De Franse autoriteit voor gegevensbescherming (CNIL) heeft vorige week met de vuist op tafel geslagen: Het gebruik van Google Analytics is in strijd met de GDPR-regelgeving.
In het persbericht concludeert de CNIL dat de doorgifte van data naar de Verenigde Staten niet voldoet aan de europese standaard op het gebied van AVG. De CNIL verwijst naar de gecoördineerde inspanning van de EU-landen om collectief consequenties te trekken uit het "Schrems 2"-arrest van het Hof van Justitie van de Europese regering. Het bericht komt een paar weken na een soortgelijke verklaring van de DSB (de Oostenrijkse waakhond).
Het is het tweede EU-land dat openlijk de schending van artikel 44 van de GDPR-overeenkomst door Google erkent en onderstreept. Wij voorzien dat andere landen dit voorbeeld zullen volgen in de komende maanden.
CNIL: Google Analytics is in strijd met GDPR-regelgeving
Hoewel het enige tijd heeft geduurd voordat de toezichthouders in actie kwamen (het onderzoek dateert alweer van augustus 2020), lijkt het momentum nu daar te zijn. Nadat de DSB vorige maand zijn verklaring publiceerde, bracht de CNIL het nieuws vorige week naar buiten.
In onze eerdere blog, waarin we ingaan op de beslissing van het DSB om het gebruik van Google Analytics ongeldig te verklaren, analyseren we de onderliggende oorzaak van deze reacties.
In het kort komt het erop neer dat de GPDR-wetten van de EU gegevensbescherming voor haar burgers eist. De VS houden zich echter niet aan dezelfde richtlijnen. Zij bieden niet-Amerikaanse burgers geen enkele mogelijkheid om te weten hoe hun gegevens worden verwerkt of gebruikt worden. Als reactie hierop zegt de CNIL nu dat gegevensoverdrachten naar de VS alleen kunnen plaatsvinden als passende garanties worden geboden. Momenteel is dit niet het geval.
Hoe ziet de toekomst eruit?
De tweede domino is gevallen. Frankrijk is het tweede EU-land geworden dat het gebruik van Google Analytics openlijk ongeldig heeft verklaard. In hun verklaring sprak de CNIL over een gecoördineerde inspanning van meerdere EU-landen. We verwachten dat in de komende maanden meer EU-landen dit voorbeeld zullen volgen.
Hoewel Google maatregelen heeft genomen om de overdracht van gegevens beter te reguleren, is dit niet voldoende geweest, omdat ze nog steeds niet uitsluiten dat deze gegevens toegankelijk zijn voor Amerikaanse inlichtingendiensten
Tot dusver is niet bekend of de CNIL de websitebeheerder in kwestie een boete heeft opgelegd. Wel heeft zij een ultimatum gesteld. De website-exploitant heeft een maand de tijd om zich aan de wetgeving inzake gegevensbescherming te houden of een alternatieve aanbieder van webanalyses te vinden. In de tussentijd werkt de CNIL aan een lijst van aanbevelingen om Google Analytics te vervangen door alternatieven die aan de wet voldoen, zoals Simple Analytics.
Simple Analytics
Toekomstbestendigheid is van essentieel belang voor ieder bedrijf. Overstappen naar een privacy-first alternatief van Google Analytics is hier onderdeel van (vooral als EU-bedrijf). Give us a try.