Bruk av Google Analytics kan være ulovlig

Det har vært et dårlig nytt år for Google Analytics i Europa.

EU-parlamentet fikk 11. januar smekk på fingrene for å ha brutt europeisk personvern-regler gjennom å bruke blant annet Google Analytics på interne nettsider.

Torsdag 13. januar publiserte Østerrikes myndigheter et lignende vedtak.

– I praksis er det vanskelig å se hvordan nettsider lovlig kan bruke Google Analytics ut fra de to avgjørelsene, med mindre de har kommet på noe veldig smart som omgår Googles innsamling og overføring av data, sier Tobias Judin, seksjonssjef for internasjonal seksjon i Datatilsynet, til digi.no.

Han bekrefter at Datatilsynet nå vil gå så langt som å anbefale norske virksomheter å se etter alternativer til Google Analytics.

Alle har saker til behandling

NOYB (None of your Business) venter at det vil komme mange lignende vedtak utover året. De har nemlig sendt inn 101 klager på bruk av informasjonskapsler fra Google Analytics og Facebook Connect.

– Vi og de aller fleste datatilsynene i Europa sitter med liknende klagesaker. Vi har ennå ikke konkludert i våre egne saker, sier Judin.

Sbanken og Telenor er på lista over selskapene NOYB har klagd inn. Det er også Danske Bank, Tele2 Sverige og Dagens Industri.

IP-adresser er persondata

Sentralt i sakene står spørsmålet om hvorvidt det faktisk overføres persondata til USA når en nettside bruker Google Analytics.

– Mange virksomheter har tenkt at de ikke behandler personopplysninger i kontekst av Google Analytics fordi de har aktivert en funksjon i verktøyet som fjerner de siste sifrene i IP-adressen til brukerne, sier Judin.

Det har tidligere blitt sett på som nok, men de nye vedtakene tilsier noe annet.

– Det flere datatilsynsmyndigheter i EØS nå erfarer, er at Google likevel klarer å kjenne igjen brukere på de ulike nettsidene hvis de fra før er logget på Google-kontoen sin, og at slike data om brukerne sendes til USA, forklarer Judin.

Vanskelig for norske nettsteder

– Å sende personopplysninger til USA er ikke forbudt i seg selv, men litt enkelt forklart må man gjennom passende tiltak sørge for at dataene i praksis ikke blir misbrukt av amerikanske overvåkingsorganer, sier Judin.

Slike passende tiltak kan være sterk kryptering eller pseudonymisering gjennomført på en slik måte at dataene er uleselige for amerikanske myndigheter. De må heller ikke kunne få tilgang til nøklene ved hjelp av utleveringsbegjæringer til Google eller andre amerikanske virksomheter, forklarer han videre.

Men det er lettere sagt enn det er gjort, mener Datatilsynet.

– Her er det imidlertid Google som sitter med kontrollen over dataene, så dette vil i realiteten være vanskelig for norske nettsteder å få til, sier Judin.

Mener tjenesten er lovlig

Google på sin side mener deres tiltak gjør tjenesten lovlig å bruke i Europa. Kundene får mange verktøy som hjelper dem å overholde reglene, skriver Russell Ketchum, produktleder for Google Analytics i et blogginnlegg datert 13. januar.

– Google Analytics er en tjeneste som gir organisasjoner mulighet til å forstå hvordan nettstedene og appene deres brukes, slik at de kan få dem til å fungere bedre. Den verken profilerer eller sporer personer, skriver Ketchum.

Google Analytics henter data om hvordan nettstedet brukes, for eksempel hvilke artikler på en nettavis som er mest populære og hvor ofte en handlevogn i nettbutikken aldri kommer til utsjekk. Den bruker blant annet data om nettlesertype, hvor lang tid besøkende i gjennomsnitt bruker på nettstedet og omtrent hvor i verden de besøkende kommer fra.

– Disse datapunktene brukes aldri til å identifisere den besøkende, skriver Ketchum.

For at Google Analytics skal være lovlig å bruke i Europa, bruker Google dataoverføringsavtaler som EU Standard Contractual Clauses, følger ISO 27001, har «bransjeledende datakryptering» og høy fysisk sikkerhet i datasentrene. De har også «robuste retningslinjer» for håndtering av myndigheters forespørsler om persondata, forklarer Ketchum videre i bloggen.

Det er likevel du som bruker analyseverktøyet på ditt nettsted som har ansvar for at verktøyet ikke bryter noen av GDPR-reglene.

Digi.no bruker i dag Google Analytics, men vurderer bruken fortløpende.