Værktøjet Google Analytics, som mange kommuner, virksomheder og organisationer har installeret på deres hjemmeside for at følge trafikken på siden, kan ikke benyttes lovligt uden videre.

Det fastslår Datatilsynet, som har set nærmere på værktøjet igen, efter at både det østrigske, det franske og det italienske datatilsyn i løbet af året har truffet afgørelser om det. I alle tilfælde fandt de, at brugen af Google Analytics under de givne omstændigheder ikke var lovlig.

Selv om sagerne er afgjort individuelt i de enkelte lande, er de samtidig blevet behandlet samlet i en arbejdsgruppe under Det Europæiske Databeskyttelsesråd ud fra et ønske om, at de fælleseuropæiske regler tolkes ens på tværs af EU/EØS.

- Reglerne i GDPR er lavet for at beskytte europæiske borgeres privatliv. Det betyder blandt andet, at man skal kunne besøge en hjemmeside, uden at ens oplysninger kan ende i de forkerte hænder. Vi har gennemgået mulighederne i Google Analytics nøje og er kommet frem til, at man ikke kan bruge værktøjet i sin nuværende form uden at træffe yderligere foranstaltninger, siger Makar Juhl Holst, chefkonsulent i Datatilsynet.

Siden afgørelsen fra Østrig i januar er Google begyndt at stille yderligere indstillinger til rådighed i forhold til, hvilke oplysninger der kan indsamles via værktøjet. Men konklusionen er stadig, at det ikke uden videre kan bruges lovligt, tilføjer han.

Stor usikkerhed

Normalt vil Datatilsynet hverken blåstemple eller forbyde bestemte produkter, siger Makar Juhl Holst.

- I kølvandet på vores europæiske kollegaers afgørelser har vi dog oplevet en stor efterspørgsel på konkret vejledning i forhold til lige præcis Google Analytics, og vi har derfor brugt kræfter på at undersøge dette specifikke værktøj nærmere, siger han.

Som tidligere omtalt på DK Nyt har der været stor tvivl og usikkerhed i kommunerne om værktøjet, især hvorvidt den databehandleraftale, som Google tilbyder, er tilstrækkelig til at opfylde GDPR-kravene.

Lovliggør eller hold op

Budskabet fra Datatilsynet til dem, der bruger Google Analytics, er nu, at man skal lægge en plan for at lovliggøre sin brug "ved at træffe supplerende foranstaltninger". Det kunne være såkaldt pseudonymisering, som det franske datatilsyn har lavet en nærmere vejledning til her.

Hvis det ikke er muligt at træffe effektive supplerende foranstaltninger, skal man holde op med at bruge værktøjet, konstaterer Datatilsynet lakonisk.

"Eventuelt kan man finde et andet værktøj, der kan levere webstatistik, og som giver mulighed for at overholde databeskyttelsesreglerne, fx ved ikke at overføre oplysninger om de besøgende til usikre tredjelande," lyder rådet fra Datatilsynet.

Datatilsynet erklærer populært værktøj ulovligt - som udgangspunkt