- Webサイト分析ツールを通じた米国への個人データ移転が争点となり、スウェーデンの個人データ保護機関IMYがCDON、Coop、Dagens Industri、Tele2によるGoogle Analyticsの利用を監査
- 監査対象は2020年8月14日時点のGoogle Analyticsバージョンで、トラフィックの測定・分析過程で移転されるデータの保護水準が主な争点に
- IMYは、Googleの統計ツールによって米国へ送信されるデータは、他の固有データと結合され得るため個人データに該当すると判断
- 4社はいずれも標準契約条項を根拠としていたが、追加の技術的セキュリティ対策はEU/EEA水準の保護を保証するには十分ではないと判断された
- Tele2には1,200万SEK、CDONには30万SEKの制裁金が科され、Tele2はすでに利用を停止しており、残る3社には停止命令が出された
Google Analytics利用に関するIMYの監査
- スウェーデンの個人データ保護機関IMYは、4社によるGoogle Analyticsの利用を監査した
- 対象企業はCDON、Coop、Dagens Industri、Tele2
- 監査対象は2020年8月14日時点のGoogle Analyticsバージョン
- Google AnalyticsはWebサイトのトラフィックを測定・分析する統計ツール
- 監査はNOYB(None of Your Business)の苦情と、EU司法裁判所（CJEU）のSchrems II判決を背景に実施された
- 苦情の内容は、4社が法に違反して個人データを米国へ移転したというもの
- GDPR上、個人データはEU/EEA域外の第三国へ移転できるが、欧州委員会が当該国の保護水準を十分と決定している必要がある
- CJEUはSchrems II判決で、当時の米国はEU/EEAに相当する十分な保護水準を備えているとは見なせないと判断した
個人データ移転の判断と保護措置
- IMYは、Googleの統計ツールを通じて米国へ移転されるデータが個人データに該当すると判断した
- 当該データが、同時に移転される他の固有データと結び付けられる可能性があるため
- 4社の技術的セキュリティ対策は、EU/EEAで保証される水準と本質的に同等の保護を提供するには不十分と判断された
- 4社はいずれも、Google Analyticsを通じた個人データ移転の根拠として標準契約条項を利用していた
- 欧州委員会による十分性認定がない場合、標準契約条項に基づく移転が可能
- CJEUによれば、標準契約条項が実際に意図された保護を維持するには、追加の保護措置が必要になる場合がある
- IMYの監査結果では、4社の追加の技術的セキュリティ対策は十分ではなかった
企業別の制裁金と利用停止措置
- IMYは、各社の保護措置の水準と利用状況を踏まえ、制裁金と停止措置を決定した
- Tele2: 1,200万SEKの制裁金を科され、最近、自主的にGoogle Analyticsの利用を停止
- CDON: 30万SEKの制裁金を科された
- CDONはCoopとDagens Industriほど広範な保護措置を講じていなかった
- CDON、Coop、Dagens IndustriにはGoogle Analyticsの利用停止命令が出された
- 今回の決定は4社に直接適用されるものだが、Google Analyticsを利用する他の組織に対しても、個人データ移転リスクを点検すべきだというシグナルとなる
1件のコメント
Hacker Newsのコメント
義妹（正確には彼女の弟の彼女だが、重要ではない）が最近 データ分析の資格 のために勉強し、実際いくつも取得した
その全課程（https://medieinstitutet.se）が Google Analytics ベースなので、今やその人の価値は Google Analytics を使えることに結び付いている。6〜12か月かけて新しい分析システムを学び直すか、あるいは最初から分析担当でなくなるようなことを望む人はほとんどいないだろうから、この技術が有効であり続けるよう強く抵抗する可能性が高い
人は、生活をより簡単にしてくれるものを学ぶときに、そこで許容している 依存性 をきちんと評価していないように思う。Google Analytics は、自前で分析を作る必要をなくしてくれる解決策として売られ、その代償は Google も情報を持っていくという点だったが、個々のウェブマスターはあまり気にしていなかった
今では少なくとも数千人がこの特定ツールの存在に依存しており、禁止されれば経済的に無価値になりかねない状態になっている。基本原理や構成要素ではなく、こうしたツールだけを排他的に学ぶのは驚くほど愚かだと思う
もっとも、「Cloud Engineer」という肩書きもあることを考えると、この教訓を学ぶのは難しそうだ
データ分析は GA に縛られない一般的な専門分野であり、実際の知識や能力以上に広く見せるのではなく、「Google Analytics Certification」と呼ぶほうが適切に思える
データ分析には統計が含まれるし、最近では機械学習モデルを訓練・利用し、基本的に理解する内容も多少含まれるだろう。データアナリストへの転職を目指す人向けに、実際のデータアナリスト能力を養う課程の作成に参加したことがあり、その課程は求職者向け職業訓練として正式認定も受けていた
一般的な事務職は Word/Excel/Outlook で教育され、別のツールへの再教育が非常に難しい、あるいは不可能な場合が多い。単に理解力が足りないのかもしれないし、変化に抵抗しているのかもしれない
学校でも「Informatik」が Microsoft 製品でどこをクリックするかを学ぶ程度であることが多い。同様に技術職でも、特定のツールや製品に特化することはよくある。自動車整備士は特定ブランドに特化するよう事実上強いられることもあり、家電修理業者も一つのブランドの洗濯機・乾燥機・食器洗い機を主に売って修理しようとする傾向がある
技術全体の流れは クラウド の方向に向かっており、Amazon・Microsoft・Google のような大手を使わなくても、管理されたサーバーなら場所がどこであれ技術的にはクラウドだ
正直、Google Analytics の流行に乗ったことはなく、自分が作ったサイトにタグを数行貼るのに 5 分以上かけたこともないので、それで良かったと思っている。分析が実際に有用だったり価値があったりするほど大きな組織で働いたこともない
今ならコードを数行消すだけでタグを簡単に外せる。大きな組織は、そもそも数時間から数週間余計にかけて 自前の分析ソリューション を作るべきだったのではないかと思う
結局は個人にどれだけ 応用力 があるかの問題に思える。そういう意味で、GA 専用の課程が最初の仕事をより早く得る助けになるなら、必ずしも悪いことではないかもしれない
Google Analytics で学んだことを応用して、そうしたシステムでどう実装するかを身に付ければ、Google Analytics を使い続ける顧客にも、罰金を避けるか現地法を本当に順守しようとして代替を探す顧客にも、自分の能力を売れるようになるだろう
トラッキングイベントをプロキシすれば、Google Analyticsを使い続けることもできる。知る限り、個人情報と見なされるのは IPアドレス だけなので、IPをマスキングするか元に戻せないようにハッシュ化し、個人情報と見なされうる他のものを取り除いたうえでイベントをGoogleに送ればよい。PHPの数行の簡単なスクリプトでも可能。
ただし、私はすでに2つの理由でGoogleから気持ちが離れていた。
A) 以前のデータを新しいAnalyticsバージョンへ変換できないようにしたこと
B) 独自レポートを作れるようにしていたAPIを廃止したこと。何年もそのAPIと通信するコードをたくさん書いてきたのに、今では全部無駄になった。
最近 セルフホストのMatomo に移行したが、最初は特に何も思わなかったものの、慣れてみるとGAよりずっと良い。インターフェースははるかに見やすく高速で、より論理的。
オープンソースである点も良い。いつかMatomoの開発元が互換性のないフォークを選んだとしても、コミュニティが古いデータを新しい形式に変換するコンバーターを作るだろうと思う。
しばらく使っていて、MariaDBデータベースに直接クエリしてレポートツールを作れることにも気づいた。SQLを使うほうが、狂ったように複雑で直感的でないGoogle Analytics APIと格闘するよりずっとましだ。
どうしてもGoogle Analyticsを使い続けたいなら、Matomoのイベントを全部Google Analyticsに流し込むコンバーターを作ればよい。そうすればGDPRを順守しつつGoogleのツールを使うやり方になるだろう。だが、私はそうするつもりはない。Google Analyticsとは完全に決別したし、Matomoは私にとって約束の地だ。
CDONはIPを切り落とす方式のGA IP匿名化を使っていたが、それでも不十分と判断された。切り落とした後のIP自体は個人情報ではないが、その切り落としが国外に出る前に行われているのか不明であり、クッキーのような他の個人情報と結び付けば個人情報と見なされる。
CoopはGA呼び出しをすべてプロキシし、すべてのユーザーに同じ一般IPアドレスを使っていた。罰金は科されなかったが、GAの使用は中止しなければならない。
[1] "1.3.15 Effektiviteten hos vidtagna skyddsåtgärder av Google och CDON" https://www.imy.se/globalassets/dokument/beslut/2023/beslut-...
[2] "2.2.2 Integritetsskyddsmyndighetens bedömning" https://www.imy.se/globalassets/dokument/beslut/2023/beslut-...
[3] "1.3.14.2 Coops implementering av server side container" https://www.imy.se/globalassets/dokument/beslut/2023/beslut-...
それらの企業には何年分ものGAデータがあったが、BigQueryを使った裏技でも使わない限りエクスポートできなかった。
Analyticsチームのように十分な資金があるチームが、gtag.jsをGA4へ自動移行する方法を見つけられなかった、あるいはやらなかったというのは信じがたい。バックグラウンドでリクエストを変換して既存の分析プロパティを存続させ、新しいプロパティ登録だけをGA4に強制する形で、アップグレードを透過的にすべきだった。
データ保護当局は _gads、_ga、_gid クッキーだけでも識別可能だと見ていた。その論理を追うのは難しいが、少なくともCoop方式では、プロキシを使っても規制順守には不十分だという結論になる。
ユーザーが何をしているかを追跡しつつ、GDPRを順守できる分析ツールを使っている人がいるのか気になる。
どのボタンが押されたか、何回押されたか、アプリのどの部分が最も使われているか、あるいは最も使われていないか、正常経路のファネルを作ることなどを見たい。ユーザーが誰かを知りたいのではなく、アプリ基準でどう使われているかだけを知りたいのだ。以前はGoogle Tag Managerでやっていたが、GDPR順守にならないので使えない。
この件は、2020年にGoogle Analytics 4へ置き換えられた旧Google Analyticsに関するものです。したがって、今年7月1日にGoogleが正式に終了したバージョンの利用をやめなければならない、という状況です
GA4も同じ要件を満たせないはずだ、という理屈はあります。デンマークはその立場ですが、まだ実際に試されたことはありません
彼らの理屈では、EU市民がアジアに行って現地のサイトを訪れると、その情報はEU内のサーバーではなく米国のサーバーに送られる、ということになります。インターネットの仕組みを考えると客観的にはばかげていると思いますが、法律がそう機能する可能性はあります。実際に扱われるまでは分からず、結果を知っていると主張する人は懐疑的に見るべきです
EU居住者として言います。ウェブサイトが私のデータの所有権を決めるために居住地や市民権の確認を始めるのは、むしろ望みません
IP位置推定は物理的な位置の信頼できる代理値ではなく、居住地についてはなおさらで、市民権はそもそも計算にすら入っていません。法律がこの点を認識すること自体は問題ないと思います
決定文はバージョンを明示しておらず、特定のサイトが「2020年8月14日に使用していたGoogle Analyticsツールのバージョン」の使用を中止しなければならない、としています。それがUAなのかGA4なのかは述べていません
NOYBの元の申立てはUAを指していますが、この決定で引用されている争点はGA4にも当てはまるはずです
したがって、データ保護当局が「企業はGoogle Analyticsの使用を中止しなければならない」と言うとき、その投稿時点ですでに終了していたバージョンだけを意味すると見る理由はありません
実際にはロシアへの過度な依存のようにEUを本当に脅かす問題には何もできていないのに、です
今の分析は実質的に、「ユーザープライバシーを重視しているので、あなたのウェブサイトに役立つ情報は得られないが、心配はいらない、私たちはすべてのデータを見ている」に近いです
Google Analyticsを埋め込むなら、顧客はあなたではなくGoogleです
分析が必要なら、正直なところ自分で作るほうがましです。広告会社にユーザーデータを預けるべきではありません
優れた講演者や講師で、聴衆がいるとします。今はその聴衆をYouTubeやTwitterなどに丸ごと渡してしまっています。彼らはその代わりに収益化して、小さな取り分だけをあなたに渡し、しかも競合や別の気を散らすコンテンツへと聴衆を誘導し続けます。実際、YouTubeは競合の動画の上に自分の動画を広告として出すオプションまで売っています
だから抜け出すべきです。コミュニティソフトウェアもDiscordの代わりに自分で運営し、ビデオ会議・ライブストリーミング・チャット・プレゼンテーション・有料コンテンツも自前で運営し、PaymentRequestに加えて暗号資産での支払いも受け付ける、という具合です。十分に良いオープンソースの代替を作るのは難しく、MastodonとBlueskyもまだそこには達していません
なので露骨な宣伝をすると、チームと一緒に12年と100万ドルをかけて作りました。https://github.com/Qbix/Platform
何百もの機能のひとつとして、自分のコミュニティサイトの自分のデータベースに自分の分析を置けます。ほかの機能はここにあります: https://qbix.com/features.pdf
もちろん、YouTubeでのコンテンツ配信までやめろという意味ではありません。ただ、短いティーザー、ハイライト、推薦コメント程度だけを載せ、すべて自分のサイトへリンクさせるべきです。大きなサイトで見つけてもらうことはできますが、長尺コンテンツやコミュニティに本気の人なら、あなたのサイトでメンバーシップを買って直接関係を築くべきです。そうすれば、プラットフォームからの追放や強制は、心配事の末端に追いやられます
サーバー側を管理しているので、ページ訪問と特定のCTAだけ記録すれば、人々がだいたいどんな経路をたどって注文したのかが分かります
人々がJavaScriptを有効にしているか、トラッキングをブロックしているかに頼るより、ずっと有用です
たとえば、注文ページに行ったあとFAQに戻り、さらに「xとは何か」のリンクを押したなら、注文ページにXを説明する内容を追加すべきだと判断できます
もちろん、実際に必要なデータによりますが、不要なデータを大量に集めなくても、ほとんどの目的は達成できます
良い選択肢は非常に多く、特にその程度のコントロールを求めるなら、自前ホスティングやオープンソースの選択肢も豊富なので、ゼロから自分で作る必要はなく、普通は勧められもしません
GAのコストは、普通「顧客データによって補助されている」と説明されます
ただし、自前ホスティングは間違いなく勧められます。データを第三者と共有しないので、GDPR上の問題のかなりの部分が解消されます。そうなれば、同意とデータ保持だけ気にすればよくなります
ユーザーに遡れる生の分析データを一般化された統計に処理するなら、データ保持も大きな問題にはならないように思います
このようなツールが提供する分析情報の全体を、人々が実際にどれだけ使っているのか気になる。Matomo や他のオープンソース・セルフホスト型ソリューションは知っているが、本当にどれほど多くの情報を使っているのだろうか
ほとんどのユースケースでは、コンテンツが消費されたり読まれたりしているか、どれくらい長く滞在したか、どこから来たか程度を知りたいのだと思う。こうしたことはログをパースする小さなスクリプトでも可能だ
Caddy のログをパースしてリンク訪問者数をおおまかに見る似たようなことをしたことがあるが、自分に必要だったのは実際それだけだった。更新が必要なときだけ実行するので、継続的にリソースを食うこともない。ログを消す前に出力結果を保存しておけば、Article 1 は 39 ビュー以下、Article 2 は 5 ビュー、といった形で把握できる
私たちはやり過ぎているし、あらゆるものを分析するウサギ穴に入り込む前に数分考えるだけでも得るものは大きいと思う
会社が大きくなるほど意思決定者はよりリスク回避的になり、意思決定を疑問視されたときに拠り所にしやすい根拠として、分析のようなものが使われるようになる
気になるのは、こうしたツールの投資対効果だ。あるケースでは確かに効果があるのだろうが、いつもそうなのか？ 私たちは現在、ビジネスインテリジェンス開発者を 3 人、実際の製品を作る開発者を 2 人雇っている
いちばんおかしいのは、BI が 3 人もいるのに、彼らが見合う働きをしているのか分からないことだ。彼らのデータがそれを示せていないからだ
私にはそれで十分すぎるほどだ
何人かの顧客にも有効にしたが、シンプルさをとても気に入っていた。データが少ないこと自体が機能になっている
どの機能が使われているかを見るには、イベント追跡が実際に有用だ
すべてがマーケティングや邪悪な広告のためというわけではない
とはいえ、一般ユーザーの立場からすると GA4 はひどい
GA や他の肥大化した分析フレームワークは必要ない
grepクエリを行数カウントツールに渡したり、IP ごとにuniqを取ったりして、自分の Web サイトの特定の部分やツールをどれだけ多くの人が見ているかを大まかに把握している年に 2 回くらいそうしている。何がまだ読まれているか、検索エンジンで見つかっているか、外部からリンクされているかを基準に、何を維持・更新するかの優先順位を決めるのに役立っている
ChatGPT であるコンテンツから remark.js の発表用 HTML コードを生成したのだが、コードは作ってくれたものの、一番下に任意の GA アカウントコード付きのGA スニペットを挿入していた
すぐには気づかず、数日後に発表資料を修正しているときに見つけた。怠けていた自分の責任もある
ChatGPT が書いた内容を使う前に検証するのはユーザーの責任だが、個人情報を共有しないのは OpenAI の責任だ
誰が分析を必要としているのかよく分からない
Google Analytics を使う会社で働いていたとき、99.9% は awstats や goaccess のようなものでサーバーログから同じデータを得られた
今でも、JavaScript を挿入して追加リクエストを送ったり、トラッキングピクセルを入れたりする理由が理解できない。データはすでに一度送られているのだから
アプリケーションがいくつかの API 呼び出しを除いてすべてクライアントブラウザ上で実行されると、実際にどのページが閲覧されているのか把握しにくい。クライアントアプリが直接報告しない限り、あるいは Google に報告しない限りは
結論は感覚の問題だった。大半は実際には見なくても、ユーザーに関するデータがあるという感覚が心地よいのだ。誰かを雇って見させたとしても、見つかった内容を実行に移さないことが多い
フィードバックを得る最良の方法は、ユーザーと直接話すかアンケートをすることだ
Bob がボタンを押したかどうかには興味はなく、ユーザーの 1% が押したのか 50% が押したのかだけが重要だ。あるいは、ボタン A を押した人がボタン B を押す可能性が高いなら、その 2 つをもっと近くに配置すべきかどうかが重要だ
分析は個人追跡ではなく、匿名の利用統計であるべきだ。悪いものと、有用で概ね無害なものをひとまとめに見ている
ビジネスの利害関係者がデータに簡単にアクセスし、意思決定に活用できるかが重要だ
データを可視化し、アクセスと分析をできるだけ分散できるインターフェースが必要だ
Google Analytics は無料で、Google Ads という最大のマーケティング束の一部に近いため、ツールを多少なりとも知っているマーケティング関係者を多く見かける
ただし Google Analytics 4 の立ち上がりは非常に険しかったので、勢力図が変わる可能性はある
個別ページへの流入検索語の統計も得られた
数年前、顧客プロジェクトでGAの話が出た。こちら側の人たちはできるだけGoogleを避けようとしていて、私はMatomoやFathomのような代替案を提案した。チームの何人かもこうした代替案の経験があったが、顧客はGAに固執した
「これが業界標準だ。何十億ドル規模の企業がGAを使っているのを見ろ。うちもこれを使うべきだ」という感じだった。私は、比較対象のそうした企業はプロジェクトごとにエンジニアが数十人いて、こちらはパートタイム3人だと指摘した
論理はずっと「GAが標準で、人々はGAを知っている」に戻ってきた。事実ではあるが、やや循環論法だった
別の提案として、いくつか試してみようとも言った。たとえばGAとMatomoをしばらく並行運用するとか、GAは公開マーケティングサイトにだけ使い、内部アプリケーションには別のものを使おうという形だ
しかし断られた。広告費の支出を一件残らず、内部業務アプリケーションの登録ユーザー利用に至るまで全部追跡したがっていたからだ。Tacoma地域で使った70ドルが登録ユーザー3人につながり、その3人がTorontoで90ドル使って登録した8人よりも予算ツールを頻繁に使う、といった分析がいつか必要になるかもしれないので、必ず必要だという理屈だった
「数週間、両方入れて試してみよう」ではなく、「複数の選択肢を調べて長所短所の報告書を書け」になって、狂っていると思った
私のより大きな懸念は、テスト・開発目的で、自分たちが制御していない分析DBを簡単に「初期化」できない点だった。初期化したり、各テスト実行ごとに新しいサンドボックスを無制限に作るような扱いが難しい。GAでも、実際ほぼどのホスティングソリューションでも、テストをうまく扱う方法を見つけられなかった。ただ、企業の分析利用者には大きな関心事ではないのかもしれない
顧客にGoogle AnalyticsやFacebookピクセルのコードを実装しろと言われるたび、内心少しずつ死んでいく気分になる
実際にGoogle Adsを使っている顧客もいるが、Analyticsを使って得られる利点はまったくない。キャンペーンを調整するのは私なので、わかっている
ただみんながやっていて、やらないと間抜けだというだけだ。こういうレミング的な集団心理はいつも悲しい。社会の多くの悪いことがそこから生まれるからだ
そして、誰かが自分で作るのは時間の無駄だと言うたびに、私はCMSからシングルページアプリのフレームワークまで全部自作している。長期的には、それ以外のやり方こそが莫大な時間の無駄だからだ。自分で巻いて時間を無駄にするのは、タバコが絡むときだけだ
企業サイトを訪れてGoogle Analyticsを使っていたら、その企業は潜在顧客に対して怠惰か、無知か、敵対的かのどれかだというシグナルだと見る
この3つの可能性ですべてのケースをカバーでき、そのどれにも前向きなシグナルはない
企業やオンライン上の存在を持つあらゆる主体には、自分のプラットフォームで人々が何をしているかを知り、その目的に適したツールを使う権利がある。しかし、明示的な警告とユーザーの同意なしに、それを誰かと共有する権利はない
無知な人々を食い物にする不道徳な者たちのデジタルな捕食場としてのウェブは、終わらなければならない
商業生活が倫理のショーケースであるわけではないが、いま進化してきたデジタル版は、一般的な規範ととりわけ食い違っている
たいていの会社の普通の人は、ある日「人々はどうやってうちを知るのだろう？」と考えるはずだ。会社でこの質問に答える方法をGoogleで検索して、Google Analyticsを見つける
これは明らかに敵対的ではない。少し無知かもしれないが、彼らを責められるだろうか？
ユーザーが自分のデータと共有範囲を強く制御すべきだという点には同意するが、あらゆるサードパーティの広告・分析事業者に反対するなら、ウェブサイトの99%におけるデジタルユーザー獲得に反対することになる