Datatilsyn: Nye funksjoner hjelper ikke – Google Analytics kan ikke brukes lovlig

Danmarks datatilsyn er blant de mange som har mottatt klager fra Max Schrems personvernorganisasjonen NOYB, om bruk av Google Analytics og Facebook Connect.

Nå er det danske tilsynets gjennomgang av Google Analytics ferdig.

− På bakgrunn av denne gjennomgangen konkluderer Datatilsynet at verktøyet ikke kan brukes lovlig uten videre. En lovlig bruk forutsetter implementering av en rekke supplerende tiltak, ut over de innstillingene Google stiller til rådighet, skriver tilsynet på egne nettsider.

Dermed følger Danmark en rekke andre europeiske land.

Først ut var det sentrale europeiske datatilsynet (EDPS) med et vedtak mot en av EU-parlamentets egne nettsider, kort etter kom lignende vedtak fra Østerrike og Frankrike.

Østerrike konkluderte i mai i nok et vedtak, at verken anonymisering av IP-adresser eller risikobasert tilnærming hjelper. Google Analytics er ikke lovlig å bruke.

– Vanskelig å se hvordan bruk av Google Analytics kan være lovlig, mente Datatilsynet i Norge og anbefalte norske virksomheter å se seg om etter alternativer.

Nye innstillinger ikke nok

Etter at Østerrike konkluderte i sin sak, har Google gjort flere endringer og laget flere innstillinger for datafangst. Disse er likevel ikke nok, mener det danske datatilsynet.

– Konklusjonen er fortsatt at verktøyet ikke kan brukes lovlig, skriver de.

De lukker likevel ikke døren helt, og viser til det franske datatilsynet, CNIL, sin veiledning om å hvordan Google Analytics kan brukes innenfor loven ved hjelp av pseudonymisering.

Danske selskap får i meldingen fra tilsynet beskjed om å sørge for at bruken er innenfor regelverket, eller hvis nødvendig, slutte å bruke verktøyet.

Felles europeisk behandling

− Selv om enkeltsakene er avgjort individuelt av de respektive tilsynsmyndighetene som mottok den opprinnelige klagen, reflekterer vedtakene en felleseuropeisk holdning hos tilsynsmyndighetene, skriver det danske datatilsynet.

Med andre ord: Reglene må tolkes likt, uavhengig av hvor i EU og EØS man bor.

− Saken i de innsendte klagene har vært nøyaktig den samme, og sakene har derfor blitt behandlet samlet i en arbeidsgruppe i regi av European Data Protection Board. Her har de juridiske spørsmålene – og svarene på dem – blitt diskutert, skriver det danske datatilsynet.

Det er likevel knyttet spenning til hvordan det norske Datatilsynet vil behandle sine saker.

Telenor, som var blant de tre norske selskapene som ble klaget inn av NOYB, har allerede valgt å slå av Google Analytics.

Mulig politisk løsning

En politisk løsning på floken har vært etterlengtet, og i mars kom nyheten om prinsipiell politisk enighet om en ny avtale som skal erstatte Privacy Shield.

En slik avtale vil mest sannsynlig gjøre Google Analytics lovlig å bruke igjen, men ettersom avtalen fortsatt er på et prinsipielt nivå, og ikke kan brukes som juridisk grunnlag, er vi fortsatt et stykke unna en løsning.

Om en juridisk løsning kommer før Google Analytics utfases og erstattes med et helt nytt system allerede neste sommer, er derfor usikkert.