Google Analytics binnenkort verboden?

De privacywaakhond van Oostenrijk deed onderzoek naar het gebruik van Google Analytics naar aanleiding van een klacht van privacyorganisatie noyb, die werd opgericht door activist Max Schrems, schrijft security.nl. De groep klaagde dat Europese websites via de analytics-dienst persoonsgegevens naar de Verenigde Staten versturen. Het gaat om IP-adressen en unieke ID's.

Hoewel het vroeger geen probleem was om dergelijke gegevens naar de VS te versturen, is het sinds juli 2020 officieel verboden. Toen ging er namelijk een streep door Privacy Shield; de regeling waarmee de Europese Commissie toestemming geeft voor het doorgeven van persoonsgegevens naar de VS. Het Europees Hof van Justitie besloot - ook al na klachten van Schrems - de regeling nietig te verklaren omdat de persoonsgegevens in de VS minder goed beschermd zijn dan in de Europese Unie. 

Eén oplossing is om zogenaamde modelcontracten af te sluiten met Amerikaanse gegevensontvangers. Maar de Oostenrijkse toezichthouder stelt na een eerste onderzoek dat het gebruikte modelcontract onvoldoende bescherming biedt. De website in kwestie kan daarnaast niet op andere mechanismes terugvallen die onder de AVG toe zijn gestaan. De website biedt daardoor niet het beschermingsniveau dat onder de AVG verplicht is. 

Gevolgen voor Nederland

De Nederlandse AP heeft naar aanleiding van de uitspraak waarschuwingen toegevoegd aan informatie over Google Analytics op zijn website. Op de pagina over cookies en in een handleiding over Google Analytics zegt de waakhond dat het gebruik van Google Analytics binnenkort mogelijk niet meer is toegestaan. Op dit moment onderzoekt de organisatie twee klachten over het gebruik van de dienst in Nederland. "Na afronding van dat onderzoek, begin 2022, kan de AP zeggen of Google Analytics nu is toegestaan of niet."

Google zegt in een reactie dat data volgens de AVG en het Europees Hof wel naar zijn datacenters in de VS verstuurd mag worden, mits voldaan wordt aan bepaalde voorwaarden. Daarvoor zijn modelcontracten nodig, moet voldaan worden aan diverse beveiligingsstandaarden als de ISO 27001, en moeten gebruikers van Analytics zelf allerlei zaken in kunnen stellen om de data veilig te houden.

Google zegt aan al die eisen te voldoen. Zo wijst het bedrijf erop dat gebruikers IP-adressen kunnen anonimiseren, dataverzameling uit kunnen zetten op bepaalde pagina's, data van de Analytics-servers kunnen verwijderen door een verzoek in te dienen en zelf kunnen selecteren hoelang data bewaard blijft in Analytics. Ook benadrukt Google dat de analytics-dienst niet te gebruiken is om mensen over het internet of in apps te gevolgen en dat er geen gebruikersprofielen aan worden gemaakt. Gebruikers mogen verder ook geen informatie uploaden waarmee een persoon geïdentificeerd kan worden. 

Update 13:24: Reactie van Google toegevoegd aan het artikel.