Френските регулатори смятат, че използването на Google Analytics нарушава Общия регламент на Европейския съюз за защита на данните (Регламент (ЕС) 2016/679 („GDPR“), решение, което вероятно ще има широки последици за компаниите за уеб анализ и за операторите на уебсайтове.
На практика френският орган за защита на данните (CNIL) се присъединява към австрийския орган за защита на данните. В основата на решението на австрийския DPA беше мнението, че IP адресите и данните за бисквитки са лични данни съгласно GDPR. След анализ в сътрудничество със своите европейски колеги CNIL заключи, че условията, при които данните се събират чрез Google Analytics и се прехвърлят в САЩ са в нарушение на регламента. Google Analytics е широко използван инструмент за уеб анализ, позволяващ събиране на информация относно използването на конкретен уебсайт, която след това се анализира от Google, преди да бъде споделена с оператора на уебсайта. Като част от процеса на всеки посетител се дава уникален идентификатор и такива лични данни се прехвърлят от Google към Съединените щати. Според CNIL това прехвърляне нарушава членове 44 и сл. на GDPR и въпросният мениджър на уебсайт има един месец, за да се съобрази с регламента (потенциално чрез прекратяване на използването на Google Analytics или чрез използване на инструмент, който не включва прехвърляне извън Европейския съюз).
Един от главните изводи от решението е, че са необходими подходящи предпазни мерки, тъй като допълнителните мерки, които Google Analytics прие за регулиране на прехвърлянето на данни, са недостатъчни, за да защитят личните данни на ЕС от достъпа на разузнавателните служби на САЩ. CNIL препоръчва услугите да се използват само за изготвяне на анонимна статистическа информация. Анонимните статистически данни няма да представляват лични данни съгласно GDPR и следователно няма да е необходимо съгласие от посетителите на уебсайта за прехвърлянето им, стига администраторът да гарантира, че няма да бъдат извършване незаконни трансфери. CNIL също отбеляза, че е стартирал програма за определяне какви решения за управление и анализ на аудиторията на уебсайта са освободени от съгласие. CNIL проучва и други начини, използвани от сайтове, които прехвърлят европейски лични данни в Съединените щати и в близко бъдеще може да бъдат приети коригиращи мерки.
Решението ще има последици за всеки уебсайт във Франция, който понастоящем използва Google Analytics, както и други инструменти, прехвърлящи данни от ЕС към САЩ. Ключов компонент в решенията на CNIL и на DPA е предполагаемата неефективност на мерките, приети от Google за защита на личните данни на ЕС от американските разузнавателни служби. В отговор на решението на австрийското DPA Google отбеляза, че надеждата е този проблем да бъде бързо разрешен чрез споразумение относно наследник на по-рано анулирания Щит за поверителност (Privacy Shield). Разрешаването изглежда малко вероятно предвид разкола между принципа на основните права на европейците и американското законодателство за наблюдение. Има обаче съобщения, че нови предложения ще бъдат представени скоро, като оптимистите прогнозират официално съобщение по време на предстоящата среща на Съвета по търговия и технологии (TTC) през май 2022 г.
Междувременно поради множеството все още висящи жалби на NOYB (None of Your Business), организация с нестопанска цел със седалище във Виена, основана от Макс Шремс, и като се има предвид, че решението на CNIL е взето в сътрудничество с европейските му колеги, то изглежда вероятно в близко бъдеще да има още решения относно използването на Google Analytics.
https://www.wired.com/story/google-analytics-europe-austria-privacy-shield/
