Cómo construir analítica web conforme con el RGPD sin cookies

Operar un servicio de analítica centrado en la privacidad significa buscar constantemente formas de mejorar la privacidad del usuario mientras se ofrece analítica web útil. El desafío central es proporcionar conteos de visitas únicas y páginas vistas totales sin interrumpir la experiencia del visitante. Ningún propietario de sitio web quiere mostrar ventanas emergentes intrusivas de consentimiento de cookies a menos que la ley lo exija.

Aquí tienes una visión técnica de cómo se puede implementar la analítica sin cookies y conforme con la privacidad.

Evitar tecnología similar a las cookies

Para lograr el cumplimiento completo de la Directiva ePrivacy, incluyendo PECR y otras implementaciones de estados miembros, una herramienta de analítica debe evitar todas las formas de tecnología similar a las cookies:

1. Cookies
2. localStorage
3. sessionStorage
4. Datos derivados del "Equipo Terminal" (zona horaria, dimensiones del dispositivo, etc.)

Estas restricciones son realmente razonables desde el punto de vista de la privacidad. Inspeccionar datos almacenados en el dispositivo del visitante se siente invasivo, por lo que estas limitaciones técnicas se alinean bien con una filosofía de privacidad primero.

Rastrear visitas sin cookies

Cualquier plataforma de analítica significativa necesita la capacidad de distinguir entre visitas únicas y páginas vistas brutas. Los conteos de páginas vistas solos, sin datos de visitas, proporcionan una visión limitada de los patrones de tráfico reales.

El procesamiento de ciertos datos personales (específicamente direcciones IP y cadenas User-Agent, según lo definido por el RGPD) es permisible bajo las seis bases legales de la regulación. Los operadores de sitios web pueden basarse en el interés legítimo cuando no hay riesgo para el interesado y cuando se aplica una anonimización adecuada.

El enfoque implica combinar múltiples puntos de datos para generar un hash único por visitante:

1. Un valor de sal rotativo vinculado a la dirección IP y el identificador del sitio
2. La dirección IP en sí
3. La cadena User-Agent
4. El nombre de host (el dominio del sitio web)
5. Un identificador específico del sitio

Estas entradas se procesan a través de un algoritmo de hashing SHA256, produciendo una salida como: cd3f1ed906bb12b62dd5eff809aa1778211a02d1c11992476f0c9977c0db0646

Los hashes resultantes son matemáticamente irreversibles. Es importante señalar que el hashing difiere fundamentalmente del cifrado. Los datos cifrados pueden descifrarse con la clave correcta, mientras que el hashing es estrictamente unidireccional.

Rotar la cadena de sal diariamente a medianoche añade una capa extra de protección contra futuros avances en la capacidad de cómputo y ataques de tablas rainbow.

El resultado es un hash anonimizado almacenado en la base de datos que no puede usarse para identificar a ninguna persona individual.

Cumplimiento de Schrems II

Tras la sentencia Schrems II en 2020, los proveedores de analítica que operan a través de fronteras también necesitan abordar los requisitos de transferencia de datos de la UE. Dado que múltiples autoridades de protección de datos de la UE han encontrado que Google Analytics no es conforme, cualquier alternativa centrada en la privacidad debe demostrar un cumplimiento robusto.

Un enfoque efectivo es crear infraestructura europea aislada donde ningún tráfico de la UE salga nunca de servidores con sede en la UE. Los datos se someten a rondas adicionales de hashing usando claves de cifrado almacenadas exclusivamente en infraestructura de la UE antes de tocar cualquier servicio fuera de la UE. El acceso a estos servidores puede restringirse a ingenieros con sede en la UE o en países con decisiones de adecuación del RGPD, como Canadá. Incluso los sistemas CI/CD pueden autoalojarse dentro de la UE para mantener un aislamiento completo.

El papel de la anonimización

El propósito del hashing de los datos del visitante es garantizar que ningún individuo pueda ser jamás identificado a partir de los datos de analítica recopilados. Esta es la base de una analítica genuinamente centrada en la privacidad.

El cumplimiento del RGPD, la CCPA y PECR no debería ser una ocurrencia tardía. El Considerando 26 del RGPD proporciona orientación clave:

Considerando 26	Análisis
Para determinar si una persona física es identificable, se deben tener en cuenta todos los medios que razonablemente puedan utilizarse, como la singularización.	Con un hashing adecuado, una persona física no puede ser singularizada. Las actualizaciones de páginas vistas ocurren dentro de transacciones individuales de base de datos, y los registros de consultas no se retienen.
Se deben tener en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación.	Forzar por fuerza bruta un hash de 256 bits costaría aproximadamente 10^44 veces el PIB global -- haciendo la identificación inversa esencialmente imposible con la tecnología actual o previsible.
Los principios de protección de datos no deben aplicarse a información anónima ni a datos personales anonimizados de manera que el interesado ya no sea identificable.	Los datos debidamente hasheados hacen que los individuos sean no identificables, potencialmente colocando dicha analítica fuera del alcance del RGPD por completo.
Este Reglamento no se refiere al tratamiento de dicha información anónima, incluso para fines estadísticos o de investigación.	Incluso si el RGPD fuera considerado aplicable, existe un interés comercial legítimo en comprender el rendimiento del sitio web a través de estadísticas agregadas y anonimizadas.

Reflexiones finales

Construir analítica sin cookies mientras se proporcionan métricas de visitas significativas es alcanzable mediante la aplicación cuidadosa de técnicas de hashing y anonimización. Algunas plataformas de analítica sin cookies solo rastrean páginas vistas, omitiendo los datos de visitas únicas por completo. Para las empresas que dependen de comprender los patrones de tráfico, las visitas únicas representan una métrica crítica que las técnicas de preservación de la privacidad como las descritas aquí pueden ofrecer de manera efectiva.