Google Analytics binnenkort verboden?!

For the English version of this article, click here.

De Oostenrijkse gegevensbeschermingsautoriteit (Datenschutzbehörde) heeft besloten dat het gebruik van Google Analytics in strijd is met de AVG. De Oostenrijke privacytoezichthouder oordeelde dat bij het gebruik van Google Analytics persoonsgegevens (waaronder user identifiers, IP-adressen en browserparameters) gedeeld worden met Google in de VS. Na de Schrems II uitspraak van het Europese Hof van Justitie mogen persoonsgegevens alleen onder doorgegeven worden naar derde landen als er voldoende aanvullende waarborgen getroffen zijn. De gebruiker van Google Analytics in dit geval voldeed daar niet aan.

Doorgifte van persoonsgegevens naar de VS

Op grond van de AVG mogen persoonsgegevens alleen doorgegeven worden naar landen buiten de Europese Economische Ruimte (EER) als er sprake is van een adequaat beschermingsniveau. Dat adequate beschermingsniveau kan op verschillende manieren geborgd worden. Doorgifte naar de VS vond in veel gevallen plaats op basis van het Privacy Shield. In de Schrems II uitspraak is bepaald dat de doorgifte naar de VS op grond van het Privacy Shield nietig is omdat de VS geen beschermingsniveau bieden dat gelijkwaardig is aan het niveau binnen de Europese Unie. Doorgifte naar de VS kan sinds juni 2020 alleen nog plaatsvinden op basis van goedgekeurde binding corporate rules of de model contractsbepalingen (standard contractual clauses (SCC)) van de Europese Unie mits de doorgevende organisatie daarbij aanvullende waarborgen treft om in een adequaat beschermingsniveau te voorzien.

Oordeel van de Oostenrijkse privacytoezichthouder

De Oostenrijkse toezichthouder stelt dat weliswaar tussen de gebruiker van Google Analytics en Google SCC gesloten worden én aanvullende waarborgen getroffen worden maar dat deze gezien de Amerikaanse surveillance wetgeving niet toereikend zijn. Zo schrijft de toezichthouder op haar website: “De maatregelen die naast de standaardbepalingen inzake gegevensbescherming werden uitgevoerd, waren vanuit het oogpunt van de gegevensbeschermingsautoriteit niet doeltreffend, aangezien zij de door het Hof van Justitie geïdentificeerde mogelijkheden voor toezicht en toegang door Amerikaanse inlichtingendiensten niet uitsloten.”. Het gebruik van Google Analytics is daarom in strijd met de AVG. Deze uitspraak kan vergaande gevolgen hebben wanneer dit standpunt door meer toezichthouders wordt overgenomen.

De Nederlandse privacytoezichthouder over Google Analytics

De Nederlandse tegenhanger van de Datenschutzbehörde, de Autoriteit Persoonsgegevens (AP), publiceerde al een aantal jaar geleden een handleiding voor het privacy vriendelijk instellen van Google Analytics. Die handleiding is nu geüpdatet met een bericht dat de AP naar aanleiding van twee klachten het gebruik van Google Analytics in Nederland onderzoekt. De AP schrijft dat zij begin 2022 aan zal geven of het gebruik van Google Analytics is toegestaan of niet. To be continued!

Meer informatie of vragen?

Mocht u naar aanleiding van dit bericht vragen hebben, aarzel dan niet om contact op te nemen met Caro Mennen via caro.mennen@pellicaan.nl of een van de andere leden van het privacy team.