Information och rekommendationer relaterat till IMY:s beslut om Google Analytics 3/7-2023

För omedelbar publicering - Stockholm 7 juli - Svenska Integritetsskyddsmyndigheten (IMY, fd Datainspektionen) publicerade 3 juli 2023 ett utlåtande och beslut i likhet med tidigare myndigheter i Danmark, Frankrike, Italien och Österriket samt Norges preliminära utlåtande: Standardanvändning av Google Analytics (Universal Analytics - UA) är inte förenligt med GDPR och de fyra bolagen i fråga (Tele2, CDON, DI och Coop) har inte gjort tillräckliga tekniska åtgärder i användandet av UA för att säkerställa en likvärdig skyddsnivå av data som skickas till USA som garanteras inom EU under GDPR-lagen. IMY:s beslut är det första inom EU där sanktionsavgift har delats ut, i övrigt är besluten i de olika länderna till stor del likställda på vilken grund besluten tagits.

Analysansvariga på Omniarch och Beet reagerade omedelbart på nyheten och allokerade resurser för att i ett bolagsöverskridande team bilda sig en uppfattning om nuläget och proaktivt agera på de frågor som bolagens kunder har kring beslutet.

“Beslutet är i linje med andra länders myndigheter, dock har man utfärdat sanktionsavgifter. Den överträdelse man fokuserar på som är tydligast är delning av IP-adresser till Google. Därutöver är det inte helt tydligt vad som ligger till grund för beslutet, men vi ser indikationer på att data-delning med Google, som Google Signals, gör att datamängden kan klassas som personinformation samt potentiellt för annan användning,” säger Tomas Lindqvist, Channel Lead - Analytics & Measurement, Beet AB.

OBS! Viktigt att notera är att UA inte anses vara avinstallerat bara för att ”ny data” inte längre processas i det specifika kontot, utan avinstallation av skripten från sajt eller Google Tag Manager (GTM) krävs för att sluta skicka data till Google/USA.

Vi rekommenderar å det starkaste att du som vet eller tror att IMY:s beslut har en inverkan på hur ni i er verksamhet påverkas av detta, ladda ner och läs de rekommendationer som Root Digital Groups dotterbolag kommunicerar. Notera att länkarna inte ändras om nya uppgifter adderas. Konsultera changelog längst ner i PDF-filen för att se ändringar.

• På svenska - www.beet.se/pdf/information-och-rekommendationer-rel-imy-beslut-3-juli-2023.pdf
  
• In English - www.beet.se/pdf/information-and-recommendations-rel-imy-decision-july-3-2023.pdf
  

Vad bör vi som bolag göra nu?
Först och främst: Ta inga förhastade beslut. Ja, detta är en seriös situation och agerande/ställningstagande kommer behövas, men säkerställ att beslut tas informerat.

1. Ta direkt ställning till våra rekommendationer i punkt 1.1. och utvärdera 1.2.
2. Gör riskbedömning om var ni vill lägga er och vad som kan vara "affärskritiskt" av de funktioner som vi rekommenderar att eventuellt stänga av under punkt 2.
3. Om mer vägledning behövs kring våra rekommendationer, återkoppla med era frågor så hjälper vi att tydliggöra och säkra att information och rekommendationer uppfattas på rätt sätt.
4. Potentiellt boka in ett möte för att se över vår tekniska rådgivning för er enskilda situation och sätta en plan framåt. Omniarch-kunder: letstalk@omniarch.se / Beet-kunder: info@beet.se

En summering och riskbedömning för funktioner/data är:

Direkt risk:
IP-adress och personinformation.

Hög risk:
Google Signals och “potentiell” personinformation.

Medel risk:
Andra delningsfunktioner som granulär device/platsdata.

Låg risk:
Icke-obfuskerade kund-IDn, användar-IDn, aggregerad data som audience-listor.

Disclosure - This information is not intended to constitute legal advice. Root Digital Group and its subsidiaries, as well as employees, do not provide legal advice and therefore cannot be held responsible for direct or indirect losses arising from this information or due to inadequate or inaccurate information. For questions relating to GDPR and data management, Root Digital Group recommends consulting legal expertise.