Datatilsynet i Østrig har besluttet at analyseværktøjet Google Analytics, der bruges af stort set alle websites, overtræder GDPR-lovgivningen. Det er dermed ulovligt. Andre EU-lande forventes af følge trop.
Beslutningen kommer fra østrigske Datenschutzbehörde, DPA, på grundlag af en afgørelse truffet i 2020 af Den Europæiske Unions Domstol (CJEU), der fastslog, at cloud-tjenester hostet i USA ikke er i stand til at overholde GDPR og EU’s privatlivslovgivning. Den såkaldte Schrems II-dom.
DPA begrunder beslutningen med, at Google Analytics sender data til USA, hvor de principelt kan opsnappes af efterretningstjenesten.
Max Schrems fra forbrugerorganisationen None of Your Business, noyb.eu, der har lagt navn til 2020-dommen, forventer at dommen vil sprede sig.
“Vi forventer, at lignende afgørelser nu falder gradvist i de fleste EU-medlemslande. Vi har indgivet 101 klager i næsten alle medlemslande, og myndighederne koordinerede svaret. En lignende afgørelse blev også udstedt af den europæiske tilsynsførende for databeskyttelse i sidste uge,” siger han.
Noget tyder på, han har ret. Hollandske myndigheder har allerede advaret om, at Google Analytics risikerer at leve på lånt tid. Norges datastilsyn anbefaler også de norske virksomheder at kigge efter alternativer til Google Analytics.
Herhjemme afventer Datatilsynet for at se, hvad andre EU-lande vælger:
“Datatilsynet vil nærlæse afgørelsen fra vores østrigske kollegaer og løbende følge de øvrige afgørelser fra vores europæiske kollegaer i de 101 klagesager fra NOYB. Datatilsynet forventer herefter at udarbejde en opsummerende, vejledende tekst på baggrund af såvel den østrigske afgørelse som de øvrige forventede afgørelser om brugen af værktøjer såsom Google Analytics,” skriver tilsynet.
GDPR afgørelsen fra Østrig kan ikke alene påvirke muligheden for at benytte Google Analytics. Den kan også få indflydelse på muligheden for at benytte Cloud-tjenester med base i USA.
Det er ikke første gang, Google anklages for at overtræde GDPR reglerne.