Internasjonale saker

Google analytics – bruk av analyseverktøy som overfører personopplysninger til USA

Organisasjonen noyb har klaget inn en rekke europeiske nettsider til datatilsynsmyndighetene i EØS, blant annet det østerrikske og norske datatilsynet. Organisasjonen noyb mener at nettsidene overfører personopplysninger ut av EØS i strid med personvernforordningen (GDPR) ved å bruke det amerikanske analyseverktøyet Google Analytics. 

Det østerrikske datatilsynets vedtak
Det østerrikske datatilsynet har undersøkt et nettsteds bruk av Google Analytics. De kom frem til at bruk av Google Analytics innebærer at personopplysninger sendes til USA, og at overføringen var ulovlig. Det var ikke satt i verk tiltak for å sikre en lovlig overføring.

Basert på saken må virksomhetene i kommunen sikre at de har full oversikt over hvilke personopplysninger som blir behandlet gjennom nettverktøy, slik som f.eks. analyse på egne nettsider.

Det norske datatilsynets varsel om vedtak
Det norske datatilsynet har også behandlet en sak om et norsk nettsteds bruk av Google Analytics. Datatilsynet kom 01.03.2023 med en pressemelding om varsel om vedtak i saken.

Datatilsynet har gjennom varselet sagt at Google Analytics ikke kan brukes lovlig i Norge, selv med anonymisering av IP-adresser og bruk av EUs standardkontrakt for overføring av personopplysninger til tredjeland. Selv om det ikke er et endelig vedtak, er det mye som tyder på at vedtaket blir stående. Utviklingen i andre EU-land viser at selv med de strengeste tiltakene anses det ikke å være nok til å hindre amerikansk etterretning i å få tilgang til data.

Datatilsynet har tidligere anbefalt at virksomheter utforsker alternativer til Google Analytics. FIN/ISI vil komme med nærmere anbefalinger til virksomhetene i kommunen når endelig vedtak fra Datatilsynet foreligger før sommeren 2023.