Het is onduidelijk wanneer de Autoriteit Persoonsgegevens haar onderzoek naar Google Analytics openbaar maakt. Het nieuwe data-uitwisselingsverdrag tussen de EU en VS maakt de kwestie een stuk complexer. Tot slot is het aan bedrijven zelf om na te gaan of het statistiekprogramma voldoet aan alle eisen van de Algemene Verordening Gegevensbescherming (AVG).

Dat vertelt een woordvoerder van de toezichthouder tegenover Tweakers.net.

Europese toezichthouders: ‘Google Analytics in strijd met AVG’

Het gebruik van Google Analytics staat al enige tijd ter discussie. Afgelopen jaar concludeerde de Datenschutzbehörde (DSB) dat het gebruik van de analysetool van Google in strijd is met de Europese privacywetgeving. De Oostenrijkse toezichthouder was van mening dat de analysesoftware van Google voortdurend IP-adressen en cookiegegevens van internetgebruikers verzamelt en opslaat op servers in de VS.

De Noorse, Italiaanse en Franse privacywaakhond kwamen vorig jaar tot dezelfde conclusie. Websitebeheerders kunnen IP-adressen weliswaar maskeren, maar cookies maken het mogelijk om gebruikersdata te koppelen aan individuele gebruikers als zij zijn ingelogd op hun Google-account. Dat is in strijd met de Europese privacywetgeving, en dus illegaal.

“Hoewel Google verschillende maatregelen heeft opgesteld om dataverzending naar andere landen te reguleren, zijn deze niet voldoende om de toegang door Amerikaanse inlichtingendiensten te beschermen”, aldus de Franse toezichthouder CNIL.

Onderzoeksrapport AP nog altijd niet definitief

Vorig jaar mei rondde de Autoriteit Persoonsgegevens haar onderzoek af naar het gebruik van Google Analytics. De toezichthouder waarschuwde destijds dat het ‘mogelijk binnenkort’ niet langer is toegestaan om het programma van Google te gebruiken voor het bijhouden van websitestatistieken.

Inmiddels zijn we ruim een jaar verder en nog steeds kan de privacywaakhond niet zeggen wanneer het rapport openbaar wordt gemaakt. “Het Onderzoek Naar Google Analytics is afgerond en zit nu in de zogeheten ‘handhavingsfase’. In die fase wordt het hele onderzoek nagelopen, beoordeeld of terecht een overtreding is geconstateerd en of die overtreding inmiddels is beëindigd. Uiteindelijk wordt bepaald of een sanctie wordt opgelegd, en zo ja, welke”, zo zegt een woordvoerder tegen Tweakers.net.

De toezichthouder kan geen inschatting geven wanneer de conclusies van het onderzoek openbaar worden gemaakt.

Bedrijven en organisaties hebben grote eigen verantwoordelijkheid

De komst van een nieuw data-uitwisselingsverdrag tussen de EU en VS -het Data Privacy Framework– plaatst de zaak in een nieuw daglicht. Op basis van dit verdrag kunnen Europese bedrijven en organisaties persoonsgegevens van Europese burgers veilig doorgeven aan Amerikaanse bedrijven. Er hoeven geen aanvullende waarborgen geformuleerd te worden om hetzelfde beschermingsniveau voor persoonsgegevens als hier in Europa te bieden.

“De doorgifte van persoonsgegevens naar de VS via Google Analytics zou mogelijk zijn zonder extra maatregelen te nemen, als Google gecertificeerd is onder het Data Privacy Framework en Google Analytics in die certificering is inbegrepen. De Europese Commissie heeft namelijk besloten dat het Data Privacy Framework een ‘passend niveau van bescherming’ biedt voor persoonsgegevens van Europeanen”, aldus een woordvoerder van de toezichthouder.

Of dat ook geldt voor Google Analytics, zegt de Autoriteit Persoonsgegevens niet. Het is namelijk de taak van bedrijven en organisaties om na te gaan bij Google of het programma is gecertificeerd onder het Data Privacy Framework. “Ook al is de organisatie die die software uitgeeft gecertificeerd onder het Data Privacy Framework, het verwerken van persoonsgegevens via software kan pas als je zeker weet dat dat gebruik voldoet aan alle eisen van de AVG, niet alleen de eisen wat doorgifte betreft. De check of de inzet van bepaalde software voldoet aan de AVG, is de verantwoordelijkheid van het bedrijf dat die software inzet”, zo concludeert de Autoriteit Persoonsgegevens.