Datatilsynet om Google Analytics: − Se etter alternativer

I over ett år har en klage om bruken av Google Analytics vært til behandling hos Datatilsynet.

Personvernorganisasjonen NOYB har klaget en rekke nettsteder, blant annet telenor.com, inn til ulike datatilsyn for å bryte GDPR etter Schrems II. Google samler personopplysninger om europeiske brukere, mener NOYB, og det amerikanske selskapet kan ikke love europeere den samme beskyttelsen mot innsyn i data som europeiske selskaper kan.

Nå har de fått støtte fra det norske Datatilsynet.

− Ikke helt i mål

Onsdag kom Datatilsynets varsel om vedtak til Telenor. Selv om vedtaket gjelder akkurat Telenor, vil det påvirke alle norske nettsider som bruker analyseverktøyet Google Analytics.

Men Datatilsynet vil ikke være bastante riktig ennå.

− Foreløpig er vi ikke helt i mål, sier seksjonssjef Tobias Judin i Datatilsynet på telefon til Digi.

Nå venter de på eventuelle kommentarer fra Telenor om hvordan de stiller seg. Så må også de andre berørte datatilsynene få uttale seg. Det skjer gjennom den såkalte one-stop-shop-mekanismen, som skal sikre lik behandling av lovverket i Europa når en virksomhet driver i flere europeiske land.

På grunn av tidsfristene vil det tidligst kunne komme et endelig vedtak fra Datatilsynet i april.

Likevel, det er ingen grunn til å vente.

− Lurt å være forberedt

− Setter vi vedtak om at det i dette tilfellet var ulovlig å bruke Google Analytics, så gjelder det andre nettsteder også, sier Judin.

Da må også andre nettsteder skru av Google Analytics og finne alternativer.

− Det kan være lurt å være forberedt på det som kommer. Jeg vil ikke forhåndsdømme saken, alle skal få en rett til å uttale seg før vi konkluderer, men det er en viss sjanse for at vi kommer fram til at det er ulovlig, sier Judin og fortsetter:

− Man bør allerede nå se etter alternativer, så man har gjort jobben og kan være klar til å bytte i slutten av april.

Kan Google Analytics brukes lovlig?

− Er det noen måte å bruke Google Analytics på og fortsatt etterleve GDPR?

− Vi har ikke gått så i dybden på det tekniske, men det franske datatilsynet har en egen veileder om Google Analytics, den kan man se på om man vil bruke verktøyet lovlig, svarer Judin.

Veilederen konkluderer likevel at de verktøyene Google selv stiller til rådighet, ikke er nok, det kreves ytterligere supplerende tiltak. Et slikt tiltak kan for eksempel være en proxy-server som håndterer trafikken mellom bruker og Google Analytics.

− Det gjør det jo mer komplisert å bruke Google Analytics, så da kan man jo spørre seg om det er verdt det, sier Judin.

Ingen grunn til å vente på norsk vedtak

Mange norske nettstedeiere har nok ventet i spenning på et endelig vedtak fra Datatilsynet, til tross for at en rekke europeiske datatilsyn har konkludert i det samme sakskomplekset.

Behandlingen av klagene har blitt koordinert sentralt i EU, og loven er lik. Derfor bør man forholde seg til vedtak som kommer fra andre tilsyn, mener Judin.

− Sjansen for at Datatilsynet skulle komme frem til en annen konklusjon, er ikke veldig stor. Da er det heller ingen grunn til å vente på et vedtak, sier han.

Venter fortsatt vedtak om Facebook Connect

Blant de 101 klagene fra NOYB lå tre klager til det norske Datatilsynet. Én om Telenors bruk av Google Analytics og to om bruk av Facebook Connect hos Sbanken og Gamer.no.

Samarbeidet som er satt i gang for å behandle klagene, valgte å se på Google Analytics først. Nå har arbeidet med Facebook Connect-sakene startet. Datatilsynet har imidlertid allerede avsluttet sine Facebook Connect-saker, uten å realitetsbehandle dem og gå i dybden.

De peker på egen ressurssituasjon og at de to nettsidene var raskt ute med å slå av løsningen.

− Selv om vi ikke vil gå i dybden, vil andre datatilsyn komme med vedtak etter hvert, sier Judin.