Det populære Google Analytics-værktøj forbydes i Danmark

Af Monica Petersen

Er du indehaver af en hjemmeside, bruger du med stor sandsynlighed også det gratis Google-værktøj, Google Analytics, til at tracke dine besøgende. Men det er nu officielt slut, efter Datatilsynet netop har meldt, at værktøjet ikke lever op til de europæiske GDPR-regler. I al fald ikke i sin normale form.

Reaktionen fra det danske datatilsyn har været ventet, efter både det østrigske, det italienske og det franske datatilsyn tidligere i år alle har truffet afgørelser, der fastsætter, at brugen af Google Analytics er ulovlig i EU. Og nu er den danske afgørelse altså også kommet: ”Reglerne i GDPR er lavet for at beskytte europæiske borgeres privatliv. Det betyder blandt andet, at man skal kunne besøge en hjemmeside, uden at ens oplysninger kan ende i de forkerte hænder. Vi har gennemgået mulighederne i Google Analytics nøje og er kommet frem til, at man ikke kan bruge værktøjet i sin nuværende form uden at træffe yderligere foranstaltninger,” siger Makar Juhl Holst, som er chefkonsulent i Datatilsynet.

Googles dataoverførsel er ikke sikker nok

Selvom Google i mellemtiden - efter det østrigske datatilsyns afgørelse tilbage i januar - har foretaget ændringer i forhold til de oplysninger, der kan indsamles, konkluderer Datatilsynet stadig, at Google Analytics ikke kan bruges lovligt i sin normale form.

Det skyldes, at værktøjet indsamler cookie-data, og at disse oplysninger sendes til USA, som er uden for EU, og som ifølge EU-Domstolens Schrems II-afgørelse fra 2020 er et usikkert tredjeland.
Denne afgørelse bygger blandt andet på det faktum, at USA har en lovgivning, der giver de amerikanske efterretningstjenester lov til at snage i EU-borgeres persondata, når den er i hænderne på virksomheder, der hører til i USA.

Når en hjemmeside i Europa tillader brugen af statistik-cookies på Google Analytics, indsamler Google således følsomme personoplysninger som IP-adresse og unikke online-ID fra den besøgende og sender oplysningerne til Googles moderselskab i USA.

Selvom Google har forsøgt at sikre en lovlig overførsel af cookie-data, har Datatilsynet altså ikke fundet foranstaltningerne gode nok i forhold til GDPR-reglerne i EU.

Hvad skal man så gøre?

Ønsker man fortsat at bruge Google Analytics til at indsamle data fra sin hjemmeside, er det nødvendigt at foretage nogle supplerende foranstaltninger. En mulig teknisk foranstaltning, som Datatilsynet selv foreslår, er det såkaldte pseudonymisering. Hvordan det gøres, har det franske datatilsyn lavet en vejledning til.

Det er dog vores vurdering, at det ikke giver mening at kaste ressourcer efter en sådan løsning, idet Google Analytics i Universal-udgaven under alle omstændigheder nedlægges pr. juni 2023.

Det er både Privacy Shield og Standard Contractual Clauses, der er blevet underkendt som overførselsgrundlag, og derfor er det vores vurdering, at den rigtige og mest fremtidssikrede løsning er helt at udskifte Google Analytics med et europæisk alternativ. Her findes der et par gode alternativer på europæisk jord, som blandt andre tæller Simple Analytics i Holland, Matomo i Tyskland eller Piwic Pro i Polen.

Hvad gør vi hos Komunikado?

Vi har gennem længere tid forberedt os på netop denne situation, og derfor har vi etableret en alternativ løsning, som vi kommer til at tilbyde både eksisterende og nye kunder. Det er en løsning, der er fuldt GDPR-compliant, og hvor vi sørger for, at alle relevante målinger er opsat og med mulighed for integreret Heatmap-tracking. 

Hos Komunikado står vi naturligvis altid til rådighed, hvis du gerne vil have tjekket op på, om din webside overholder alle GDPR-regler.