Google Analytics fik for ikke længe siden det gule kort i en vejledning fra Datatilsynet. Nu har tilsynet fundet det røde kort frem. Dermed er gode råd dyre, hvis din forretning eller website primært baserer sin dataindsamling på Googles analyseværktøj.
– Reglerne i GDPR er lavet for at beskytte europæiske borgeres privatliv. Det betyder blandt andet, at man skal kunne besøge en hjemmeside, uden at ens oplysninger kan ende i de forkerte hænder. Vi har gennemgået mulighederne i Google Analytics nøje og er kommet frem til, at man ikke kan bruge værktøjet i sin nuværende form uden at træffe yderligere foranstaltninger, siger Makar Juhl Holst, chefkonsulent i Datatilsynet.
Konklusionen fra Datatilsynet kommer i kølvandet på en grundig undersøgelse af indstillinger og vilkår i Google Analytics. Tidligere i 2022 nåede de østrigske, franske og italienske datatilsyn frem til, at Analytics ikke lever op til GDPR. Et af de centrale punkter i forhold til brugen af Google er overførslen af data til USA, hvor særlig lovgivning blandt andet giver landets sikkerhedsagenturen en bagindgang til europæiske brugeres oplysninger.
– Siden vores europæiske kollegaers afgørelser har vi set nærmere på værktøjet og de konkrete indstillinger, man kan gøre brug af, hvis man gerne vil bruge Google Analytics. Det har været særligt relevant, da Google i kølvandet på den første afgørelse fra Østrig er begyndt at stille yderligere indstillinger til rådighed i forhold til, hvilke oplysninger der kan indsamles via værktøjet. Men konklusionen er dog stadig, at værktøjet ikke uden videre kan bruges lovligt, siger Makar Juhl Holst.
Organisationer og virksomheder, der bruger Google Analytics, har nu pligt til at sikre, at brugen af Google Analytics lever op til GDPR. Det kan blandt andet være pseudonymisering af data. Den franske datatilsynsmyndighed har udarbejdet nærmere vejledning til organisationer, der ønsker at etablere en effektiv pseudonymisering ved hjælp af en såkaldt reverse proxy.
Hvis det ikke er muligt at træffe effektive supplerende foranstaltninger, skal man holde op med at bruge værktøjet og eventuelt finde et andet værktøj, der kan levere webstatistik, og som giver mulighed for at overholde databeskyttelsesreglerne, fx. ved ikke at overføre oplysninger om de besøgende til usikre tredjelande.
