Vad betyder IMYs beslut om Google Analytics?

Vi står inför en ny tid inom digital analys, där integritet och dataskydd är i förgrunden. Detta bekräftades nyligen när Integritetsskyddsmyndigheten (IMY) i Sverige beslutade om användandet av Googles analysverktyg, Universal Analytics (UA).

Vad som har hänt kring google analytics

Som ni kanske redan har noterat, kom det nyligen fyra domar från IMY, som rör användningen av Universal Analytics. Företagen CDON, COOP, Tele2 och Dagens Industri har alla fått uppmaningar att ta bort Universal Analytics från sina webbplatser. CDON och Tele2 har båda fått böter, 300 000 kr resp. 12 000 000 kr,  medan COOP och DI inte behöver betala böter då de anses ha ansträngt sig mer för att följa reglerna.

Det huvudsakliga skälet till dessa domar är att Google har en del av sina servrar i USA, ett land som inte anses ha tillräckligt skydd för personuppgifter. I USA kan myndigheterna begära ut data godtyckligt.

Hur det påverkar er som företag

Hur påverkar det här dig som har en sajt och använder Google Analytics? Ett första snabbt och konkret steg alla kan ta är att ta bort UA-taggar från sina webbplatser. Det är en enkel men nödvändig åtgärd, eftersom Universal Analytics, trots Googles tidigare uttalanden, fortfarande verkar samla in data.

Många har redan gått över till Googles senaste version, Google Analytics 4 (GA4). GA4 skiljer sig från UA på några viktiga sätt. GA4 sparar inte IP-adresser, och europeiska data lagras på servrar i Europa. Men det är fortfarande oklart om detta räcker för att uppfylla de europeiska dataskyddskraven. 

Uppgradera till Ga4 eller byt till Matomo

En fransk domstol har till exempel fastslagit att GA4 fortfarande bryter mot reglerna, eftersom amerikanska myndigheter även kan begära ut data lagrad på europeiska servrar. Med tanke på detta kan det vara klokt att överväga alternativ till GA4. Vi hjälper gärna till att implementera Matomo, ett analysverktyg som drivs av ett europeiskt företag och därmed inte påverkas av samma problem.

Detta beslut från IMY följer en liknande trend som vi sett i länder som Norge, Danmark och Frankrike. Frågan om GA4 ännu inte har prövats fullt ut, och det är svårt att säga med säkerhet hur IMY kommer att bedöma det. Men givet likheterna med UA, kan det vara rimligt att förvänta sig liknande konsekvenser för GA4.

Det är viktigt att notera att dessa frågor uppstod från klagomål som samordnades av intresseorganisationen NOYB under hösten 2020. De syftade till att utvärdera hur användningen av Google Analytics stod i ljuset av den då färska Schrems II-domen.

Vad sker framåt inom området

Som sammanfattning kan vi säga att IMY följer den riktning som lagts ut av andra dataskyddsmyndigheter. De konstaterar att skydd av IP-adresser inte ensamt är en tillräcklig åtgärd för att fortsatt kunna använda verktyget lagligt, särskilt om andra unika identifierare samlas in.

Det är också värt att hålla ett öga på EU-kommissionens kommande beslut om USA:s nivå av dataskydd, vilket kan påverka bedömningen av Google Analytics ytterligare.
Vi står inför en tid av osäkerhet, men vårt bästa råd just nu är att fortsätta anpassa oss till förändringarna, hålla oss informerade och vidta de åtgärder som behövs för att skydda både oss själva och våra kunders data.

Vi är ödmjuka inför det faktum att detta är ett komplext och snabbt föränderligt landskap, och det finns inga enkla eller definitiva svar. Men som alltid är vi här för att stödja och vägleda er genom dessa förändringar. Här kan ni läsa mer och kontakta oss om ni vill ha stöd eller råd.

Källa: IMY