Tillsynsbeslut avseende användandet av Google Analytics

Nyligen har två beslut som rör användandet av Google Analytics publicerats, ett från Österrikes tillsynsmyndighet och ett från den europeiska datatillsynsmannen (EDPS).

I beslutet från den österrikiska tillsynsmyndigheten konstaterades inledningsvis att alla unika identifierare som används för att särskilja användare på en webbplats, till exempel IP-adresser och browserinställningar, utgör personuppgifter. Vidare framhölls i båda besluten att användandet av Google Analytics på aktuella webbplatser medfört överföring av personuppgifter till Google i USA. Webbplatsinnehavaren som använder Google Analytics använder standardavtalsklausuler för att få överföra personuppgifter till USA. I Schrems II-domen konstaterades att ytterligare skyddsåtgärder måste vidtas när personuppgifter överförs till USA med stöd av standardavtalsklausuler.

I beslutet från den österrikiska tillsynsmyndigheten hade webbplatsinnehavaren försökt använda sig av anonymisering av IP-adresserna men inte lyckats implementera funktionen korrekt. Tillsynsmyndigheten prövade därför inte frågan om anonymiseringen utgjorde tillräckliga skyddsåtgärder men framhöll samtidigt att IP-adresser är en av flera personuppgifter som överförs till USA vid användandet av Google Analytics. I båda besluten konstaterades att de webbplatsansvariga inte hade vidtagit tillräckliga skyddsåtgärder för att skydda personuppgifterna som överförs till USA vid användandet av Google Analytics.

I beslutet från EDPS tilldelades webbplatsinnehavaren en reprimand och i beslutet från den österrikiska tillsynsmyndigheten kunde myndigheten inte besluta om någon sanktion på grund av processuella skäl. Besluten har inte vunnit laga kraft och kan därför komma att överklagas.