Autoriteit Persoonsgegevens (AP) waarschuwt voor Google Analytics

Donderdagmiddag is op de website van de AP een belangrijke melding over Google Analytics verschenen. De reden daarvoor is eerder die dag bekend geworden. De Oostenrijkse AP heeft namelijk vastgesteld dat Google Analytics onverenigbaar is met de AVG.

Belangstelling

De belangstelling in de Nederlandse pers voor deze opmerkelijke uitspraak is nog gering. Oostenrijk lijkt ver weg te liggen en dichter bij huis zijn er vraagstukken die de nodige aandacht vergen.

Anderen is deze uitspraak weg opgevallen. Juristen en privacydeskundigen hadden deze zaak al op de agenda staan. Dat de uitspraak deze richting uit zou gaan was deels te verwachten. Deze professionals hebben nu de handen vol aan het bestuderen van de beslissing en het vertalen.

Klanten informeren

Men moet nu de klanten gaan informeren over het gebruik van Google Analytics. De beslissing die in Oostenrijk is gevallen betreft EU wetgeving en het is uitgesloten dat elders in de EU de toezichthouders tot een andere conclusie zullen komen.

Waarschuwing AP

Daarom is het ook dat de Nederlandse Autoriteit Persoonsgegevens (AP) nu een waarschuwing voor Google Analytics op de website heeft staan. Want een ding is nu al duidelijk. GA “het programma” zelf staat zo te zien niet te discussie. Het gebruik ervan wel. Volgens BOYD dat de zaak in Oostenrijk aan het rollen heeft gebracht is het gebruik zonder enig voorbehoud illegaal.

Grasduinen

Belangrijkste reden voor dat harde oordeel is dat ondanks de maatregelen die Google zegt te hebben genomen de Amerikaanse overheid nog steeds toegang heeft tot die data. Daarmee kunnen ontelbaar vele Amerikaanse ambtenaren grasduinen door persoonsgegevens van EU burgers. Die toegang was indertijd ook de reden Safe Harbor en daarna Privacy Shield af te schieten.

Wat betekent dit concreet?

De grote vraag is natuurlijk, wat betekent dit voor IT dienstverleners. De kans is groot dat zij op twee of drie manieren met het onderwerp te maken hebben. Zij nemen goederen en diensten af. Bij het online bestel proces worden ze waarschijnlijk met GA gevolgd. De kans is groot dat ze voor de eigen website ook GA gebruiken. En als ze nog wat website beheer voor klanten doen,dan hebben ze daar mogelijk GA aangezet.

Dat eerste kunnen ze niet oplossen en daar zijn we ook niet verantwoordelijk voor. Die twee andere implementaties van Google Analytics wel en daarom doen ze er goed aan de melding op de website van de Autoriteit Persoonsgegevens (AP) te lezen.