Datatilsynet har ferdigbehandlet saken som gjaldt Google Analytics. Konklusjonen er at bruk av Google Analytics har vært ulovlig frem til nå. Samtidig har det kommet nye regler som påvirker lovligheten av verktøyet fremover.
Organisasjonen noyb har klaget inn en rekke europeiske nettsteder til datatilsynsmyndighetene i EØS for bruk av Google Analytics. Bakgrunnen er at det som hovedregel ikke er lov å overføre personopplysninger ut av EØS, og noyb mener disse reglene ble brutt ved bruk av det amerikanske analyseverktøyet Google Analytics.
En av de innklagede nettstedene, telenor.com, brukte tidligere Google Analytics. Vi har undersøkt saken og lagt den frem for de andre berørte datatilsynsmyndighetene i EØS. Konklusjonen vår er at når nettstedet brukte Google Analytics, ble det overført personopplysninger til USA i strid med reglene. Med andre ord var bruken av Google Analytics ulovlig.
Informasjon fra det danske datatilsynet tyder på at konklusjonen vil være den samme uansett om Google Analytics 3 eller 4 har vært brukt.
Last ned vedtaket vårt til Telenor (engelsk, pdf)
Det som var problematisk i denne saken, var overføring av personopplysninger til USA. Frem til nå har dette vært vanskelig å få til lovlig, og dette er bakgrunnen for vedtaket vårt.
I juli kom det imidlertid nye regler om overføring av personopplysninger til USA. Man kan nå overføre personopplysninger til amerikanske virksomheter som er sertifisert under de nye reglene. Google er blant disse virksomhetene.
Les mer om de nye reglene.
Med andre ord: Det som frem til nå har vært et stort problem med Google Analytics, virker å være løst. Når det er sagt, utelukker vi ikke at det kan være andre personvernutfordringer med verktøyet.
Alle som velger å ta i bruk et analyseverktøy på nettsidene sine, har også ansvar for at bruken av verktøyet overholder personvernreglene. Overføring av personopplysninger til land utenfor EØS er bare ett element man må sjekke.
For å hjelpe virksomheter med å velge lovlige analyseverktøy, har vi laget en liste med råd. Vi anbefaler alle nettstedseiere å ta en kikk på rådene for å vurdere om verktøyene de bruker er i tråd med personvernreglene.