Datatilsynet har talt. Google Analytics erklæret ulovligt i Danmark

Datatilsynet har haft Google Analytics under deres lup og konkluderer nu, at Google analytics ikke kan anvendes lovligt i Danmark. Lovlig brug vil kræve yderligere foranstaltninger ud over de indstillinger, som Google har angivet.

 I januar 2022 kom den østrigske databeskyttelsesmyndighed frem til den samme konklusion. Siden januar har den østrigske databeskyttelsesmyndighed kørt separate sager mod østriske virksomheder, der benyttede Google Analytics. Det samme har den franske databeskyttelsesmyndighed. Den østrigske og franske datatilsyn har i alle sagerne truffet en afgørelse om brugen, at det er ulovligt at anvende Google Analytics.

En ensartet fortolkning af den europæiske databeskyttelseslovgivning

De enkelte sager blev afgjort separat i hvert lands datatilsyn, der modtog den oprindelige klage. Afgørelserne er et udtryk for en fælleseuropæisk holdning blandt landenes datatilsyn, hvor reglerne fortolkes ens på tværs af EU.

Da de indgivne klager havde nøjagtig samme formål, blev disse sager behandlet i fællesskab af en arbejdsgruppe under Det Europæiske Databeskyttelsesråds. Her har de drøftet juridiske spørgsmål og vurderingen heraf.

”Reglerne i GDPR er lavet for at beskytte europæiske borgeres privatliv. Det betyder blandt andet, at man skal kunne besøge en hjemmeside, uden at ens oplysninger kan ende i de forkerte hænder. Vi har gennemgået mulighederne i Google Analytics nøje og er kommet frem til, at man ikke kan bruge værktøjet i sin nuværende form uden at træffe yderligere foranstaltninger,” siger Makar Juhl Holst, chefkonsulent i Datatilsynet, og uddyber:

”Siden vores europæiske kollegaers afgørelser har vi set nærmere på værktøjet og de konkrete indstillinger, man kan gøre brug af, hvis man gerne vil bruge Google Analytics. Det har været særligt relevant, da Google i kølvandet på den første afgørelse fra Østrig er begyndt at stille yderligere indstillinger til rådighed i forhold til, hvilke oplysninger der kan indsamles via værktøjet. Men konklusionen er dog stadig, at værktøjet ikke uden videre kan bruges lovligt.”

Hvad betyder det for dig og din virksomhed?

At disse sager er udtryk for en europæisk holdning, betyder også, at det danske datatilsyn i tilfælde af lignende situationer vil nå frem til de samme konklusioner, som deres europæiske kolleger.

Hvis du har koblet Google Analytics til din hjemmeside, bør du derfor undersøge, om videre brug af Analytics er i overensstemmelse med GDPR-lovgivningen. Hvis ikke, skal du gøre anvendelsen af Analytics lovligt eller stoppe med at anvende det.

”Datatilsynets opgave er at rådgive dig om dine rettigheder og om, hvordan du kan overholde databeskyttelseslovgivningen. Ligesom med databeskyttelseslovgivningen er den danske Datatilsyn teknisk neutral og har derfor ingen interesse i at tillade eller forbyde bestemte produkter. Jeg har absolut ingen beføjelser til at gøre dette," tilføjede Makar Yur Horst.

"Efter vores europæiske kollegers beslutning har vi dog bemærket en stor efterspørgsel efter vejledning specifikt i forbindelse med Google Analytics, så vi har søgt at undersøge netop dette værktøj nærmere."

Hvad hvis jeg allerede bruger Google Analytics?

Datatilsynet er bevidst om, at mange danske virksomheder allerede bruger Google Analytics . Europa-kommission har forsøgt at imødekomme overførelse af personoplysninger til USA med en såkaldt tilstrækkelighedsafgørelse. Men i juli 2020 erklærede EU-domstolen imidlertid Kommissionens afgørelse for ugyldig.

Beskeden fra Datatilsynet er, at hvis du anvender Google Analytics, bør du implementere yderligere foranstaltninger og planlægge at koordinere din anvendelse af Google Analytics.

En teknisk foranstaltning kunne være pseudonymisering. Det franske datatilsyn har udarbejdet retningslinjer for organisationer, der ønsker at etablere effektiv pseudonymisering via reverse proxies. Du kan finde vejledninger her: https://www.cnil.fr/en/google-analytics-and-data-transfers-how-make-your-analytics-tool-compliant-gdpr

Hvis du ikke kan implementere effektive supplerende foranstaltninger, bør du stoppe med at anvende Google Analytics og finde et andet værktøj, der kan udføre webanalyse og gøre dig i stand til at overholde GDPR-lovgivningen. Du kan faktisk læse mere om et alternativ til Google Analytics her – ”Matomo – Den nye Google Analytics”