Съобщението е по повод жалбите на NOYB
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés CNIL, в сътрудничество със своите европейски колеги, анализира условията, при които данните, събрани чрез използването на Google Analytics, се прехвърлят в Съединените щати и рисковете, поети за засегнатите лица. Целта е колективно да се изследват последиците от решението „Schrems II“ на Съда на Европейския съюз от 16 юли 2020 г., което обезсилва Щита за поверителност. Съдът на ЕС подчерта риска американските разузнавателни служби да имат достъп до лични данни, прехвърлени на Съединените щати, ако трансферите не са правилно регулирани.
След като получава няколко жалби от асоциацията NOYB, CNIL заедно с други надзорни органи, анализира условията, при които данните, събрани с помощта на Google Analytics, се прехвърлят в Съединените щати. CNIL счита тези трансфери за незаконни и изисква от мениджъра на френския уебсайт да спазва GDPR и, ако е необходимо, да не използва повече този инструмент при настоящите условия.
Google Analytics е функционалност, която може да бъде интегрирана от мениджърите на уебсайтове като сайтове за онлайн продажби, за да се измери броят на посещенията на интернет потребителите. В този контекст на всеки посетител се присвоява уникален идентификатор. Този идентификатор (който представлява лични данни) и данните, свързани с него, се прехвърлят от Google към Съединените щати.
CNIL заключава, че преводите към Съединените щати не са достатъчно контролирани в момента. Всъщност, при липса на решение за адекватност (което да установи, че тази страна предлага достатъчно ниво на защита на данните по отношение на GDPR) относно трансферите към Съединените щати, прехвърлянето на данни може да се осъществи само ако са предоставени подходящи гаранции за този поток.
CNIL обаче установи, че това не е така. Всъщност, ако Google приема допълнителни мерки за регулиране на прехвърлянето на данни в рамките на функционалността на Google Analytics, те не са достатъчни, за да изключат възможността за достъп на американските разузнавателни служби до тези данни.
Следователно съществува риск за потребителите на френския сайт, които използват този инструмент и чиито данни се експортират.
CNIL отбелязва, че по този начин данните на интернет потребителите се прехвърлят в Съединените щати в нарушение на членове 44 и следващите от GDPR. Поради това той изпраща официално уведомление до мениджъра на сайта да приведе тази обработка в съответствие с GDPR, ако е необходимо, като преустанови използването на функционалността на Google Analytics (при настоящите условия) или като използва инструмент, който не води до прехвърляне извън ЕС. Въпросният мениджър на обект има един месец, за да се съобрази.
По отношение на услугите за измерване и анализ на аудиторията на уебсайт, CNIL препоръчва тези инструменти да се използват само за създаване на анонимни статистически данни , като по този начин позволяват освобождаване от съгласие, ако администраторът на данни гарантира, че няма незаконни трансфери. CNIL също така стартира програма за оценка, за да определи решенията, освободени от съгласие.
Други официални процедури за уведомяване са инициирани от CNIL срещу мениджъри на сайтове, използващи Google Analytics.
Разследването на CNIL и неговите колеги се простира и до други инструменти, използвани от сайтовете и които водят до прехвърляне на данни от европейски потребители на интернет към Съединените щати. Скоро могат да бъдат приети корективни мерки в това отношение.