Używanie Google Analytics narusza przepisy RODO

Nieograniczony dostęp amerykańskich służb do danych osobowych staje się ponownie prawnym problem w legalnym transferze i przetwarzaniu danych europejskich użytkowników internetu.

Możliwości amerykańskich służb doprowadziły do uznania przez austriacki i francuski organ nadzorczy, iż korzystanie z Google Analytics narusza przepisy RODO. Francuski organ nadzorczy (CNIL) stwierdził wprost, że transfery danych do USA są nielegalne i nakazuje francuskim menedżerom stron internetowych przestrzeganie RODO i zaprzestanie korzystania z tej usługi na obecnych warunkach.

Google Analytics to usługa, którą można zintegrować ze stronami internetowymi, w celu pomiaru liczby odwiedzin użytkowników Internetu. W tym kontekście każdemu odwiedzającemu przypisywany jest unikalny identyfikator. Ten identyfikator – który stanowi daną osobową – i związane z nim dane są przesyłane przez Google do Stanów Zjednoczonych.
CNIL, we współpracy ze swoimi europejskimi odpowiednikami – także z polskim Urzędem Ochrony Danych Osobowych – przeanalizowała warunki, na jakich dane zebrane za pomocą Google Analytics są przekazywane do Stanów Zjednoczonych. W ocenie regulatora dane osobowe przetransferowane do USA za pośrednictwem Google Analytics nie są odpowiednio chronione przed potencjalnym dostępem amerykańskich służb specjalnych, a transfer ten odbywa się z naruszeniem art. 44 i nast. RODO.
Zauważono, że narzędzia analityczne służące do analizy ruchu na witrynach internetowych powinny być wykorzystywane jedynie do generowania anonimowych danych statystycznych. Takie rozwiązanie pozwoliłoby m.in. na uniknięcie konieczności pozyskiwania zgód osób, których dane dotyczą, na przetwarzanie ich danych osobowych, a w konsekwencji nie prowadziłoby do naruszeń przepisów o ochronie danych osobowych.

Transfery do Stanów Zjednoczonych nie są obecnie wystarczająco uregulowane prawnie. Rzeczywiście, w przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony danych w odniesieniu do RODO, przekazywanie danych może nastąpić tylko wtedy, gdy zapewnione są odpowiednie gwarancje bezpieczeństwa w szczególności transferu.

CNIL stwierdził, że tak nie było. Chociaż Google przyjęła dodatkowe środki w celu uregulowania bezpieczeństwa danych w kontekście funkcji Google Analytics, nie są one wystarczające, aby wykluczyć dostępność tych danych dla amerykańskich służb wywiadowczych.
CNIL zauważa, że dane użytkowników internetu przekazywane są do Stanów Zjednoczonych z naruszeniem art. 44 i nast. RODO. W związku z tym CNIL nakazał administratorom stron, aby dostosował to przetwarzanie do RODO, w razie potrzeby zaprzestając korzystania z funkcji Google Analytics (w obecnych warunkach) lub korzystając z narzędzia, które nie wiąże się z transferem poza UE.
Dotyczy to wszystkich bez wyjątku. Kilka tygodni temu europejski Inspektor Ochrony Danych zauważył bezpodstawne korzystanie z narzędzia analitycznego Google na stronie poświęconej koronawirusowi, prowadzonej przez Parlament Europejski. Na niej również znajdował się kod Google Analytics i korzystanie z niego zostało zakwestionowane.

Wygląda więc na to, że sytuacja wraca do punktu wyjścia i znów nie ma legalnego sposobu na transfer danych za ocean. Jedyny to ich szyfrowanie, tylko że to wyklucza przetwarzanie danych w USA.
Z punktu widzenia przedsiębiorcy nie ma w tej chwili rozwiązań całkowicie bezpiecznych prawnie. Jedyna nadzieja w tym, że będzie nowe porozumienie UE-USA. W praktyce więc firmy, które chcą mieć pewność, że nie łamią prawa, nie mogą transferować danych do USA.