Artikler

Datatilsynet har netop meldt ud, at de er enige i kendelserne fra Frankrig og Østrig og har nu har lavet en vejledning, som erklærer Google Analytics implementeringer ulovlige, medmindre man tager sig forholdsregler. Det fremgår ikke eksplicit af vejledningen, om der er tale om både GA4 og Universal Analytics, men ifølge IIH, som er Google-partnere og dermed kan forventes at have noget insider-viden, gælder afgørelsen kun for Universal Analytics. Dog er det forventeligt, at Datatilsynet vil nå frem til samme konklusion angående GA4 i fremtiden. Det grundlæggende juridiske problem er, at dataoverførselsaftalen mellem EU og USA er kendt ugyldig på grund af amerikansk lovgivning, som giver retshåndhævende institutioner ret til at tilgå data på amerikanske servere. Siden Google Analytics hoster deres data på amerikanske servere, vil data om EU-borgere dermed kunne ende i hænderne på institutioner, som ved hjælp af denne data kan profilere dem og spore deres adfærd på nettet.

Det er en situation, vi har været opmærksomme på godt kunne opstå, men vi forventede, at de juridiske problemer ville blive løst imellem EU og USA, eller at Google Analytics ville blive færdig med at rykke deres data til servere i EU, da der var meldinger om at begge dele var godt på vej.

1. Stop med at tracke adfærd på sitet

Hvis ikke data er en prioritet, og man ikke vil investere tid og energi i at lovliggøre nuværende installation eller skifte den ud, kan man i al simpelhed slukke for Google Analytics og lade være med at tracke på sitet.

Denne løsning vil kun være en mulighed for et meget lille fåtal, hvor værdien af data er for lav, i forhold til arbejdet der skal til for at udskifte- eller lovliggøre opsætningen.

2. Lovliggørelse af Google Analytics

For de første kan man slukke for sin Universal Analytics og udelukkende bruge GA4. Da vejledningen ikke gælder for begge platforme, vil det letteste første skridt være at undlade at bruge den platform, som den omhandler. Siden vi højst sandsynligt kan forvente samme afgørelse for GA4 i fremtiden, vil næste logiske skridt være at tage sig forholdsregler for denne platform også. En af de vigtigste punkter i Datatilsynets kendelse er, at de ikke fuldt ud erklærer Google Analytics ulovligt, men i stedet siger at en opsætning uden ”supplerende foranstaltninger” er ulovligt under GDPR. Der er forskellige måder at træffe disse supplerende foranstaltninger på, men den mest oplagte er at opsætte en ”mellemstation” imellem dit site og Google Analytics servere i USA. Denne mellemstation består af et script på en server, som kan anonymisere- eller pseudonymisere de problematiske dele af den indsamlede adfærdsdata, inden den bliver sendt videre til amerikanske servere. Det er også denne løsning Datatilsynet selv refererer til som en ”reverse proxy”-løsning.

Denne løsning er værd at vælge, hvis adfærdsdata er vigtig for din virksomhed, du allerede har investeret mange ressourcer i Google Analytics og især hvis du gør meget brug af Googles markedsføringsværktøjer. Hvis dette er tilfældet, kan opgaven med at skulle skifte platformen ud være for kompleks en opgave til, at det kan betale sig, og det er samtidig ikke en mulighed at undvære data i en længere periode. Hvis denne løsning er interessant for dig, har vi allerede udviklet en løsning til opsætning af reverse proxy, enten i en cloud platform eller on-premise, og fået den grundigt vurderet af en advokat med speciale i GDPR.

3. Udskiftning af platform

Den sidste mulighed er at udskifte Google Analytics med en fuldt ud compliant platform, hvilket også beskrives som en mulighed i Datatilsynets kendelse: ”Hvis det ikke er muligt at træffe effektive supplerende foranstaltninger, skal man holde op med at bruge værktøjet og eventuelt finde et andet værktøj, der kan levere webstatistik, og som giver mulighed for at overholde databeskyttelsesreglerne, fx ved ikke at overføre oplysninger om de besøgende til usikre tredjelande.” Der findes en hel del af disse f.eks Piwik Pro, Matomo, Snowplow og PostHog, som alle har deres fordele og ulemper. Personligt foretrækker vi Piwik Pro, da denne har et overskueligt interface og næsten lige så meget funktionalitet som Google Analytics. Hvis man er i tvivl om dens lovlighed, kan vi fortælle, at det er den løsning EU-kommissionen selv bruger. Denne løsning vil give mening for dig, hvis du ikke har investeret store summer i din nuværende opsætning, men stadig får nok værdi fra din adfærdsdata til, at du vil investere i opsætningen af en ny platform. Ydermere er dette en mere sikker løsning med hensyn til GDPR-compliance, så hvis din virksomhed arbejder med særligt følsomme personoplysninger, vil dette også være den oplagte mulighed. Dog er det værd at have med i overvejelserne, at disse værktøjer ikke er lige så velintegrerede med Googles suite af markedsføringsværktøjer, så hvis man investerer meget i digital annoncering, er dette en risikofaktor der er værd at overveje.

For det første gælder det om at slå koldt vandt i blodet. Som sagt vil de store GDPR-bøder i følge Datatilsynet selv, ikke blive udstedt indenfor de næste par uger, så din virksomhed er ikke udsat lige nu. Din virksomhed skal dog tage stilling til jeres tracking og lægge en plan for, hvad man vil gøre for at lovliggøre den.

Vi tager meget gerne snak med dig om muligheder for at løse lige netop dine udfordringer med situationen og finde den bedst mulige løsning!