Un thread interessante su Twitter per capire meglio in quale direzione si sta muovendo il legislatore americano e l'attività di lobbismo effettuata dalle Big Tech:

https://twitter.com/JustinBrookman/status/1501954731924762628

Anche per questo motivo non vedo davvero possibile un nuovo Privacy Shield, USA ed EU hanno oramai imboccato strade diametralmente opposte...

@kal ha detto in Google Analytics è illegale in EU?:

Aggiungo: resta invece a mio parere valido l'approccio di spostare il tracciamento lato server/proxy e levare lì i dati passibili di digital fingerprint, perché effettivamente questa cosa si qualifica pienamente come queste famose "supplementary measures" che Google ha mancato completamente di fornire.

Premesso che non ho nessuna competenza in merito, avete da consigliare delle letture di approfondimento su come implementare questo bypass?
Grazie

@kal sinceramente sono discorsi separati la legge sulla provacy a livello statale non è strettamente legata al privacy shield visto che copre elementi diversi.

Per farti un esempio con il mio DPO dopo l’articolo di Vischer stiamo investigando se alcuni leggi italiane per la sicurezza vanno contro la GDPR abbiamo due o tre analisi da fare ma siamo allo stato preliminare e non so dove porterà.

È un argomento veramente spinoso e pensare che una legge escluda ed includa altro è difficile.

La CCPA per esempio ha una filosofia completamente opposta rispetto alla GDPR. Mentre la GDPR è costruita pensando che il dato sia un diritto della persona e che quindi l’utente deve dare in consenso prima della raccolta dei dati, la CCPA prevede che il dato possa essere raccolte e che l’utente abbia la possibilità di richiedere che venga cancellato.

Le due leggi arrivano a conclusioni simili , ma da punti vista opposti e quindi al gestione è diversa, ma alla base c’è sempre la protezione del dato.

No so dirti quale sia la migliore sono punti di vista. Sicuramente la GDPR sta diventando estrema nella sua interpetazione.
E come ha già evidenziato @juanin la possibilità di interpretazione è un male.
Inoltre per lavoro sto approfondendo molti provider tecnologici di dati e purtroppo la realtà dei fatti è che con contratti e tecnologie costruire bene si posso fare accrocchi che rispettano perfettamente la filosofia della GDPR e che per smontarli serviranno nuovi indicazioni da parte del legislatore se e quando se ne accorgerà.

Alla fine tutta la questione di GA e portata dal fatto che esporta i dati negli Stati Uniti se ci pensate. Ma se tenesse i dati in Europa tutte il tracciamento che fa sarebbe completamente legale e senza problemi.

Quindi se per assurdo google spostare il suo Hq in Europa ed importasse tutti i dati degli utenti americani un’Europa (nessuna legge lo vieta) potrebbe continuare ad operare senza problemi.

Per me è tutto un bel castello ma che complica la vita a noi, non alle big tech

@claudius ci sono vari modi per farlo.

1 - analitica di prima parte (opzionale) + invii via Measurement Protocol
2 - proxy pass + subfiltering via webserver
3 - tag manager server side

1. Measurement Protocol

Uno è che ti fai un tuo script che del tipo mia-analitica.js che poi chiama un tuo sistema server side tipo hit.go o hit.php o hit.asp e li dentro poi mandi i dati a #Google tramite measurement protocol https://developers.google.com/analytics/devguides/collection/protocol/v1/parameters

Alla fine è anche molto semplice. Sono giusto una ventina di parametri da mappare e tutti ottenibili con le interfacce javascript di accesso al dom, document, window etc.

Se qualcuno è interessato potremmo pensare un incontro formativo @giorgiotave o comunque una live o un webinar o una sette formazione pratica o un workshop.

2 - Proxy pass + Subfiltering

Poi qui sopra ho già linkato degli esempi per fare invece proxy pass con sub filtering per il replace dinamico degli endpoint.

3 - Tag Manager Server Side

La terza possibilità invece è mettersi su un google tag manager server side. Ci sono dei comodi Docker anche se la documentazione è imbarazzante.

@filtro ha detto in Google Analytics è illegale in EU?:

Alla fine tutta la questione di GA e portata dal fatto che esporta i dati negli Stati Uniti se ci pensate. Ma se tenesse i dati in Europa tutte il tracciamento che fa sarebbe completamente legale e senza problemi.

Questo solo se al legislatore americano venisse impedito l'accesso. Ad esempio se fosse tutto criptato e Google non possedesse le chiavi (ma il propietario dei dati sì).

E in quel caso il Governo USA emanerebbe una legge per imporre alle aziende di avere sempre le chiavi... E non è un'invenzione, la stanno già discutendo:

https://www.eff.org/deeplinks/2020/06/senates-new-anti-encryption-bill-even-worse-earn-it-and-thats-saying-something

Quando dico che in USA vanno nella strada opposta, intendo sul serio. Sono visioni radicalmente inconciliabili...

@claudius dimenticavo. Ovviamente fai in modo che le macchine dove tieni queste cose server side siano di aziende europee altrimenti sei punto e a capo

@juanin ha detto in Google Analytics è illegale in EU?:

@claudius dimenticavo. Ovviamente fai in modo che le macchine dove tieni queste cose server side siano di aziende europee altrimenti sei punto e a capo

Non me ne volere ma della tua risposta questa è finora l'unica parte che mi è chiara
Ti ringrazio e provo a studiarmi il materiale che hai linkato, intanto se preparate una live/webinar/workshop/segnali di fumo con @giorgiotave per me (e credo molti altri) è molto gradito.

Consiglio vivamente a chi è interessato di registrarsi a questo evento di Google (non mi sembra di averlo visto citato) dove Google, immagino, espliciterà finalmente la sua soluzione per quanto riguarda GA.

https://marketingplatformacademy.withgoogle.com/events/data-control-in-google-analytics

@matteo-zambon Immagino che ci farai una sintesi di cosa diranno poi.

Ma siamo sicuri che non saranno cose solo per i 360?

@kal è un evento nuovo programmato per il 23 Marzo, non quello che hanno già fatto.

News importante: sono stati avviati (ora, dopo i provvedimenti e dopo quasi due anni dalla sentenza Schrems II - Ndkal) i lavori preliminari per un nuovo accordo transatlantico sulla gestione dei dati:

https://www.wsj.com/articles/u-s-eu-reach-preliminary-deal-on-data-privacy-11648200085?mod=djemalertNEWS

Punto chiave della questione:

Mr. Biden and Ms. von der Leyen didn’t provide details of how the new agreement would work and withstand legal challenges. At issue in the talks has been whether the U.S. could assuage the EU—and its top court—with new administrative appeals mechanisms but without a change to U.S. law, which would require approval by Congress, people briefed on the talks have said in recent months.

In una frase tutte le difficoltà politiche del processo necessario per arrivare ad un accordo effettivo e funzionante.

Serve che gli USA accordino ai cittadini europei gli stessi diritti che hanno in EU... e per farlo serve che la cosa sia approvata dal Congresso.

Commento mio: tanti cari auguri!!

Vediamo come andrà avanti la cosa.

Qua la prevedibile risposta a caldo di Schrems:

https://noyb.eu/en/privacy-shield-20-first-reaction-max-schrems

L'immagine dice tutto:

@kal

Sembra che il problema sia rientrato. Grazie al Gas...

https://www.infobae.com/it/2022/03/25/ue-e-stati-uniti-raggiungono-un-accordo-per-il-trasferimento-dei-dati-garantendo-la-privacy-2/

@sermatica informazione errata, non c'è nessun accordo. Quello che hanno dichiarato sostanzialmente è la volontà di stringerne uno.

Ovviamente la notizia viene spinnata in quel modo perché lo Status Quo fa comodo a tutti... Ma se leggi i commenti degli ambienti legali è tutta un'altra musica.

Vedi ad esempio: https://www.linkedin.com/posts/paulbreitbarth_press-corner-activity-6913121822028759041-_iGh?utm_source=linkedin_share&utm_medium=android_app

Oppure anche: https://www.linkedin.com/posts/activity-6913149086091124736-RTNY?utm_source=linkedin_share&utm_medium=android_app

Pure la EUDPS trolla...

https://twitter.com/EU_EDPS/status/1507382700575010816?t=YUkOwTEGWIGoE2KaVyFNnw&s=19

Prego notare il "in principle"

Caso chiuso?
https://blog.google/outreach-initiatives/public-policy/trans-atlantic-data-privacy-framework-building-long-term/

@simbus82 per ora non c'è nulla di chiuso. Vediamo se diventerà realtà e se rispetterà veramente quello che deve rispettare in conformità al GDRP e senza altri vincoli nascosti che lo renderanno di fatto invalido.

@simbus82 ha detto in Google Analytics è illegale in EU?:

Caso chiuso?
https://blog.google/outreach-initiatives/public-policy/trans-atlantic-data-privacy-framework-building-long-term/

Stanno spinnando come se l'accordo fosse già chiuso, quando non è così.

Si sono accordati sulle linee guida da tenere per chiudere l'accordo (la parola chiave è "in principle"). Potremmo dire che si sono dichiarati d'accordo sulla necessità di raggiungere un accordo e anche su che strada intraprendere.

A occhio, non servirà a nulla. E in corso d'anno vedremo altri provvedimenti di altri garanti privacy.

Questo quello che si conclude leggendo in giro negli ambienti legali/privacy.

@kal ha detto in Google Analytics è illegale in EU?:

A occhio, non servirà a nulla. E in corso d'anno vedremo altri provvedimenti di altri garanti privacy.

E infatti:

https://noyb.eu/sites/default/files/2022-04/20220302_CNIL_101-complaints-decision-two_Redacted.pdf
https://noyb.eu/sites/default/files/2022-04/20220302_CNIL_101-complaints-decision-three_Redacted.pdf

Altri due siti francesi vengono sanzionati dalla CNIL per colpa di Google Analytics

Per la cronaca, i siti per i quali NOYB aveva depositato le segnalazioni in Francia erano:

huffingtonpost.fr (tag GA ancora presente )
leroymerlin.fr (tag GA ancora presente )
decathlon.fr (tag GA NON presente )
mobile.free.fr (tag GA NON presente )
auchan.fr (tag GA NON presente )
sephora.fr (tag GA ancora presente )

Siamo a 3 su 6 per ora e mi pare chiaro quali siano i siti coinvolti ad oggi.

In Italia ancora nulla, ma possiamo aspettarci sicuramente qualcosa a breve.