La ONG de privacidad noyb ha presentado denuncias contra tres sitios web irlandeses, quejándose de que el uso de Google Analytics no cumple con el GDPR.
Las denuncias aún no se han resuelto. Sin embargo, cuatro autoridades europeas de protección de datos ya se pronunciaron en contra del uso de Google Analytics en denuncias similares de noyb y otra (la danesa Datatilsynet) prácticamente prohibió Google Analytics en Dinamarca en un comunicado. Estas autoridades siguen un enfoque coordinado, por lo que otros países del EEE y de la UE, como Irlanda, podrían seguirles.
Además, la autoridad irlandesa de protección de datos (DPC) redactó una decisión para interrumpir las transferencias de datos de Meta y la presentó al Consejo Europeo de Protección de Datos en octubre de 2022. Las cuestiones centrales del caso son esencialmente las mismas implicadas en las quejas de noyb contra Google Analytics. En caso de que la Junta respalde la decisión del CPD, el caso sentaría un importante precedente a escala europea, más aún en Irlanda. Dicho precedente tendría consecuencias de gran alcance para toda la UE, ya que muchos gigantes tecnológicos multinacionales tienen sedes europeas o filiales en la República de Irlanda.
- ¿Debo preocuparme por el GDPR en Irlanda?
- ¿Cuál es la legislación irlandesa sobre privacidad?
- ¿Qué es todo esto?
- ¿A qué viene todo este revuelo por el GDPR?
- Pensamientos finales
Entremos en materia
¿Debo preocuparme por el GDPR en Irlanda?
La República de Irlanda es un Estado miembro de la Unión Europea, por lo que el GDPR se aplica a todas las actividades de procesamiento de datos de las empresas irlandesas.
El GDPR también se aplica a todas las actividades de procesamiento de datos de las empresas irlandesas.
El GDPR también se aplica a cualquier servicio dirigido al mercado irlandés. Además, si el público objetivo de su sitio web incluye Irlanda y utiliza Google Analytics, también se le aplica.
Pero el GDPR no se aplica a todos los servicios de tratamiento de datos de empresas irlandesas.
Pero hay un truco: solo se aplica si procesas datos personales. Las herramientas de análisis respetuosas con la privacidad, como Simple Analytics, te permiten obtener información valiosa sin procesar ningún dato personal. De esta forma, tú no necesitas cumplir con el GDPR porque, en primer lugar, no se aplica a los datos que procesas.
Sólo se aplica si procesas datos personales.
¿Cuál es la legislación irlandesa sobre privacidad?
El principal marco de protección de datos es el GDPR de la Unión Europea. La República también tiene su propia legislación sobre privacidad, incluida la Ley de Protección de Datos de 2018, que implementa el GDPR. La Comisión de Protección de Datos y los tribunales irlandeses velan por el cumplimiento de esta legislación.
La República de Irlanda también está sujeta a los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la UE, que protege la privacidad y la protección de datos.
La República de Irlanda también es Estado miembro del Consejo de Europa. Como tal, la República ratificó el Convenio Europeo de Derechos Humanos, que protege la vida privada y la correspondencia. Irlanda también ratificó el Convenio 108 del Consejo de Europa, que es el único acuerdo internacional vinculante en materia de protección de datos hasta la fecha.
¿Qué es todo esto?
¿A qué viene todo este revuelo por el GDPR?
La reciente tendencia de decisiones en contra de Google Analytics es parte de un rompecabezas legal más grande sobre las transferencias de datos entre el EEE y los Estados Unidos. Así que esto es mucho más grande que los países individuales, como la República de Irlanda, y es más grande que Google Analytics también. Ya escribimos sobre esto extensamente en nuestro blog, así que aquí va una versión corta.
La cuestión central es la transferencia de datos entre el EEE y EE.UU..
El problema principal es la vigilancia estatal. Según el GDPR, los datos personales europeos solo pueden transferirse fuera del EEE cuando se hace de forma segura. Esto es difícil para las transferencias de datos estadounidenses porque el marco jurídico de este país permite una vigilancia amplia e invasiva sobre los datos de ciudadanos extranjeros, incluidos los irlandeses]
.
Dos marcos de transferencia de datos (Safe Harbor y Privacy Shield) entre la UE y EE.UU. hicieron posible en el pasado las transferencias de datos conformes con el GDPR, pero ambos marcos fueron invalidados por el Tribunal de Justicia de la UE en los casos Schrems I y II. Un tercer marco está en camino, pero sin duda se enfrentará a un desafío legal. Con una sentencia Schrems III ya en el horizonte, el futuro de los flujos de datos entre la UE y EE.UU. sigue siendo incierto.
Mientras tanto, las empresas irlandesas y las europeas en general deben recurrir a diferentes herramientas legales (normalmente cláusulas contractuales estándar) para transferir legalmente datos a EE. UU. en virtud del GDPR. Sin embargo, el problema de estas herramientas es que no ofrecen ninguna protección contra la vigilancia estatal. Por este motivo, el Tribunal de Justicia aclaró en el asunto Schrems II que deben complementarse con medidas adicionales de protección de la privacidad siempre que se envíen datos a países "inseguros". Esto es difícil y del todo imposible para las transferencias que exigen ciertos servicios basados en la nube, como Google Analytics (escribimos sobre esto aquí).
Después de la sentencia Schrems II en 2020, la mayoría de las empresas siguieron haciendo negocios como de costumbre con proveedores de servicios con sede en Estados Unidos. Mientras tanto, la ONG noyb presentó 101 denuncias sobre transferencias de datos contra sitios web europeos que usaban Google Analytics y Facebook Connect para empujar a las autoridades hacia una aplicación más estricta de la sentencia Schrems II.
Las autoridades de protección de datos coordinaron su enfoque a nivel europeo para gestionar las denuncias de forma coherente. Como resultado, la Austrian, French, Italian, y Hungarian DPA se pronunciaron en contra del uso de Google Analytics en decisiones muy similares, y la DPA danesa hizo esencialmente lo mismo en un comunicado de prensa. Aunque las decisiones se refieren a un controlador individual, todas sientan un precedente que prácticamente equivale a una prohibición a nivel estatal, como explicamos aquí. Si el CPD hiciera lo mismo, su decisión sentaría un precedente similar para Irlanda. Lo mismo ocurrirá probablemente si el EDPB respalda el proyecto de decisión del DPC contra Meta.
Pensamientos finales
Afortunadamente, existen alternativas a Google Analytics que no recopilan datos personales y cumplen al 100% con el GDPR. Simple Analytics es una de ellas. Creemos que no es necesario utilizar cookies ni recopilar datos personales para mostrar información sobre el rendimiento de su sitio web.
Simple Analytics es una herramienta de análisis de datos.
Sin rastrear a los visitantes individuales del sitio web, es posible recopilar información procesable e identificar oportunidades a partir de la analítica de sitios web. Quieres ver cómo es? Echa un vistazo a nuestro panel de control en vivo aquí.
Creemos en hacer de Internet un lugar más seguro y amigable para los visitantes del sitio web. Si está de acuerdo con esto, no dude en pruébenos.