źródło: unsplash.com

Wygląda na to, że przyszłość Google Analytics w Europie stoi pod znakiem zapytaniem. Wszystko za sprawą wydanej niedawno decyzji organu nadzorującego ochronę danych osobowych, w której uznano, że korzystanie z narzędzia jest niezgodne z RODO. Jakie może mieć to konsekwencje dla użytkowania narzędzia w innych państwach i co mogą w tej sytuacji zrobić marketerzy?

Decyzja austriackiego organu

Wprowadzenie w 2018 roku RODO wiązało się z wieloma istotnymi zmianami w kwestii ochrony danych osobowych i wymagało m.in. dostosowania sposobu zbierania zgód na komunikację i do celów marketingowych. Rozporządzenie wprowadziło także ograniczenia dotyczącymi transferu danych i dodatkowymi klauzulami.

W 2020 roku Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł, że usługi w chmurze hostowane w Stanach Zjednoczonych są niezgodne z RODO i obowiązującymi w UE przepisami. Jest to związane z faktem, że władze amerykańskie mogą zażądać od firm amerykańskich przekazania danych osobowych, w tym również użytkowników z UE.

Z kolei w 2020 roku do Europejskiego Inspektora Ochrony Danych wpłynęła skarga w związku z domniemanym naruszeniem art. 68 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725.  Jak czytamy w analizie noyb, w sierpniu 2020 roku składający skargę odwiedził portal o tematyce zdrowia, który prowadziła austriacka firma, będąc zalogowanym do swojego konta Google. Strona korzystała z systemu Google Analytics (dostarczanego przez Google LCC), a wedle informacji znajdujących się na stronie, dostawca i Google zawarli standardowe klauzule umowne dotyczące przenoszenia danych. Kilka dni później użytkownik, reprezentowany przez noyb, złożył skargę zarówno na dostawcę strony internetowej, jak i Google wskazując na naruszenie związane z przekazaniem danych osobowych do Google LCC i naruszeniu art. 44.

W styczniu tego roku, ponad półtora roku od wyroku TSUE, austriacki organ ochrony danych (Datenschutzbehörde, DSB) uznał, że austriaccy dostawcy stron korzystający z Google Analytics naruszają RODO. Oznacza to, że muszą oni zaprzestać korzystania z tego systemu.

Decyzja ta jest bardzo istotna z punktu widzenia wszystkich biznesów i marketerów korzystających z tego systemu analitycznego.

źródło: unsplash.com

Czy możemy spodziewać się kolejnych decyzji?

Decyzja austriackiego organu to najprawdopodobniej dopiero początek. Honorowy przewodniczący noyb.eu, Max Schrems, wskazał, iż spodziewa się stopniowego zapadania decyzji w kolejnych państwach Unii Europejskiej, gdyż złożono 101 skarg.

Podobny rozwój sytuacji przywiduje Agnieszka Grzesiek-Kasperczyk, radca prawny z kancelarii MyLo, która zwraca również uwagę na dochodzenie trwające w Holandii.

Agnieszka Grzesiek-Kasperczyk

Z całą pewnością podobne rozstrzygnięcia zapadną w innych krajach UE, gdyż organizacja noyb złożyła analogicznych 101 skarg w różnych państwach. Należy się spodziewać, że organy w innych państwach podzielą argumenty organu austriackiego. Zapowiedź podobnego orzeczenia zamieścił już zresztą Holenderski Urząd ds. Danych Osobowych na swojej stronie www. Co więcej, na początku stycznia 2022 r. Europejski Inspektor Ochrony Danych wydał decyzję stwierdzającą, że przepisy RODO naruszał także Parlament Europejski, stosując m.in. GA na jednej ze swoich stron.

Jak wspomniała ekspertka, na stronie holenderskiego organ ochrony danych (Autoriteit Persoonsgegevens) pojawiła się informacja dotycząca Google Analytics i tego, że organ bada obecnie skargi dotyczące korzystania z GA w Holandii. Podobne wieści pojawiły się także z Francji – gdzie, jak podaje Euroactiv, organ nadzoru danych został poproszony o sprawdzenie, czy narzędzie jest zgodne z prawem europejskim.

źródło: shutterstock.com

Co dalej? Możliwe scenariusze

Z obecnie posiadaną wiedzą możemy przewidywać różne kierunki rozwoju tej sytuacji. Dorota Kika, Senior SEM Specialist w DevaGroup, uważa, że jednym z nich mogłoby być po prostu fizyczne przeniesienie serwerów na teren Unii Europejskiej. Wówczas dane nie będą przesyłane do krajów trzecich. Jeśli jednak z jakiegoś powodu byłoby to niemożliwe, w opinii ekspertki mogą wydarzyć się dwa scenariusze – mniej i bardziej pesymistyczny.

Dorota Kika

Razem z orzeczeniem pojawił się szereg rozważań odnośnie legalności GA oraz kolejnych działań, jeśli tej legalności nie uda się zapewnić. Przy założeniu, że problemem jest fizyczna obecność serwerów przechowujących dane na terenie USA, rozwiązaniem jest przeniesienie tychże serwerów na teren Unii Europejskiej. Wydaje się, że dla takiego giganta, jakim jest Google, nie będzie to problemem. Chyba, że pojawią się kolejne przeszkody natury prawnej. Jeśli taki stan rzeczy będzie obowiązywał długo, to będziemy mieć do czynienia z dwoma scenariuszami:

1) Masowe odejście od Google Analytics,

2) Czekanie na rozwój wypadków i zgodne z prawem rozwiązanie, które prędzej czy później się pojawi.

Pierwszy wariant wydaje się o tyle trudny, że nie każdy właściciel strony wie, w jaki sposób odpiąć GA. Taki proces europejskiego exodusu mógłby trwać kilka miesięcy. Jeśli jednak właściciele stron zdecydują się na pełną i ostateczną rezygnację z Google Analytics, to większym problemem będzie to dla agencji reklamowych lub analityków webowych, którzy z dnia na dzień utracą dostęp do danych i informacji. Wydaje mi się, że Google nie dopuści do takiej sytuacji i przeniesie swoje serwery lub wymyśli takie rozwiązanie, które nie będzie wymagać przesyłania danych poza teren Unii Europejskiej. Jeśli jednak założymy wariant pesymistyczny (analityczny exodus) to alternatywą (dla właścicieli stron, ale już nie dla Google) będzie przeniesienie się na inne systemy analityczne, które są bardziej legalne w świetle prawa UE.

Artur Pajkert, head of marketing w cyber_Folks również wskazuje na kilka możliwych wariantów. Jeden z nich przewiduje, że Google rozwiąże sam ten problem, wprowadzając dodatkowe warunki lub umożliwiając konfigurację usługi.

Artur Pajkert

Czarny scenariusz zakłada, że z usługi w ogóle nie będzie można legalnie korzystać. Wariant pośredni, który sobie wyobrażam, jest taki, że korzystanie z GA będzie możliwe po spełnieniu dodatkowych warunków, np. pozyskaniu dodatkowych zgód od użytkownika strony.

Istnieje także możliwość, że problem przekazania danych poza UE rozwiąże sama firma Google w ten sposób, że zapewni możliwość skonfigurowania usługi tak, aby dane zawsze pozostawały w obszarze UE.

Alternatywy dla Google Analytics

System od Google jest bardzo znany, jednakże możemy znaleźć wiele alternatyw, które pozwalałyby na analitykę i były zgodne z RODO, o czym wspomina ekspert z cyber_Folks.

Mimo że Google Analytics to niekwestionowany lider analityki webowej, wcale nie znaczy to, że nie ma innych rozwiązań. Gdyby w orzecznictwie utrwaliła się linia zakazująca stosowania GA w formie, jaką znamy, to warto pamiętać, że istnieją także inne sposoby mierzenia ruchu na stronach www.

Wielu dostawców hostingu zapewnia też dostęp do Webalizera, choć to niestety tylko proste, oparte o logi serwera zestawienia. Na szczęście jeszcze istnieje Piwik PRO. Ciekawe, czy tu nie powstają żadne obiekcje prawne, bo usługa jest opisywana jako przyjazna prywatności. Warto pamiętać o bardzo prostym Matomo – to oprogramowanie, które można zainstalować na tym samym serwerze, co stronę www, więc dane nie wędrują na zewnątrz.

Mimo to trzymam kciuki za to, żebyśmy my – marketerzy – mogli dalej korzystać z GA!

W obliczu ostatnich zdarzeń warto przyjrzeć się innym opcjom dostępnym na rynku. Tomasz Wileński, CEO iSlay, przewiduje, że jeśli korzystanie z Google Analytics będzie niezgodne z prawem, na rynku znajdziemy wiele innych rozwiązań, w tym polskich, w których zebrane dane należą do właściciela strony.

Tomasz Wileński

źródło: shutterstock.com

Co mogą zrobić firmy i marketerzy?

Z pewnością wiele osób zastanawia się, czy w obecnej sytuacja można podjąć jakieś kroki, aby uchronić się przed trudnościami w przyszłości. Powinniśmy czekać na dalsze wydarzenia lub już teraz zacząć działać? Agnieszka Grzesiek–Kasperczyk zaznacza, że rozwiązaniem jest korzystanie z narzędzi analitycznych nieprzekazujących danych za ocean.

Jako prawnik nie mogę zalecić firmom „czekania na rozwój wypadków”, gdyż byłoby to nawoływanie do naruszania prawa. Prawidłowym posunięciem w obecnej sytuacji jest stosowanie narzędzi analitycznych, które nie przekazują danych do USA. Na kompleksowe rozwiązanie problemu (np. stosowne zmiany w prawie amerykańskim albo usługę Google ulokowaną w UE) przyjdzie nam bowiem poczekać.

Radca prawny z kancelarii MyLo wskazuje, że jeszcze jednym rozwiązaniem stosowanie GA wyłącznie wobec użytkowników, którzy wyrazili na taką analitykę zgodę.

Zezwala na to art. 49 ust. 1 a) RODO. Jednak prosząc o taką zgodę, należy odpowiednio – kompleksowo i przejrzyście – poinformować użytkownika o ryzykach, które wiążą się dla niego z przekazaniem jego danych do USA. Należałoby zatem wyjaśnić przepisy amerykańskie, które zezwalają tamtejszym służbom na dostęp do danych osobowych obywateli UE. Takie zapytanie o zgodę w mojej opinii powinno być dodatkowym zapytaniem, odrębnym od obecnych najlepszych praktyk pozyskiwania zgód na cookies.

Jeśli zgodnie z przewidywaniami pojawią się kolejne decyzje dotyczące legalności o Google Analytics, z pewnością o nich usłyszymy. Na tę chwilę warto pomyśleć o alternatywach dla systemu od giganta z Mountain View oraz rozważyć zawężenie grupy, wobec której stosowany jest system.