I Dagens Næringsliv 1. februar i år uttalte Datatilsynets leder, Bjørn Erik Thon, at vi må si nei til markedsføring basert på overvåkning. Han trakk særlig frem Google og de enorme datamengdene selskaper samler inn om nettbrukere.

Det østerrikske datatilsynet (DSB) vedtok nylig at bruk av Google Analytics er i strid med GDPR. I kjølvannet av avgjørelsen anbefaler Datatilsynet at norske virksomheter nå leter etter europeiske alternativer til Google Analytics. Seksjonssjef i Datatilsynet, Tobias Judin, har uttalt til Digi.no at det “i praksis er vanskelig å se hvordan nettsider lovlig kan bruke Google Analytics”.

GDPR skal praktiseres likt i hele EØS. Datatilsynet vil derfor se hen til DSBs avgjørelse, og avgjørelser fra andre europeiske datatilsyn, i behandlingen av sine saker. Foreløpig har Datatilsynet én sak om Google Analytics til behandling, og lignende saker verserer for andre europeiske datatilsyn. Hvis de følger DSB, noe som er sannsynlig, kan det i praksis resultere i et europeisk forbud mot Google Analytics.

Datatilsynet fremhever at Google Analytics ikke er verst i klassen. Det finnes andre analyseverktøy som samler inn mer data. På Datatilsynets nettsider uttaler Judin at ulovlig verktøy må fjernes omgående, og at alvorlige saker vil resultere i gebyrer.

GDPR forbyr som utgangspunkt overføring av personopplysninger ut av EØS. DSB mener Google Analytics samler inn personopplysninger og at disse overføres til USA. Det europeiske datatilsynet (EDPS) har nylig konkludert tilsvarende i en sak om bruk av Google Analytics på EU-parlamentets nettside.

Google har argumentert for at opplysningene som samles inn via Google Analytics, ikke er personopplysninger fordi Google ikke kobler opplysningene til enkeltindivider. Verken DSB eller EDPS er enige i dette. Etter deres syn er det “digitale fotavtrykket”, bestående av for eksempel cookie-ID, IP-adresse, nettleser og operativsystem, nok til at det er snakk om personopplysninger, selv om identifikatorer som navn ikke samles inn. Avgjørende for DSB og EDPS synes å være at det er mulig å skille ut en enkelt bruker fra andre brukere, uavhengig av om identiteten er kjent eller ikke.

Google tilbyr en funksjon for IP-anonymisering, som gjør at IP-adresse ikke overføres. Det østerrikske nettstedet i saken for DSB hadde ikke implementert denne funksjonen på riktig måte. DSB mente imidlertid at dette uansett neppe ville vært avgjørende fordi IP-adressen kun utgjør en liten del av det digitale fotavtrykket.

Det er ikke gitt at tilsynsmyndighetenes forståelse er riktig, eller at den ikke kan nyanseres. For det første var personen som klaget inn Google til DSB, logget inn på sin Google-konto. Det er noe uklart om konklusjonen hadde blitt den samme hvis personen ikke hadde en Google-konto (selv om en slik distinksjon vil være krevende for en nettsideeier å praktisere). For det andre følger det av GDPR at en “online identifier” først er en personopplysning hvis det rimeligvis kan tenkes at brukeren kan bli identifisert, sett hen til teknologien, kostnadene og tiden det vil ta. DSB og EDPS tar nok noe lett på dette kriteriet.

For å overføre personopplysninger på lovlig vis til USA, må personopplysninger gis tilnærmet samme beskyttelse som i EØS. Dette vil kreve tiltak, fordi amerikansk personvernlovgivning er fragmentert, og fordi amerikanske etterretningslover gir myndighetene vid adgang til data.

Google forsøkte å overbevise DSB om at selskapet har innført egnede sikkerhetstiltak. Selskapet presenterte omfangsrik dokumentasjon på alt fra inngjerding av serverparker og ende-til-ende kryptering, men DSB lot seg ikke overbevise. DSB vurderte det slik at så lenge Google selv har krypteringsnøkkelen, vil amerikanske myndigheter kunne få tak i nøkkelen og derigjennom personopplysningene. DSBs avgjørelse indikerer at det eneste tiltaket som kan være tilstrekkelig er kryptering av opplysningene før overføring til USA, og hvor krypteringsnøkkelen er utilgjengelig for Google. Det er tvilsomt om en slik løsning er særlig praktisk.

Vi anbefaler at norske virksomheter som bruker Google Analytics, ser etter et europeisk alternativ. Ved fortsatt bruk av Google Analytics anbefaler vi at IP-anonymisering aktiveres (selv om dette ikke uten videre er tilstrekkelig). Dessuten må man sørge for at brukerne gis informasjon, for eksempel i en cookie-policy, om hvilke cookies som benyttes, hvilke opplysninger som behandles, hvem som behandler opplysningene, formålet med behandlingen, hvor lenge opplysningene blir lagret, om data overføres ut av EØS, og i så fall hvilket overføringsgrunnlag som benyttes.

Samtidig bør ikke betydningen av tilsynsmyndigheters avgjørelser overdrives. Når de også fungerer som ombud for individers personvern, vil avgjørelsene ofte ha en slagside. Avgjørelsene kan overprøves av domstolene. Det vil være en fordel med domstolsprøving før alle aktører endrer en langvarig praksis.

Dette nyhetsbrevet ble først publisert som kronikk i Dagens Næringsliv (10.02.2022).

Nyhetsbrev og invitasjoner