Czy Google Analytics narusza RODO? O co chodzi w sporze?
Korzystanie z Google Analytics narusza zasady RODO, a więc jest nielegalne. Tak uznał austriacki organ ochrony danych osobowych. Skutki tej decyzji mogą być dotkliwe dla setek tysięcy firm!
Problem z GA
Google Analytics (GA) to powszechnie stosowane narzędzie do analizy ruchu na stronie internetowej. Dzięki niemu właściciel portalu wie, ilu internautów korzysta ze strony, ile czasu tam spędza, na jakich treściach zatrzymuje się najdłużej, wreszcie z jakiego miejsca internauci wchodzą na stronę.
Bez GA trudno wyobrazić sobie prowadzenie portalu internetowego: pozyskiwanie reklamodawców czy zwiększania ruchu na stronie.
Ustawa FISA
Problem z tym, że Google Analytics to narzędzie pochodzące ze Stanów Zjednoczonych. Wszystkie dane przepuszczane przez GA trafiają na serwery amerykańskie. Również dane obywateli Unii Europejskiej, gdzie obowiązuje RODO.
RODO zabrania transferu danych do firm z terenów tzw. państw trzecich, czyli takich gdzie nie obowiązuje RODO ( a więc w tym wypadku Stany Zjednoczone również są państwem trzecim), jeżeli te firmy nie są w stanie zagwarantować bezpieczeństwa i ochrony danych. Postępowanie wbrew temu zakazowi może mieć wysokie koszty. RODO, organy go egzekwujące mogą po prostu nałożyć wysokie kary.
Tymczasem zapisy amerykańskiej ustawy FISA (Foreign Intelligence Surveillance Act) sprawiają, że amerykańskie firmy mają obowiązek udostępniania pozyskanych danych na żądanie tamtejszych służb specjalnych. A to jest zupełnie niezgodne z zapisami RODO. Wdrożenie takich narzędzi jak Google Analytics może być na terenie Unii Europejskiej uznane za niezgodne z RODO i traktowane jako wyciek danych.
Pozwy grupy NOYB
Z takiego założenia wyszli aktywiści zrzeszeni w grupie NOYB (None of Your Business). Złożyli oni ponad sto wniosków do wielu organów zajmujących się sprawami ochrony danych osobowych w Europie, właśnie odnośnie nielegalnego stosowania GA.
Rozpatrując jedno ze zgłoszeń NOYB austriacki organ ds. ochrony danych uznał, że stosowanie Google Analytics oznacza naruszenie ochrony danych osobowych. Ze względu na ilość zgłoszeń można spodziewać się wielu podobnych wyroków w innych krajach stosujących RODO.
Google oczywiście zapewnia, że dostarcza „wiele narzędzi kontroli tego, jakie dane są zbierane i w jaki sposób są przetwarzane”, ale austriacki organ nie dał temu wiary.
Co to oznacza?
Jest kilka możliwości rozwoju sytuacji:
- zaprzestanie korzystania z Google Analytics i podobnych narzędzi amerykańskich firm, a to oznacza wielkie zmiany na rynku i mocne uderzenie w Google’a.
- dalsze używanie GA przez tysiące firm w UE i narażanie się na wysokie grzywny
- zaktualizowanie amerykańskiego prawa FISA w taki sposób, by ustawa nie obejmowała obywateli Unii Europejskiej
- stworzenie przez amerykańskie firmy centr danych zlokalizowanych w Unii Europejskiej, które nie będą podlegały amerykańskiej jurysdykcji. Dzięki temu takie przetwarzanie spełniałoby wymogi RODO. Jednak ich stworzenie wymaga czasu.
I to są koszty, RODO musi być przestrzegane już, tu i teraz.
Podsumowanie
Na razie, wyrok z Austrii sprawił, że firmy, które chcą mieć pewność, że nie łamią prawa, nie powinny korzystać z Google Analytics i przekazywać danych użytkowników swoich portali do USA. A z Google Analytics korzystają właściwie wszyscy, największe i najpopularniejsze portale, również w Polsce. Teraz ta gigantyczna działalność stoi pod znakiem zapytania.