Google Analytics mogelijk verboden?

Op 15 januari heeft de Autoriteit Persoonsgegevens bekendgemaakt dat Google Analytics mogelijk de AVG/GDPR-wetgeving overtreedt.
De Oostenrijkse privacytoezichthouder DSB heeft eerder deze maand al geconcludeerd Google Analytics inderdaad in strijd handelt met hoofdstuk V. art. 44 van de Europese GDPR.

Hier in Nederland, onderzoekt de Autoriteit persoonsgegevens momenteel twee klachten van de organisatie NOYB tegen Google LLC en een niet nader genoemde website.
De informatie rondom beide onderzoeken is nogal schaars. Velen in het werkveld van digitale marketing & ecommerce, vragen zich af hoe serieus deze berichten genomen kunnen worden. Niet voor niets draait Google Analytics op 87% van de 10.000 meest populaire websites*, waaronder ook het merendeel van websites van overheden. Statistieken over het gebruik van websites zijn cruciaal om deze bruikbaar te houden voor gebruikers. Een verbod zou dan ook leiden tot grote onrust in de digitale wereld.

In eerste instantie leek het probleem puur te liggen bij het verzamelen van IP adressen. Inmiddels weten we dat het verzamelen van IP adressen (ook geanonimiseerd), browsergegevens én gegevens voor gebruikersidentificatie allemaal mogelijk in strijd met de AVG is.
Ook het opslaan van deze gegevens buiten Europa (in de VS) lijkt niet conform de huidige wetgeving.

Hoe nu verder?

Het is nu afwachten wat daadwerkelijk de uitspraak wordt en hoe Google hier vervolgens op reageert.
Wij verwachten deze uitspraak al binnen een paar weken. Google heeft dan een mogelijkheid tot beroep en we verwachten eerst een juridisch steekspel.
Uiteindelijk heeft Google ook de mogelijkheid om de dataverzameling van Google Analytics aan te passen om zo binnen de beperkingen van de AVG & GDPR te werken.

Gezien het belang van statistische informatie over het gebruik van websites, verwachten wij niet dat er op korte termijn een algeheel verbod komt.
Mocht Google Analytics onverhoopt toch verboden worden, dan zorgen wij er natuurlijk voor dat we onze klanten tijdig kunnen helpen met de migratie naar een alternatief platform wat wel toegestaan is.

In de tussentijd adviseren we sowieso om te zorgen dat je huidige implementatie voldoet aan de nu geldende best practices omtrent privacy. Hier helpen wij je natuurlijk graag bij.

*bron: https://www.act.com/blog/gb/how-to-use-google-analytics/

Update 21 januari 2022

Google heeft een officiële reactie gegeven, waarin zij het volgende zeggen:

You may be aware of an Austrian data protection authority’s recent ruling that a local web publisher’s implementation of Google Analytics did not provide an adequate level of protection, on the grounds that U.S. national security agencies have a theoretical ability to access user data. We have received questions on this topic so I’m emailing to help clarify a few points. 

The decision did not “ban” companies from using Google Analytics in Europe; the decision was not against Google Analytics. However, we understand the decision and the context of broader regulatory scrutiny on international data transfer may raise questions about how data is processed using tools like Google Analytics and how Google can help customers with safeguards, controls, and resources for compliance.

First, we encourage you to read some facts about Google Analytics — both what it does and what it does not do. Included in the information we share here is a list of tools we provide to help customers ensure that full IP addresses are never further processed or logged; data collection is partially or completely disabled; time limits are set for user-level and event-level data before automatic deletion; data is deleted from Analytics servers, and much more.

In addition, you may read our paper covering the best-in-class technical, contractual and organizational safeguards and supplementary measures that we provide to protect personal data that may be processed when our clients use Google’s advertising and analytics products. You can find out more about Google’s data protection and security measures here. And you can find out more about Google’s use of encryption (including for our advertising products) here.

We remain convinced that the extensive supplementary measures we offer to our customers ensure, in practice, the effective protection of Google Analytics data that is transferred. In a recent statement on this subject, Kent Walker–Google’s Chief Legal Officer–adds that “Google has offered Analytics-related services to global businesses for more than 15 years and in all that time has never once received the type of demand the DPA speculated about. And we don’t expect to receive one because such a demand would be unlikely to fall within the narrow scope of the relevant law.“

Ultimately, these topics have an impact far beyond the many publishers, small businesses, governments, and NGOs that rely on Google Analytics. You can rest assured that Google will continue in its pursuit to offer products that comply with GDPR and to meet both EU standards and European citizens’ high expectations for privacy and data security.