Google Analytics: Nytt vedtak går enda lengre

Først ut var det sentrale europeiske datatilsynet (EDPS) med et vedtak mot en av EU-parlamentets egne nettsider, kort etter kom lignende vedtak fra Østerrike og Frankrike.

Konklusjonen: Google Analytics overfører data om europeiske brukere til USA, noe som er problematisk etter Schrems II.

– Vanskelig å se hvordan bruk av Google Analytics kan være lovlig, mente Datatilsynet og anbefalte norske virksomheter å se seg om etter alternativer.

Men ikke alle er enige i tolkningen.

To av de mest brukte argumentene for at Google Analytics likevel må være lovlig er at IP-adressene blir anonymisert, og at risikoen for utlevering av data til amerikanske myndigheter i praksis er forsvinnende liten. Begge disse argumentene blir nå avfeid i et nytt vedtak fra det Østerrikske datatilsynet (DSB).

Det er personvernorganisasjonen NOYB som har sendt klagen, og som har publisert det 43 sider lange vedtaket.

Anonymisering av IP-adresser

– IP-adressen og informasjonskapsel-data det ble klaget på, er ikke personopplysninger. IP-anonymiseringsfunksjonen var aktivert. Klageren kunne ikke identifiseres, argumenterte Google i sitt tilsvar til klagen.

IP-adresse-anonymisering skjer først etter dataen har blitt overført til Googles, sfære, svarte klageren, og får gehør fra DSB:

– Den fullstendige IP-adressen til den besøkende på nettstedet blir overført. IP-adressen blir bare anonymisert i trinn nummer to, etter at den er hentet inn i Analytics sitt nettverk.

Argumentasjonen om anonymisering kan derfor legges til side, mener DSB, siden den fullstendige IP-adressen blir prosessert i en, riktignok svært kort, periode på Googles server.

Det er heller ikke relevant å gå grundig inn i hvorvidt IP-adresser er persondata, siden det allerede er klart at IP-adresser sammen med annen type data er å regne som persondata, mener tilsynet.

Risikobasert tilnærming

Google har aldri, i de mer enn 15 årene de har tilbudt Google Analytics, blitt bedt om å dele data med myndighetene, ifølge Google selv. En slik tilgang er rent hypotetisk, mener selskapet, som tar til orde for at en risikobasert tilnærming må være mulig.

– Uansett om man antar at dette er persondata, så bør man ta en risikobasert tilnærming når man vurderer lovligheten, skriver Google i tilsvaret til det østerrikske datatilsynet.

Ikke riktig, svarer tilsynet.

– En slik «risikobasert tilnærming» kan ikke trekkes ut av formuleringene i GDPRs artikkel 44, skriver DSB i vedtaket.

Det tar personverngruppa NOYB som er seier.

– DSB har endelig avslørt den «risikobaserte tilnærmingen til dataoverføringer» for hva den er: Et klønete forsøk på å mykne opp den klare rettspraksisen til EU-domstolen. De relevante reglene om dataoverføringer bruker ikke ordet «risiko» en eneste gang, sier Marco Blocher, advokat i NOYB i en oppdatering på egne nettsider.

Fortsatt lenge til løsning

En politisk løsning på floka har vært etterlengtet, og i mars kom nyheten om prinsipiell politisk enighet om en ny avtale som skal erstatte Privacy Shield.

En slik avtale vil mest sannsynlig gjøre Google Analytics lovlig å bruke igjen, men ettersom avtalen fortsatt er på et prinsipielt nivå, og ikke kan brukes som juridisk grunnlag, er vi fortsatt et stykke unna en løsning.

Om en juridisk løsning kommer før Google Analytics utfases og erstattes med et helt nytt system allerede neste sommer, er derfor usikkert.