A resposta curta é que não é automaticamente ilegal, e também não está automaticamente tudo bem. As duas afirmações são repetidas com ar de confiança e nenhuma sobrevive ao contacto com as decisões verdadeiras.

Isto é um resumo para quem está a decidir sobre uma ferramenta, não é aconselhamento jurídico.

O que as autoridades de proteção de dados decidiram mesmo

Entre 2022 e 2023, as autoridades de controlo da Áustria, da França, da Itália, da Dinamarca, da Finlândia, da Noruega e da Suécia consideraram cada uma delas ilícitas instalações concretas do Google Analytics. As queixas vieram da noyb, a organização de privacidade fundada por Max Schrems, e foram apresentadas contra muitos sítios ao mesmo tempo.

O raciocínio era sobre transferências internacionais, não sobre analítica. Depois de o Tribunal de Justiça ter derrubado o Privacy Shield UE-EUA no acórdão Schrems II, as transferências para os Estados Unidos passaram a precisar de outra base jurídica. As autoridades concluíram que as cláusulas contratuais-tipo em que a Google se apoiava não bastavam sozinhas, porque não impedem a lei de informações dos Estados Unidos de chegar aos dados. As medidas suplementares que a Google tinha acrescentado (cifra em trânsito, a opção de truncar um endereço IP) não mudaram isso, porque a Google continuava a conseguir ler os dados.

Há dois pormenores dessas decisões que se perdem no recontar, e os dois importam:

  • Truncar o IP não salvou a situação. A autoridade austríaca concluiu que a combinação de um identificador de cliente com outros dados continuava a identificar o visitante, portanto retirar parte do endereço IP não tornava os dados não pessoais.
  • Foram decisões sobre sítios concretos, com configurações concretas, num momento concreto. Não foram uma proibição geral do produto.

O que o Data Privacy Framework mudou

Em julho de 2023 a Comissão Europeia adotou uma decisão de adequação para o Data Privacy Framework UE-EUA. Para uma empresa dos Estados Unidos que se autocertifique ao abrigo do DPF (e a Google certifica-se) as transferências podem apoiar-se nessa decisão de adequação em vez das cláusulas contratuais-tipo.

Isto muda genuinamente a posição em que as decisões de 2022-23 assentavam. Essas decisões eram sobre a ausência de um mecanismo de transferência válido, e agora existe um.

A ressalva é que este é o terceiro quadro desses. O Safe Harbour foi derrubado em 2015, o Privacy Shield em 2020, e a noyb anunciou a intenção de contestar o DPF no dia em que este foi adotado. Uma contestação não é uma invalidação, e seria errado dizer-te que o quadro está prestes a cair. É igualmente errado planear como se a questão estivesse resolvida para sempre, dado que as duas respostas anteriores duraram cerca de cinco anos cada uma.

O que continua a ter de ser verdade

A questão das transferências foi a que ficou nos títulos. Não é a única, e é nas outras que a maior parte das instalações de GA4 está mesmo vulnerável.

Consentimento, obtido como deve ser. A analítica não é estritamente necessária, portanto na UE precisa de consentimento antes de seja o que for ser guardado no dispositivo ou lido dele: em Portugal é o artigo 5.º da Lei n.º 41/2004, aplicado pela CNPD, e o GA4 guarda um identificador. O consentimento tem de ser livre, específico, informado e inequívoco. Um aviso só com um botão de "Aceitar" não é nada disso. Nem o é um que define o identificador antes de clicares.

Consent Mode configurado corretamente. O Consent Mode da Google muda o comportamento do GA4 quando o consentimento é recusado, mas continua a enviar sinais sem cookies de origem e a modelar o buraco. Se os valores modelados te servem é uma questão de medição; se os sinais te servem é uma questão jurídica, e depende de uma configuração que tens de conferir em vez de presumir.

Um registo que conseguisses apresentar. Ao abrigo do artigo 5.º, n.º 2, do RGPD tens de conseguir demonstrar a conformidade. Isso quer dizer uma avaliação de impacto sobre a proteção de dados onde ela seja exigida, um registo das atividades de tratamento, uma política de conservação que aplicas mesmo, e consentimento documentado.

Tudo o que acrescentaste por cima. A maior parte dos problemas do GA4 na prática não é o GA4. É o User-ID que afinal era uma dispersão de um email, o endereço da página a transportar um código ou um número de encomenda num parâmetro, ou a carga de comércio eletrónico a incluir o nome de um cliente.

O que isto quer dizer para uma decisão

Se já geres o GA4 e ele tem consentimento como deve ser, configuração como deve ser e documentação, a decisão de adequação dá-te hoje uma posição defensável. Arrancá-lo esta tarde com base num título de 2022 é uma reação exagerada.

Se estás a escolher agora, o enquadramento honesto é de risco. Manter os dados na UE com um subcontratante da UE retira a questão das transferências do teu registo de riscos por completo em vez de lhe responder. Isso vale alguma coisa, e o quanto depende do teu setor, do teu regulador, e do quanto te apetece voltar a discutir isto no fim da década.

Há também um argumento operacional simples que não tem nada a ver com direito: se a tua analítica precisa de consentimento, estás a medir apenas os visitantes que concordaram, o que não é uma amostra aleatória do teu tráfego.

Onde é que a Skomi se posiciona

A Skomi guarda os dados dela na UE e deriva a identidade do visitante no servidor a partir de um sal que roda diariamente, portanto não se escreve nada no dispositivo do visitante nem se lê nada dele. Não há transferência nenhuma para avaliar e, na definição de origem, não há consentimento nenhum para recolher.

É também um produto mais pequeno do que o GA4, e a página de comparação lista o que perdes ao lado do que ganhas, incluindo as linhas em que o GA4 ganha, que são reais.

Fontes que vale a pena leres tu

  • A decisão da DSB austríaca de dezembro de 2021, a primeira da série e a mais detalhada quanto à razão por que truncar o IP não bastava.
  • As decisões da CNIL sobre o Google Analytics e as orientações posteriores dela sobre medição de audiência isenta de consentimento.
  • A decisão de adequação da Comissão Europeia para o Data Privacy Framework UE-EUA, de julho de 2023.
  • As recomendações 01/2020 do CEPD sobre medidas suplementares, que estabelecem a avaliação que as autoridades aplicaram.

Quem te disser que isto é simples não as leu.

O que a Skomi faz em vez disso é ser sem cookies de origem: não se escreve nada no dispositivo do visitante, portanto não há transferência de um identificador para pesar, e é sobre isso que o produto Analytics está construído, em vez de ser um modo em que se entra. O campo mais alargado dos substitutos, com o nosso colocado honestamente no meio deles, está em alternativas ao Google Analytics.