Šā gada sākumā personas datu speciālisti intensīvi apsprieda ziņas par to, ka pērn decembrī Austrijas datu uzraudzības iestāde pieņēma lēmumu, ar kuru tā faktiski atzina, ka Google Analytics izmantošana ir pretrunā Vispārīgajai datu aizsardzības regulai (VDAR). Šā gada februārī līdzīgu lēmumu pieņēma arī Francijas datu uzraugs. Šajā rakstā pamodelēsim, kādas sekas šie lēmumi var atstāt uz pakalpojuma izmantotājiem – arī Latvijā.
Kādiem nolūkiem izmanto Google Analytics?
Google Analytics ir Google piedāvāts un uzņēmēju plaši izmantots pakalpojums, ar kura palīdzību ir iespējams iegūt datus par lietotāju apmeklējumiem, kas ļauj tīmekļa vietņu vai lietotņu īpašniekiem analizēt, kā cilvēki izmanto viņu vietni vai lietotni, kuras sadaļas tiek apmeklētas visbiežāk, liecinot par lielāku interesi u.tml.
Lai šo pakalpojumu varētu nodrošināt, Google izmanto sīkdatņu komplektu, kas faktiski katram apmeklētājam piešķir unikālu identifikatoru. Eiropas datu uzraugi uzskata, ka tas satur personas datus, tāpēc ar īpašu piesardzību vērtē to, ka Google pārsūta šādu informāciju uz ASV, jo tur nodrošinātais personas datu aizsardzības līmenis ir daudz zemāks par Eiropas standartiem.
Kāpēc uzraugi tā lēma?
Eiropas Digitālo tiesību centrs (NOYB), kura viens no izveidotājiem ir zināmais Makss Šrems (Max Schrems), ir sagatavojis vairākas sūdzības par neatbilstošu personas datu apstrādi. Tās ir iesniegtas visās ES/EEZ dalībvalstīs pret 101 Eiropas uzņēmumu, kuri datus par katru apmeklētāju pārsūta Google vai Facebook. NOYB pārstāvji uzskata, ka, ņemot vērā Eiropas Savienības Tiesas nolēmumu t.s. Schrems II lietā, personas datu nosūtīšana uz ASV nav pieļaujama, jo netiek nodrošināta pietiekama nosūtīto personas datu aizsardzība.
Pēc Schrems II sprieduma daudz tika runāts par to, kādi drošības pasākumi būtu ieviešami, lai personas datu nosūtīšanu ārpus ES/EEZ uzskatītu par pietiekami aizsargātu. Eiropas Datu aizsardzības kolēģija sniedza rekomendācijas par veicamajiem pasākumiem, tika izstrādāta jauna redakcija standarta klauzulām, veikti citi pasākumi un sniegti skaidrojumi, kuriem bija jāpalīdz uzņēmumiem, kas sūta personas datus ārpus ES/EEZ, nodrošināt atbilstošus pasākumus. Tomēr NOYB uzskata, ka Google un Facebook joprojām pārkāpj VDAR prasības, tāpēc nav attaisnojama to uzņēmumu rīcība, kuri, piemēram, brīvi sniedz personas datus Google, izmantojot Google Analytics pakalpojumu.
Gan Austrijas, gan Francijas uzraugi analizēja, vai, nosūtot ar Google Analytics palīdzību iegūtos personas datus uz ASV, Google spēj tiem nodrošināt atbilstošu aizsardzību. Abi uzraugi secināja, ka, pat neskatoties uz Google ieviestajiem papildu aizsardzības pasākumiem un standarta klauzulu izmantošanu, personas datiem netiek nodrošināta adekvāta aizsardzība, tāpēc personas datu nosūtīšana uz ASV nav attaisnojama. Tas faktiski nozīmē, ka uzņēmumi, izmantojot Google Analytics pakalpojumu, pārkāpj VDAR prasības.
Kādas varētu būt sekas?
Tā kā NOYB sūdzības ir iesniegtas vairākās ES dalībvalstīs, sagaidāms, ka līdzīgus secinājumus drīzumā apstiprinās arī citu uzraugu lēmumi. Tas ir īpaši sagaidāms tāpēc, ka Francijas uzraugs pirms sava lēmuma pieņemšanas sadarbojās ar pārējiem Eiropas uzraugiem.
Visticamāk, Google būs jālemj, vai tādu pašu pakalpojumu apjomu un kvalitāti ir iespējams nodrošināt, ja Google Analytics apstrādās anonimizētus vai pseidonimizētus datus. Varbūt Google spēs ieviest tādus aizsardzības pasākumus šim pakalpojumam, kas Google ļaus bez bažām sūtīt personas datus uz ASV.
Katrā ziņā lēmumu pieņemšana vai papildu aizsardzības pasākumu ieviešana noteikti prasīs laiku, tāpēc jau šodien uzņēmumiem būtu jāizvērtē, vai turpināt izmantot Google Analytics pakalpojumus esošajā formātā, lai nepārkāptu VDAR prasības un nesaņemtu sodu. Papildus iesakām uzņēmumiem pievērst pastiprinātu uzmanību citiem personas datu apstrādes procesiem, kuru ietvaros personas dati var tikt nosūtīti ārpus EEZ. Tas notiek ne tikai Google Analytics izmantošanas gaitā, bet arī tad, ja uzņēmums, piemēram, sniedz pakalpojumus citiem grupas uzņēmumiem, kuri atrodas ārpus EEZ, vai ja grupas uzņēmumi izmanto vienas datubāzes u.tml.
