De Norwegian Data Protection Authority (EDPS) voert momenteel twee onderzoeken uit naar het gebruik van Google Analytics. Deze onderzoeken zijn weliswaar nog niet definitief afgerond, maar de toezichthouder stelt dat het gebruik van het analysepakket van Google mogelijk illegaal is. De Noorse privacywaakhond adviseert bedrijven en organisaties desondanks om nu al op zoek te gaan naar een alternatief.
Dat schrijft de EDPS in een persverklaring.
De Noorse toezichthouder verwijst naar een eerdere uitspraak van de Datenschutzbehörde (DSB). De privacytoezichthouder uit Duitsland nam eerder klachten over Google Analytics in behandeling. Onderzoekers concludeerden dat het statistiekprogramma van Google in strijd is met de Algemene Verordening Gegevensbescherming (AVG). De analysesoftware verzamelt namelijk voortdurend IP-adressen en cookiegegevens van gebruikers en slaat deze data op in de VS.
Sinds het Europees Hof van Justitie in de zomer van 2020 een streep zette door het Privacy Shield (het beruchte Schrems-II vonnis), mogen dergelijke gegevens niet langer zomaar buiten de EU worden opgeslagen. Dat mag alleen als bedrijven en organisaties het andere land gelijkwaardige opslag- en beveiligingsmaatregelen treffen als hier in de EU. Volgens het Hof kunnen Amerikaanse bedrijven dit niet garanderen.
De Noorse toezichthouder trekt een vergelijkbare conclusie als de DSB. Net als de privcywaakhond in Duitsland onderzoekt de EDPS momenteel twee zaken die betrekking op het gebruik van Google Analytics. Hoewel de onderzoeken nog niet zijn afgerond, komt de toezichthouder nu al met een voorlopige conclusie. En die ziet er niet rooskleurig uit voor Google.
De EDPS voert twee belangrijke bezwaren aan. Allereerst verzamelt Google Analytics IP-adressen, die te herleiden zijn naar individuele gebruikers. Het is mogelijk om IP-adressen te maskeren, maar dat lost het probleem volgens de toezichthouder niet op. Google Analytics verzamelt namelijk ook cookiegegevens. Daarmee is het mogelijk om gebruikersdata te koppelen aan gebruikers als zij zijn ingelogd op hun Google account. Dat is in strijd met de Europese privacywetgeving, en dus illegaal.
De EDPS verwacht op korte termijn meer vergelijkbare uitspraken van andere nationale toezichthouders. De Autoriteit Persoonsgegevens (AP) is er daar één van. Die waarschuwde onlangs nog dat het gebruik van Google Analytics ‘mogelijk binnenkort’ niet langer is toegestaan. De AP onderzoek momenteel twee klachten over het statistiekpakket van Google. ‘Begin 2022’ verwacht de toezichthouder een definitieve uitspraak te kunnen doen over het gebruik van Google Analytics.
De privacywaakhond uit Noorwegen benadrukt dat het niet verboden is om data die via Google Analytics is verkregen op te slaan in de VS. Website-eigenaren moeten dan zelf een aantal stappen nemen om ervoor te zorgen dat dit legaal gebeurt. En dat gebeurt nu niet op grote schaal. De toezichthouder adviseert Noorse bedrijven en organisaties daarom om uit te kijken naar een alternatief voor Google Analytics.
De EDPS denkt op korte termijn nog meer klachten over Google Analytics binnen te krijgen.
Google is zich van geen kwaad bewust en verdedigt zich tegen de aantijgingen. Via een blog liet de zoekmachinegigant weten dat het mogelijk is om IP-adressen te anonimiseren. Daarvoor moeten bedrijven en organisaties een algemene sitetag aan het <head> gedeelte van hun website toevoegen.
Tevens benadrukte Google dat het niet mogelijk is om gebruikers op het internet of in applicaties te monitoren met Google Analytics, of gebruikersprofielen aan te maken. “Google Analytics helpt eigenaren van websites en apps te begrijpen hoe hun gebruikers omgaan met hun sites en apps, en alleen met hun sites en apps”, aldus Google. De data die Google Analytics verzamelt kan bovendien niet gebruikt worden om bezoekers te identificeren.
Verder schreef Google dat bedrijven en organisaties zelf verantwoordelijk zijn welke data ze verzamelen met Google Analytics. Het techbedrijf biedt hen allerlei tools om aan de lokale of regionale wet- en regelgeving te voldoen, waaronder AVG. Met behulp van browser add-ons hebben internetgebruikers bovendien zelf de controle om de analysesoftware van Google uit te schakelen.
Tot slot kan Google Analytics niet gebruikt worden om gerichte advertenties gebaseerd op bijzondere persoonsgegevens te tonen. Dan moet je denken aan advertenties over gezondheid, etniciteit, politieke voorkeur of seksuele geaardheid.
