Datatilsynet rekommenderar alla att utforska alternativ till Google Analytics. Bakgrunden är den österrikiska dataskyddsmyndigheten Datenschutzbehördes (DSB) utredning en webbplats användning av Google Analytics där myndigheten kom fram till att användningen av Google Analytics innebär att personuppgifter skickas till USA (läs mer om detta här). Med hänvisning till Schrems II-domen från EU-domstolen, som ställer upp strikta villkor för överföring av personuppgifter från EES, kom DSB fram till att denna överföring är olaglig. Även den Europeiska Datatillsynsmannen (EDPS) har fattat ett liknande beslut (läs mer om detta här).
Datatilsynet behandlar för närvarande två ärenden som rör användningen av Google Analytics. Även om Datatilsynet inte fattat något beslut i de här fallen uppger myndigheten att de kommer att titta på europeisk praxis i ärendehandläggningen. Enligt Datatilsynet kommer det också bli fler beslut om Google Analytics från andra europeiska dataskyddsmyndigheter. Därför rekommenderar Datatilsynet nu alla att utforska alternativ till Google Analytics.
I Google Analytics är det möjligt att avidentifiera webbplatsanvändares IP-adresser, men det är viktigt enligt Datatilsynet att notera att detta inte kommer att lösa problemen som identifierats av DSB. DSB påpekar att Google Analytics också involverar cookies, och de upplever att om en användare redan är inloggad på ett Google-konto så går det att länka analysdata till användarens Google-konto.
Datatilsynet betonar att det inte nödvändigtvis är förbjudet att skicka personuppgifter till USA, men att webbplatsägare som vill göra en sådan överföring måste genomföra en rad åtgärder för att detta ska vara lagligt. I det specifika ansåg DSB att sådana åtgärder inte var på plats. Eftersom Google kontrollerar både datainsamlingen och överföringen blir det i praktiken svårt att se hur webbplatsägare kan säkerställa att nödvändiga åtgärder genomförs.
Även om det specifika fallet gällde Google Analytics, är det viktigt enligt Datatilsynet att notera att andra webbplatsverktyg också kan skicka personuppgifter till USA. Fler verktyg skickar mycket mer data än vad Google Analytics gör. Det är därför viktigt att webbplatsägare har full överblick över vilka verktyg de använder och vilken personlig information de behandlar genom verktygen. Många verktyg kan enligt Datatilsynet vara olagliga att använda, och då måste sajterna ta bort dem direkt. I allvarliga fall finns det risk för sanktioner från Datatilsynet. Eftersom det är så mycket uppmärksamhet kring de här frågorna nu så räknar Datatilsynet också med att få in fler klagomål.