Den 21. september 2022 udsendte Datatilsynet en pressemeddelelse om, at fortsat brug af Google Analytics uden supplerende foranstaltninger ikke ville være i overensstemmelse med GDPR. Da personoplysninger (som defineret i GDPR) i teorien kan overføres til Google-servere, der fysisk er placeret i USA, skal supplerende foranstaltninger implementeres af virksomheder, der bruger Google Analytics. Dette gælder, uanset om den gamle version (Universal Analytics/UA) eller den nye version (Google Analytics 4) anvendes.
I øjeblikket har Google ingen indbyggede funktioner i nogen af disse to versioner, der fuldt ud forhindrer overførsel af personoplysninger. Google har i løbet af det sidste år tilføjet flere funktioner for at øge datakontrollen i Google Analytics 4 for at tilpasse sig GDPR-kravene, herunder en IP-anonymiseringsfunktion. I pressemeddelelsen udtalte Datatilsynet, at disse funktioner alene ikke forhindrer overførsel af personoplysninger til USA, og at en fortsat brug kræver yderligere foranstaltninger uden for Google Analytics.
Som Googles største partner er GroupM i daglig kontakt med Googles øverste ledelse om den aktuelle situation. Googles holdning er, at pressemeddelelsen fra Datatilsynet ikke er en afgørelse, men anses for at være retningslinjer. Selvom det ikke er op til GroupM at yde juridisk rådgivning, opfordrer vi alle annoncører til, som et første skridt, at vurdere deres virksomheds risikoprofil (som kan variere fra virksomhed til virksomhed og branche til branche) og overveje, om de skal handle med det samme – eller holde fast og vente.
Vente eller øjeblikkelig handling?
Google anbefaler annoncører at vente og ikke træffe forhastede beslutninger; problemet med personoplysninger, der sendes til servere i USA, vil automatisk blive løst med den kommende aftale om transatlantiske overførsler af personoplysninger (den transatlantiske aftale). Der er ingen fast dato for, hvornår den transatlantiske aftale træder i kraft, men når den er godkendt af Europa-Kommissionen vil dataoverførsler til USA, der er omfattet af aftalen, være i overensstemmelse med reglerne i henhold til GDPR. Denne artikel indikerer, at det amerikanske dekret om den transatlantiske aftale allerede kan blive offentliggjort inden for få uger, og at aftalen, når den er ratificeret af Europa-Kommissionen, kan være klar i marts 2023. Desuden forventes Google at tilføje flere funktioner for at øge datakontrollen yderligere.
Løsning #1
Dette er argumenter for at indtage en venteposition, hvilket illustreres af Løsning #1 på billedet nedenfor. Løsning #1 illustrerer status quo, hvor data sendes direkte til Google Analytics fra en annoncørs hjemmeside. Hvis data fortsat sendes til den gamle version af Google Analytics, bør det overvejes at migrere til den nye version, Google Analytics 4.
Løsning #2
Er en “server-side” løsning, som Datatilsynet nævner i pressemeddelelsen som en mulig løsning. Det indebærer ganske tekniske foranstaltninger, da det er baseret på en “proxyserver”, hvilket betyder at bruge en ekstra server, der pseudonymiserer oplysningerne før overførslen til Google Analytics, og derved overføres ingen personoplysninger til USA. Denne løsning er blevet kommunikeret som den bedste tilgang af andre europæiske databeskyttelsesmyndigheder, men løsningen vil ikke give det samme niveau af data og indsigt, og simple data, der viser, hvilken kampagneaktivitet eller publisher, der sendte brugere til annoncørens hjemmeside, vil ikke længere være tilgængelige. Derfor vil analyseværktøjet ikke længere være lige så effektivt, og det vil være vanskeligt at træffe samme niveau af informerede beslutninger baseret på de tilgængelige data.
Løsning #3
- a) finde en europæisk ejet analytics udbyder, der ikke opbevarer eller deler data i USA (nu eller i fremtiden) eller
- b) sende hjemmesidedataene til annoncørens eget data warehouse i stedet for en ekstern analytics udbyder. Fordelen ved et data warehouse er muligheden for at kombinere annoncørens historiske data med fremtidige data. Hvis der vælges et eksternt analytics værktøj, vil det sandsynligvis indebære at starte fra bunden, da der ikke vil være nogen historiske data tilgængelige. For mange annoncører kan et proprietært data warehouse og dashboard være en mere effektiv løsning. Dette kan også fungere som en midlertidig løsning, indtil den transatlantiske aftale er på plads.
Når aftalen er på plads, kan data indsamlet via dashboardet og gemt på EU-servere fødes ind i Google Analytics, så ”year on year” data til sammenligning stadig vil være tilgængelige. Udover forskellige user interfaces (UI) er de eneste forskelle i forhold til både den gamle og den nye version af Google Analytics, at aktiveringsfunktionerne (f.eks. remarketing) og den demografiske indsigt vil gå tabt. Alle andre funktioner vil stadig være mulige at tilgå. Vi har testet denne løsning internt med succes, så vi ved, at det er en mulig løsning, og vi kan også hjælpe dig i gang, hvis du vælger Løsning #3.
Uanset hvilken af de 3 løsninger, du finder bedst egnet og vælger at gå videre med, kan GroupM hjælpe med både teknisk rådgivning og implementering.
For yderligere information, se den officielle pressemeddelelse og Q&A fra Datatilsynet her:
https://www.datatilsynet.dk/english/google-analytics/use-of-google-analytics-for-web-analytics