Google Analytics es malo para la seguridad y la privacidad

Hace unos días se conoció que la autoridad italiana de protección de datos ha declarado ilegal Google Analytics en Italia por incumplir el GDPR:

La autoridad de control italiana llegó a esta conclusión tras una compleja investigación que había iniciado en estrecha coordinación con otras autoridades de protección de datos de la UE, a raíz de las reclamaciones recibidas. La autoridad de control italiana constató que los operadores de sitios web que utilizan GA recopilaban, mediante cookies, información sobre las interacciones de los usuarios con los respectivos sitios web, las páginas visitadas y los servicios ofrecidos. El variado conjunto de datos recopilados a este respecto incluía la dirección IP del dispositivo del usuario, junto con información sobre el navegador, el sistema operativo, la resolución de pantalla, el idioma seleccionado y la fecha y hora de visualización de la página. Se comprobó que esta información se transfería a Estados Unidos. Al determinar que el tratamiento era ilícito, la autoridad de control italiana reiteró que una dirección IP es un dato personal y no quedaría anonimizada aunque se truncara, dadas las capacidades de Google para enriquecer dichos datos con información adicional que posee.

Puedes consultar el artículo completo aquí.

La resolución importa mucho. Abre una especie de caja de Pandora: la mayoría de las empresas transfieren al extranjero datos de tráfico y todavía almacenan fuera del país datos de registro. El otro día revisé mi cuenta de Twitter y vi que conserva datos de IP de 2009, cuando creé la cuenta por primera vez. Toda esa información se guarda en Estados Unidos.

El problema no es, en sí mismo, dónde estén los datos. Está en el riesgo de espionaje mediante ataques MitM.

A estas alturas, estoy bastante seguro de que muchos más países seguirán este camino y terminarán prohibiendo Google Analytics, salvo que Google traslade a Europa todos los datos de la UE.