Google Analytics e dados pessoais ao abrigo do RGPD
Comece pela configuração específica: que propriedade e configuração do Google Analytics estão em uso?
A resposta curta é: às vezes. O facto de o Google Analytics recolher ou não dados pessoais ao abrigo do RGPD depende do que um determinado site envia, de como a Google trata esses dados e de ser possível associar as informações a uma pessoa identificável. O proprietário do site não pode responder a essa questão apenas por indicar o nome do produto. A pergunta «Que dados pessoais o Google Analytics recolhe?» deve ser respondida com base nos dados efetivamente enviados pela configuração em uso.
Comece por identificar a propriedade utilizada. Um site pode usar o Google Analytics 4 (GA4), uma propriedade mais antiga do Universal Analytics ou ambos durante uma transição. Os métodos de recolha e os controlos disponíveis são diferentes, e o comportamento dos produtos da Google muda com o tempo. Confirme a configuração atual na propriedade e nas definições das etiquetas, em vez de confiar num guia de instalação antigo.
Em seguida, mapeie o sistema envolvente. Uma etiqueta do GA4 pode ser executada através do Google Tag Manager, de uma plataforma de gestão de consentimento, de uma etiqueta de publicidade ou de um plug-in que adicione campos automaticamente. Uma ferramenta de formulários ou uma base de dados de clientes também pode transmitir identificadores para o Analytics. Assim, a mesma propriedade pode suscitar questões de privacidade diferentes em dois sites.
Mantenha a análise bem delimitada: uma propriedade, um conjunto de etiquetas e os dados que estas realmente enviam. Se uma conta tiver propriedades separadas para um blogue público e um serviço com início de sessão, analise-as individualmente. As finalidades e os fluxos de dados podem ser diferentes.
Acompanhe uma visita ao longo do fluxo de dados do Analytics
Imagine um visitante a abrir uma página de produto a partir de um resultado de pesquisa. A página carrega uma etiqueta do Google Analytics, que pode enviar um evento, como uma visualização de página, juntamente com os detalhes configurados pelo site. Consoante a implementação, esses detalhes podem incluir o endereço da página, informações do navegador, o nome de um evento ou um identificador.
Em seguida, a Google recebe e trata o pedido de acordo com a configuração e os termos aplicáveis ao produto. O site também pode enviar informações através de serviços associados, como funcionalidades de publicidade ou um público importado. Uma visita não corresponde necessariamente a um único registo isolado: as definições podem influenciar a forma como os eventos são associados, apresentados em relatórios ou partilhados com outras ferramentas.
Examine atentamente o endereço da página. Um URL pode conter um endereço de e-mail, um termo de pesquisa, um número de conta ou outros dados, se o site os incluir num parâmetro de consulta. Por exemplo, uma ligação para repor uma palavra-passe pode incluir um token. Se uma etiqueta registar o URL completo, o site poderá enviar mais do que apenas o nome da página.
Um único pedido pode ser suficiente.
Isso não significa que todas as visitas identifiquem uma pessoa pelo nome. Significa, sim, que o proprietário do site deve inspecionar o pedido e os sistemas associados, em vez de presumir que o Analytics só recebe contagens anónimas. As ferramentas do navegador, a pré-visualização das etiquetas e uma visita de teste podem ajudar a revelar o que é enviado; registe os resultados relativos à propriedade analisada.
Distinguir a recolha de dados da qualificação como dados pessoais
A recolha de dados e a sua qualificação como dados pessoais são questões relacionadas, mas distintas. Um evento de visualização de página é um dado. A questão de ser ou não um dado pessoal ao abrigo do RGPD depende do seu conteúdo e contexto, incluindo se uma pessoa pode ser identificada direta ou indiretamente com base em informações disponíveis ao site ou a outra parte.
Um identificador aparentemente aleatório pode, ainda assim, ser relevante. Se permitir distinguir um navegador ao longo do tempo ou puder ser associado a um registo de cliente, pode ajudar a identificar uma pessoa, mesmo que o relatório do Analytics não apresente um nome. Se o site conseguir associar um ID de evento a uma conta com sessão iniciada, deve avaliar essa ligação, e não apenas o rótulo atribuído ao campo.
O contexto altera a resposta.
Considere dois registos com o mesmo nome de evento, «view_item». Um é uma contagem geral de uma página pública de produto. O outro inclui um ID de utilizador persistente que a empresa consegue associar a uma conta e ao histórico de compras. O nome do evento não mudou; mudou a possibilidade de associar o registo a uma pessoa.
Por esse motivo, não há uma resposta universal, afirmativa ou negativa, à pergunta «o Google Analytics recolhe dados pessoais ao abrigo do RGPD?» que se aplique a todos os sites. A avaliação prática tem em conta os identificadores, os dados adicionais, o acesso e as possibilidades de associação envolvidos no tratamento específico. A informação pseudonimizada não é automaticamente anónima só por não incluir nomes.
Verifique os campos e as funcionalidades que podem alterar a avaliação
Analise os campos e as funcionalidades que podem afetar a identificabilidade ou a quantidade de informação recolhida. Não presuma que uma funcionalidade está ativa — ou inativa — só porque aparecia num guia de configuração anterior. Verifique as definições atuais da propriedade e a documentação da Google.
Tratamento de endereços IP: Confirme o que a versão atual do produto recebe e trata, bem como os controlos aplicáveis. Evite afirmar que os endereços IP são anonimizados com base numa definição de uma versão antiga do Analytics.
IDs de utilizador: Se o site enviar um identificador de conta, verifique se é estável, se pode ser associado a um cliente e se o site tem fundamento para o enviar para a finalidade configurada.
Google Signals e funcionalidades de publicidade: Verifique se estão ativados, que informações utilizam e se alteram os relatórios ou a partilha de dados da propriedade.
Parâmetros de URL: Teste páginas reais para detetar dados pessoais em cadeias de consulta, fragmentos e ligações de redirecionamento. Um token ou endereço de e-mail pode acabar no endereço da página, mesmo que ninguém tenha pretendido utilizá-lo como campo do Analytics.
Dimensões e eventos personalizados: Inspecione os nomes e os valores enviados pelo site. Um campo personalizado chamado «tipo de plano» pode ser inofensivo numa configuração, enquanto um campo com um endereço de e-mail, uma resposta em texto livre ou dados de saúde levanta outra questão.
Verifique também o que acontece depois de os dados chegarem à propriedade. Contas associadas, exportações e integrações podem alargar o número de pessoas com acesso às informações ou as formas como estas são utilizadas. Uma definição que limita a recolha não responde a todas as questões sobre a utilização posterior.
O que o papel e os termos da Google esclarecem — e o que não esclarecem
Os documentos contratuais da Google podem descrever os papéis da Google e do cliente em determinados tratamentos, incluindo situações em que a Google atua como subcontratante. Leia os termos aplicáveis ao serviço e à conta e confirme a redação atual. A descrição de um produto, por si só, não determina a situação do site perante o RGPD.
O proprietário do site continua a ter de avaliar as suas próprias finalidades, o fundamento jurídico, a transparência, a configuração e eventuais divulgações ou transferências aplicáveis. Um fornecedor pode disponibilizar definições e termos contratuais, mas isso não torna automaticamente lícita qualquer utilização do Analytics. Da mesma forma, selecionar um banner de consentimento não prova que as etiquetas se comportam conforme o banner promete.
Os papéis também podem depender do tratamento em causa. Um site pode decidir por que motivo pretende medir as visitas e que eventos quer enviar, enquanto um fornecedor trata as informações ao abrigo de termos de serviço específicos. Os detalhes são importantes: evite atribuir papéis com base num modelo genérico sem verificar o acordo de serviço efetivamente aplicável.
Para um pequeno editor, a medida prática é manter um registo da propriedade, das etiquetas, dos serviços associados, das finalidades e dos termos relevantes. Se o site tratar informações sensíveis ou depender de integrações de publicidade complexas, procure aconselhamento especializado em privacidade, em vez de encarar um ecrã de definições como uma análise jurídica.
Uma auditoria específica para o proprietário do site
Uma auditoria breve e documentada é mais útil do que uma promessa vaga de «utilizar definições que respeitam a privacidade». Para saber Como configurar o Google Analytics para cumprir o RGPD, siga estes passos para cada propriedade do Analytics, verificando a implementação e as regras aplicáveis ao tratamento:
Identifique a propriedade e as etiquetas. Registe se o site utiliza o GA4, uma propriedade antiga, o Google Tag Manager, plug-ins ou código instalado diretamente. Inclua as páginas em que cada etiqueta é carregada.
Teste uma visita. Abra uma sessão limpa no navegador, visite as páginas principais e inspecione os pedidos enviados com as ferramentas de desenvolvimento do navegador ou uma funcionalidade de depuração de etiquetas. Registe os nomes dos eventos, os endereços das páginas e os identificadores; depois, remova ou oculte quaisquer valores sensíveis encontrados.
Verifique o comportamento do consentimento. Teste ambas as opções na interface de consentimento do site. Confirme se as etiquetas do Analytics aguardam, são bloqueadas ou se comportam de outra forma e compare o resultado com a política declarada pelo site.
Analise os eventos e as integrações. Inspecione os eventos personalizados, os IDs de utilizador, os serviços de publicidade associados, as importações e as exportações. Pergunte à equipa responsável por cada integração o que é enviado e porquê.
Verifique o prazo de conservação e o acesso. Analise os controlos de conservação da propriedade, os utilizadores da conta e os destinos das exportações. Remova os acessos que já não sejam necessários para a atividade e documente as definições atuais.
Corrija o envio involuntário de dados. Sempre que possível, remova os dados pessoais dos URLs ou dos valores dos eventos na origem. Se um campo não deve ser enviado, impeça o seu envio antes de chegar à etiqueta, em vez de depender apenas de um filtro nos relatórios.
Repita a verificação após uma reformulação do site ou a instalação de um novo plug-in. Um novo processo de finalização de compra, início de sessão ou formulário pode alterar os dados enviados sem que ninguém edite diretamente a propriedade do Analytics.
Dê aos visitantes uma resposta precisa e devidamente contextualizada
Um aviso de privacidade útil deve descrever as práticas efetivas do site, sem afirmar genericamente que «o Google Analytics é anónimo». Indique a finalidade — por exemplo, perceber que páginas são utilizadas pelos visitantes — e explique as categorias de dados recolhidos, eventuais partilhas relevantes e as opções disponíveis para os visitantes. Assegure que a redação corresponde às etiquetas observadas durante a auditoria.
Explique o fundamento jurídico em que o site se baseia para cada finalidade relevante e como os visitantes podem exercer os direitos aplicáveis. Em certas circunstâncias, pode ser necessário obter consentimento para algumas formas de rastreio, mas o consentimento não responde universalmente a todas as questões do RGPD; o site tem de avaliar o tratamento e as regras aplicáveis.
Seja claro quanto aos limites. Se o site utilizar um identificador que possa ser associado a uma conta com sessão iniciada, diga-o com precisão; se não enviar esse identificador, não dê a entender que o faz. A resposta deve corresponder à propriedade, às etiquetas e ao fluxo de dados testados no site — não a uma descrição genérica do Google Analytics.
