Francja: Google Analytics narusza RODO

Po Austrii, Francja orzekła, że korzystanie z Google Analytics jest nielegalne w Unii Europejskiej. Francuski organ ochrony danych, Commission Nationale d'Informatique et des Libertés (CNIL), wystosował oficjalne oświadczenie po stwierdzeniu nielegalnego transferu danych do Stanów Zjednoczonych i naruszenia ogólnego rozporządzenia o ochronie danych (RODO). W tym artykule przyglądamy się szczegółom, które doprowadziły do tej decyzji, i przedstawiamy alternatywy dla Google Analytics.

Kontekst prawny

Oficjalne zawiadomienie wystosowane przez CNIL pojawia się w kontekście wzmocnienia i zapewnienia ochrony danych osobowych w Unii Europejskiej.

W wyroku Schrems II, wydanym 16 lipca 2020 r., Trybunał Sprawiedliwości Unii Europejskiej (TSUE) unieważnił „Privacy Shield”, umowę o ochronie danych osobowych wynegocjowaną między UE a USA. TSUE zwrócił wówczas uwagę na ryzyko, że amerykańskie służby wywiadowcze uzyskają dostęp do danych osobowych przekazywanych do Stanów Zjednoczonych, jeśli przekazywanie to nie będzie odpowiednio uregulowane.

W związku z tym Privacy Shield nie może już być wykorzystywana jako podstawa do przekazywania danych osobowych z UE do USA.

Od tego czasu to do administratora danych każdego podmiotu należy zapewnienie, że wszystkie przepisy art. 44 tego wyroku zostały zastosowane w taki sposób, że zapewniony jest poziom ochrony osób fizycznych gwarantowany przez RODO.

W styczniu 2021 r. stowarzyszenie NOYB (None Of Your Business), którego współzałożycielem jest Max Schrems, złożyło skargę na wewnętrzną stronę internetową Parlamentu Europejskiego, która umożliwiała jego pracownikom umawianie się online na testy na obecność COVID-19. Strona została oskarżona o nielegalne przekazywanie danych do Stanów Zjednoczonych poprzez wykorzystanie Google Analytics i usługę płatniczą Stripe.

W związku z tym Europejski Inspektor Ochrony Danych (EIOD) uznał, że środki wprowadzone przez Google Analytics są niewystarczające i 5 stycznia wezwał Parlament do usunięcia stwierdzonych uchybień.

CNIL potwierdza to stanowisko i widzi ryzyko dla użytkowników francuskich stron internetowych, że ich dane osobowe mogą być nielegalnie przekazywane do USA za pośrednictwem Google Analytics. Ta wiadomość rodzi następujące pytanie dla wszystkich zarządzających stronami internetowymi – nie tylko we Francji – czy mogę nadal korzystać z Google Analytics w analizie oglądalności, czy może powinienem szukać alternatywy?

Czy to już koniec Google Analytics?

Przekaz z krajów UE jest jasny: „Nie chcemy Google Analytics na europejskiej ziemi, dopóki nie będzie zgodne z naszymi wytycznymi dotyczącymi transferu danych”.

One of THE European DPA powerhouses now also taking a position on #GoogelAnalytics and our @NOYBeu complaints.. https://t.co/tx01ZjVFY9
— Max Schrems 🇪🇺 (@maxschrems) February 10, 2022

We Francji CNIL zaleca, „aby narzędzia te były wykorzystywane wyłącznie do tworzenia anonimowych danych statystycznych, co pozwala na zwolnienie z obowiązku uzyskania zgody, jeżeli administrator danych zapewni, że nie dochodzi do nielegalnych transferów”. Pozostawia więc otwartą furtkę dla dalszego korzystania z Google Analytics – ale tylko po wprowadzeniu istotnych zmian, które zapewnią, że do USA przekazywane będą tylko „anonimowe dane statystyczne”. Zalecenie to dotyczy również witryn, które mają siedzibę za granicą, ale są obecne na rynku francuskim.

Co na ten temat mówi samo Google?

Jesteśmy przekonani, że rozszerzone dodatkowe rozwiązania, które udostępniamy naszym klientom pozwalają w praktyce na skuteczną ochronę danych w uzasadnionych granicach. Udostępniamy także firmom opcje ustawień pozwalające określić, jakie dane są zbierane i jak są one wykorzystywane, co pozwala dostosować konfigurację do potrzeb biznesowych i związanych ze zgodnością. Dlatego pracujemy nad dodaniem kolejnych ustawień, które umożliwią klientom jeszcze większe dostosowanie gromadzonych danych analitycznych, a dzięki temu korzystanie nadal z Google Analytics w sposób zgodny z obowiązującymi ich wymaganiami. W najbliższych tygodniach postaramy się udostępnić więcej informacji na ten temat.

Alternatywy dla Google Analytics

W obecnych warunkach i w oczekiwaniu na przedstawienie nowych gwarancji dotyczących korzystania z narzędzia Google Analytics, wydaje się, że rozsądniej jest zrezygnować z jego używania i wybrać inne narzędzie, które w większym stopniu respektuje dyrektywę w sprawie ogólnego bezpieczeństwa produktów.

W tym przypadku możliwe jest zwolnienie z wymogu uzyskania zgody, jeżeli zostanie zapewnione, że nie doszło do nielegalnego przekazania danych poza UE.

Aby zachować zgodność z GDPR, konieczne jest korzystanie z usług pomiaru i analizy oglądalności, które służą wyłącznie do tworzenia anonimowych danych statystycznych. Oto trzy alternatywy dla Google Analytics:

Piwik Pro

To narzędzie to konkurent Google Analytics, które w centrum zainteresowania stawia prywatność i bezpieczeństwo danych użytkowników. Platforma korzysta z opcji anonimizacji danych, dzięki czemu masz dostęp do informacji nie tylko o tych osobach, które wyraziły na to zgodę. Narzędzie dostępne jest w językach polskim, angielskim, francuskim, niemieckim i niderlandzkim.

Matomo

Oprogramowanie typu open source, podobnie jak poprzednia propozycja w swoim działaniu kieruje się zgodnością z zasadami RODO. Z Matomo korzysta ponad milion stron internetowych w 190 krajach. Dzięki temu, że oprogramowanie nie opiera się na próbkowaniu danych, wszystkie zebrane informacje są w 100 proc. dokładne.

Fathom Analytics

To kanadyjskie narzędzie, które jest zgodne z przepisami RODO, bo dane użytkowników są przetwarzane na niemieckich serwerach. Narzędzie dostępne jest wyłącznie w języku angielskim.

📚Przeczytaj też: Czym są mikrokonwersje i jak wykorzystać je w sprzedaży?

Niepewna przyszłość Facebooka i Instagrama?

Google to nie jedyny internetowy gigant, którego przyszłość w Unii Europejskiej stoi pod znakiem zapytania. Niedawno Mark Zuckerberg, szef koncernu Meta, wyraził niepewność co do tego, czy jego platformy będą mogły dalej świadczyć usługi na terenie UE – z dokładnie tego samego powodu, czyli przepisów dotyczących transferu danych do USA.

In #Facebook (@Meta) $FB's Annual Report they openly admit that their whole business in Europe may have to shut down over #GDPR / #SchremsII and US Surveillance -- amazing how they don't seem to work on durable solutions.. 😐😐https://t.co/Tmwsvjgemo pic.twitter.com/VEDdIMe3oR
— Max Schrems 🇪🇺 (@maxschrems) February 6, 2022

Zapis pojawił się w złożonym przez spółkę raporcie rocznym skierowanym do amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC). Z drugiej strony, spółka Meta w rozsyłanych do mediów oświadczeniach zapewnia, że nie ma zamiaru wycofać się z Europy. „Polegamy na standardowych klauzulach umownych oraz stosujemy odpowiednie zabezpieczenia danych, aby móc świadczyć usługi na całym świecie” – czytamy w komunikacie.

Komisja Europejska do połowy 2022 r. ma orzec, czy stosowane przez Facebooka klauzule są zgodne z RODO.

Podsumowanie

Austria oraz Francja to nie jedyne kraje przyglądające się działalności Google. Wkrótce ma pojawić się decyzja organów holenderskich. Jasne jest, że europejscy właściciele stron internetowych muszą współpracować z europejskimi usługodawcami lub przechowywać swoje dane w UE. Dopóki nie dowiemy się więcej, możesz zdecydować się na którąś z alternatyw Google Analytics.

👇Chcesz być na bieżąco z wiadomościami ze świata e-commerce? Zapisz się na nasz ekspercki biuletyn!