Jak donoszą openmarketing.cloud oraz matomo.org na swoich stronach, Google Analytics od kilku tygodni jest nielegalny w 2 krajach UE – w Austrii oraz we Francji.

CNIL (Commission nationale de l’informatique et des libertés) – francuska agencja ochrony danych osobowych, stwierdziła, że korzystanie z Google Analytics jest nielegalne w świetle GDPR. Kilka tygodni temu taki sam krok wykonał austriacki Urząd Ochrony Danych Osobowych („Datenschutzbehörde” lub „DSB” lub „DPA”). DSB jako pierwszy ogłosił, że austriaccy dostawcy stron internetowych korzystający z Google Analytics naruszają GDPR. Teraz wygląda na to, że różne europejskie organy ochrony danych doszły do tego samego wniosku, że korzystanie z Google Analytics jest w UE nielegalne.

Zasada ta ma swoje źródło w 2020 r., kiedy to Trybunał Sprawiedliwości Unii Europejskiej (TSUE) stwierdził, że usługi w chmurze hostowane w USA nie są zgodne z GDPR i unijnymi przepisami dotyczącymi prywatności. Amerykańskie przepisy dotyczące nadzoru wymagają od amerykańskich dostawców (takich jak Google czy Facebook) przekazywania danych osobowych władzom USA.

Był to koniec tzw. tarczy prywatności (Privacy Shield), systemu, który pozwalał na przekazywanie danych z UE do firm amerykańskich, które uzyskały certyfikat. Google Analytics i inne amerykańskie usługi naruszają artykuł 44, który zabrania przekazywania danych osobowych poza UE, chyba że kraj otrzymujący dane może udowodnić, że zapewnia odpowiednią ochronę danych. Zgodnie z GDPR dane osobowe obejmują szereg identyfikatorów, w tym adres e-mail, rasę, płeć, numer telefonu, by wymienić tylko kilka z nich, ale mniej oczywiste identyfikatory obejmują adresy IP lub identyfikatory plików cookie, identyfikatory urządzeń i inne.

Wiele firm w UE zdawało się ignorować tę sprawę. W końcu sprawa trafiła zarówno do austriackich organów ochrony danych, jak i do francuskiego CNIL. CNIL rozpoczął wydawanie formalnych zawiadomień dla administratorów witryn korzystających z Google Analytics.