GA uno puede consultar informes con graficos acerca del uso de la Web. Como Google se preocupa de no cometer delitos, anonimiza algunos datos para que no puedas identificar a los usuarios, de manera que determinados informes que presentan pocos usuarios que podrían identificarse fácilmente, no se pueden consultar.
• Las queries: si los informes de GA no te dan exactamente los datos que quieres o necesitas, puedes descargarte esos datos para poder operarlos y generar el informe que necesitas.

¿que problemas de privacidad genera GA?

El primer y mas popular de los problemas de GA es el de las cookies. Como podra observar cualquiera que entre a Internet, las webs te informan de que depositan cookies en tu navegador. Esto viene porque las instituciones europeas se preocupan de como puede amenazar a la privacidad del usuario, por lo que obligan a los sitios web a informar de que se usan y dar el consentimiento explicito de su uso en el navegador. Para los sitios de comercio, la normativa de cookies española es tan restrictiva que su cumplimiento complica bastante la vida a estas web, por lo que su cumplimiento (ese consentimiento explicito) se hace de manera mas bien poco explicita y podria suponer lesiva para una lectura muy restrictiva de la norma. En todo caso, como vimos en el post de las cookies de los Ministerios, las Administraciones estan libres de este requisito, aunque no estaria de mas que fueran, al menos transparentes como exigen al sector privado.
Hay un segundo nivel que son las cookies que no son nuestras o que no vamos a aplicar en nuestro sitio. Estas permiten que, por ejemplo, veamos anuncios de patitos de goma en Facebook tres semanas despues de haber buscado patitos de goma en Amazon, y suponen que se rastrea nuestra navegacion fuera de nuestro sitio. Estas cookies, destinadas al remarketing tienen que notificar su impacto en la politica de privacidad del sitio. Podriamos decir que, como las Administraciones no hacen mucho remarketing, no es algo que deba quitar el sueño a la mayoría de ellas.
Dentro de este bloque están lo que GA llaman las funciones de anunciantes. En ellas GA lo que hace es utilizar una cookie creada y alimentada en distintas webs para suponer aspectos del usuario (datos demogaficos, intereses, etc). Estos informes, que están a mano en GA, te avisan de esto, y por muy sexi que suene que saber la edad, intereses y género de nuestros usuarios, requieren que los actives y cambiar la politica de privacidad de la web. Asi que, si no lo haces, no requiere grandes cambios.
Asi que si no estamos afectados por la directiva de las cookies, y, si no usamos ni remarketing ni las funciones de anunciantes, no deberíamos preocuparnos ¿no? …

El problema de la IP

Yo estaba en esta tranquilidad, hasta que esta entrada del blog de Pablo Burgueño. Como decía antes, GA extrae y almacena la IP del visitante. Esto tiene dos consideraciones. Primero, la justicia española considera la IP un dato personal. Esto, que es como poco complicado, dado que la mayoria de las IP son dinamicas y obligarian a unir la IP con el momento en el que se ha accedido para saber no quién sino dónde se ha realizado dicho acceso, hace que Google almacene datos de tipo personal. Es decir, aunque sea un dato al que tu no puedas acceder (por que no puedes) se almacena.
Por otro lado, hay que entender que, según la definición que vino a explicarme de manera poco clara la AEPD, básicamente Google actúa como custodio de datos tuyos. Es curioso, porque estariamos en un entorno en que el custodio de tus datos está guardando un dato que es personal, que muy posiblemente no sabias que se almacena y que no has declarado a la AEPD...Esto me llevo a hacer una nueva  consulta a el 21 de octubre, pero por el momento, no he tenido respuesta, asi que como ciudadano no se si las Administraciones están vulnerando mi derecho, y como experto en analitica para administraciones públicas no tengo una respuesta basada en la versión del órgano que regula esta actividad.

Entonces ¿que hacemos?

Realmente tenemos una situacion curiosa en la que sin hacer nada ilegal, y por almacenar unos datos que no uso operativamente, estoy amenazando la privacidad de los usuarios.La solucion, a parte de prescindir de GA, y buscar otras herramientas o, simplemente, no analizar la web, sería no almacenar la IP del visitante. Para ello, Google analytics permite un parámetro específico para hacerlo, Anonymize IP, que puedes implementar directamente mediante GA o en Google Tag Manager. Esta solucion elimina el último dígito de la IP, por lo que ya no se almacena un dato personal y todos contentos. Este parámetro está recomendado para todos los paises de la UE, asi que, dado que no pierdes funcionalidad, es gratis y, sobre todo, respetas los datos del usuario, es mejor que lo hagas.

En resumen, si quieres tener una instalación de GA sin tener posibles problemas, lo mejor que puedes hacer es:

• Ten desactivadas la funcion de remarketing y las funciones de anunciantes.
• Notifica a los usuarios de las cookies que utilizas, para que lo hace, y como eliminarlas. No necesitas el consentimiento explicito, pero ser transparente es una buena práctica ser transparente, aunque no sea obligatorio
• Activa en tu implantacion el parametro Anonymize IP.

Con todo esto, deberías no tener problemas de uso y privacidad. Si necesitas algo mas específico o complejo, o mejor es que busques un buen asesor que te permita tener todo conforme a la norma…pero eso ya es cosa de otros.