.jpg){kind=small}
I over ett år har en klage om bruken av Google Analytics vært til behandling hos Datatilsynet.
Personvernorganisasjonen NOYB har klaget en rekke nettsteder, blant annet telenor.com, inn til ulike datatilsyn for å bryte GDPR etter Schrems II. Google samler personopplysninger om europeiske brukere, mener NOYB, og det amerikanske selskapet kan ikke love europeere den samme beskyttelsen mot innsyn i data som europeiske selskaper kan.
Nå har de fått støtte fra det norske Datatilsynet.
Dette er saken
Den europeiske personvernforordningen, GDPR, slår fast at dersom persondata skal overføres til land utenfor EU, må mottakerlandet følge de samme reglene for beskyttelse av personopplysninger som EU. Slik skal europeiske borgere være trygge på at deres rettigheter ikke undergraves dersom dataene brukes eller lagres et annet sted i verden.
Europeiske regler for GDPR står imidlertid i motsetning til en rekke andre lands lover for overvåking. Amerikansk overvåkningslovgivning gir amerikanske myndigheter vide fullmakter til å hente inn data fra amerikanske selskaper.
Derfor har bruk av amerikanske skyleverandører fått stor oppmerksomhet etter den såkalte Schrems II-dommen, som slo fast at den mye brukte avtalen Privacy Shield ikke var nok for å sikre europeiske data hos amerikanske selskaper.
Google Analytics er en populær gratistjeneste som brukes av mange nettsteder for å følge trender og mønstre i bruk av nettsidene. Tjenesten samler blant annet IP-adresser og bevegelser på nettstedet.
NOYB (None of Your Business) mener bruk er i strid med GDPR og har sendt inn 101 klager på bruk av Google Analytics og Facebook Connect på europeiske nettsteder. Blant klagene lå en klage på telenor.com.
Flere ferske europeiske vedtak konkluderer med at IP-adresser er persondata og at Google Analytics' løsninger, som blant annet fjerner de siste sifrene i IP-adresser, ikke anonymiserer disse i tilstrekkelig grad.
− Ikke helt i mål
Onsdag kom Datatilsynets varsel om vedtak til Telenor. Selv om vedtaket gjelder akkurat Telenor, vil det påvirke alle norske nettsider som bruker analyseverktøyet Google Analytics.
Men Datatilsynet vil ikke være bastante riktig ennå.
− Foreløpig er vi ikke helt i mål, sier seksjonssjef Tobias Judin i Datatilsynet på telefon til Digi.
Nå venter de på eventuelle kommentarer fra Telenor om hvordan de stiller seg. Så må også de andre berørte datatilsynene få uttale seg. Det skjer gjennom den såkalte one-stop-shop-mekanismen, som skal sikre lik behandling av lovverket i Europa når en virksomhet driver i flere europeiske land.
På grunn av tidsfristene vil det tidligst kunne komme et endelig vedtak fra Datatilsynet i april.
Likevel, det er ingen grunn til å vente.
− Lurt å være forberedt
− Setter vi vedtak om at det i dette tilfellet var ulovlig å bruke Google Analytics, så gjelder det andre nettsteder også, sier Judin.
Da må også andre nettsteder skru av Google Analytics og finne alternativer.
− Det kan være lurt å være forberedt på det som kommer. Jeg vil ikke forhåndsdømme saken, alle skal få en rett til å uttale seg før vi konkluderer, men det er en viss sjanse for at vi kommer fram til at det er ulovlig, sier Judin og fortsetter:
− Man bør allerede nå se etter alternativer, så man har gjort jobben og kan være klar til å bytte i slutten av april.
Kan Google Analytics brukes lovlig?
− Er det noen måte å bruke Google Analytics på og fortsatt etterleve GDPR?
− Vi har ikke gått så i dybden på det tekniske, men det franske datatilsynet har en egen veileder om Google Analytics, den kan man se på om man vil bruke verktøyet lovlig, svarer Judin.
Veilederen konkluderer likevel at de verktøyene Google selv stiller til rådighet, ikke er nok, det kreves ytterligere supplerende tiltak. Et slikt tiltak kan for eksempel være en proxy-server som håndterer trafikken mellom bruker og Google Analytics.
− Det gjør det jo mer komplisert å bruke Google Analytics, så da kan man jo spørre seg om det er verdt det, sier Judin.
Ingen grunn til å vente på norsk vedtak
Mange norske nettstedeiere har nok ventet i spenning på et endelig vedtak fra Datatilsynet, til tross for at en rekke europeiske datatilsyn har konkludert i det samme sakskomplekset.
Behandlingen av klagene har blitt koordinert sentralt i EU, og loven er lik. Derfor bør man forholde seg til vedtak som kommer fra andre tilsyn, mener Judin.
− Sjansen for at Datatilsynet skulle komme frem til en annen konklusjon, er ikke veldig stor. Da er det heller ingen grunn til å vente på et vedtak, sier han.
Venter fortsatt vedtak om Facebook Connect
Blant de 101 klagene fra NOYB lå tre klager til det norske Datatilsynet. Én om Telenors bruk av Google Analytics og to om bruk av Facebook Connect hos Sbanken og Gamer.no.
Samarbeidet som er satt i gang for å behandle klagene, valgte å se på Google Analytics først. Nå har arbeidet med Facebook Connect-sakene startet. Datatilsynet har imidlertid allerede avsluttet sine Facebook Connect-saker, uten å realitetsbehandle dem og gå i dybden.
De peker på egen ressurssituasjon og at de to nettsidene var raskt ute med å slå av løsningen.
− Selv om vi ikke vil gå i dybden, vil andre datatilsyn komme med vedtak etter hvert, sier Judin.
