Datatilsynet har konkludert: Bruk av Google Analytics er i strid med GDPR

Saken er oppdatert 10:15 med kommentar fra pressemelding fra Datatilsynet.

– Telenors overføring av personopplysninger undergravde beskyttelsesnivået som er garantert i henhold til artikkel 44 i GDPR, konkluderer Datatilsynet i et ferskt varsel om vedtak til Telenor om deres bruk av Google Analytics.

Dermed er det klart, Google Analytics kan ikke brukes lovlig i Norge, selv med anonymisering av IP-adresser og bruk av EUs standardkontrakt for overføring av persondata til tredjeland.

Datatilsynet var tidlig ute med å fortelle Digis lesere at bruk av Google Analytics kan være ulovlig, og de anbefalte norske virksomheter å se etter alternativer til løsningen.

Men en tydeligere konklusjon måtte vente til Datatilsynet hadde behandlet den første klagen på sitt bord.

Telenor har valgt å være føre var, de slo av Google Analytics tidlig i 2022.

Dermed får de kun en irettesettelse fra Datatilsynet, ingen bot eller pålegg.

Ventet samme behandling

Personvernorganisasjonen NOYB har sendt 101 klager om bruk av Google Analytics og Facebook Connect til datatilsyn over hele Europa.

EUs sentrale personvernråd, EDPB, har bidratt med å koordinere behandlingen av klagene, og det har hele tiden vært ventet at sakene vil få ganske like utfall.

Likevel har nok mange norske nettstedeiere ventet i spenning på beslutningen fra Datatilsynet. Tre klager havnet hos det norske Datatilsynet, men kun klagen mot Telenor omhandlet Google Analytics.

Ikke nok å anonymisere IP-adresser

– Det er samlet persondata, og Telenor har gjennom bruken sannsynligvis overført data til tredjeland, konkluderer Datatilsynet nå.

Google Analytics samler IP-adresser, som er å regne som persondata, selv om de blir anonymisert, mener Datatilsynet. Selve anonymiseringen skjer nemlig på Googles egne servere.

Google henter også en unik ID som settes på brukeren, en del data om innstillinger i nettleser – som språk og oppløsning, og dato og klokkeslett for besøket på nettsiden.

Samlet er disse dataene nok til, i visse tilfeller, å identifisere brukere.

Siden Google ikke tilbyr noen region-basert løsning, kan de heller ikke si sikkert om dataene prosesseres i datasentre i Amerika eller Europa. Det er nemlig hvor brukeren sitter, og forhold ved datatrafikken på nett når brukeren besøker nettsiden, som bestemmer hvor dataene prosesseres.

Telenor har benyttet det vanligste overføringsgrunnlaget når personopplysninger skal overføres til tredjeland, EU-kommisjonens standard personvernbestemmelser.

Det er ikke godt nok. De supplerende tiltakene Google og Telenor hadde innført, var ikke nok til å hindre amerikansk etterretnings tilgang til data om nordmenn, mener Datatilsynet.

Kun irettesettelse

Likevel, det er ingen pålegg eller bøter til Telenor.

– Ettersom dere sluttet å bruke Google Analytics den 15. januar 2021, finner vi ingen grunn til å pålegge et forbud eller stoppe dataflyt fra Telenor til Google i USA, skriver Datatilsynet i varselet om vedtak.

Det Datatilsynet nå har gått ut med, er et såkalt varsel om vedtak. Det er et foreløpig vedtak, som Telenor kan velge å svare på.

Etter Telenors svar kan Datatilsynet gjøre endringer før det endelige vedtaket kommer. Andre berørte datatilsyn i Europa skal også få komme med sine innspill før vedtaket blir endelig.

Anbefaler å utforske alternativer

Likevel, Datatilsynet ber norske virksomheter være forberedt.

– Derfor gjentar vi anbefalingen vår om å utforske alternativer til Google Analytics. Vi vil komme med en nærmere informasjon om hva som gjelder og hvilke forventninger vi har til norske nettsider når vedtak er fattet. Dette kan komme tidligst i slutten av april, skriver de i en pressemelding på egne nettsider.