Google Analytics vs. GDPR

Oppdatering:

Den 25. mars i år kom det endelig oppdateringer fra offentlig hold med presentasjonen av  "Trans-Atlantic Data Privacy Framework", som vil erstatte dagens Privacy Shield. TADPF er et rammeverk for overføring av personopplysninger fra EU til USA, og skal sikre at personopplysninger får det nødvendige beskyttelsesnivået når de sendes over atlanteren. 

Per nå er dette kun en overordnet enighet om rammeverket, og det gjenstår fortsatt konkretisering via en juridisk avtale. Uansett er dette et skritt i riktig retning, da mange europeiske brukere og bedrifter er avhengig av amerikanske programvareløsninger.

__________

Det østerrikske datatilsynet slo nylig fast at Google Analytics, og andre analyseverktøy som sender persondata til amerikansk jord, er ulovlig å bruke i Østerrike. 

Bakgrunnen er Schrems II-dommen som ble avsagt i EU-domstolen i midten av 2020, som problematiserer det å overføre personlige data mellom EU og USA. 

Hvorfor kan det være ulovlig? 

Det er to hovedgrunner til dette: 

1. Det er en stor utfordring at amerikanske myndigheter har overvåkningslover som kan tvinge selskap som Google og Facebook til å gi innsyn i personopplysninger. Selskapene selv hevder at det aldri vil skje, men EU er nødt til å forholde seg til regelverket.

2. Selv om dataene oppleves som anonymisert for oss, f.eks IP-adresser, maskinvare og adferd, så vil Google og Facebook kunne gjenkjenne enkeltpersoner, ved at en bruker er innlogget i deres systemer. Dette er å regne som en “online identifier” og ble slått fast i den ferske østerrikske dommen at er ulovlig. 

Hva gjør du nå? 

Det norske datatilsynet har ennå ikke tatt en endelig stilling til saken, men de anbefaler alle å sette seg inn i saken og vurdere ulike alternativer. For vår del så ser vi to mulige utfall:

1. For Google og Facebook er dette såpass stor business at vi både håper og tror at de vil finne en løsning EU kan leve med. Dette vil si at enten må amerikanske lover for innsyn justeres, eller så må Google og Facebook endre på sin infrastruktur for hvordan personlige data behandles i EU. 

2. Det andre alternativet er at Google Analytics og Facebook Pixel, m.fl., ikke blir GDPR “compliant”. Konsekvensen kan da bli bøter ved bruk, i tillegg til at tjenestene kan bli blokkert i EU. 

Vi håper (og tror) i det lengste at alternativ 1 kommer til å skje - Google er på ballen, som vi kan lese i denne artikkelen. Men samtidig er det uhyre viktig å forberede seg på alternativ 2. 

Vi i Utbrudd er godt i gang med å øke kompetansen på gode alternativer, som vi raskt kan rulle ut om det blir behov for det. Det er spennende tider!