Въпреки промените все още няма адекватно ниво на защита на личните данни на потребителите при трансфера на данни към САЩ
Уебсайт, използващ Google Analytics (GA) без предпазните мерки, посочени в GDPR на ЕС, нарушава закона за защита на данните, тъй като прехвърля потребителски данни в САЩ, което е страна без адекватно ниво на защита на данните.
Италианският надзорен орган за защита на личните данни (Garante per la protezione dei dati personali) стигна до това заключение след края на разследването, което започна в тясна координация с други органи на ЕС за защита на данните след получени жалби. Garante установява, че операторите на уебсайтове, използващи GA, събират чрез бисквитки информация за взаимодействията на потребителите със съответните уебсайтове, посетените страници и предлаганите услуги.
Сред многото събрани данни, e IP адресът на устройството на потребителя и информация, свързана с браузъра, операционната система, разделителната способност на екрана, избрания език, както и датата и часа на посещение на уебсайта. Установено е, че тази информация е прехвърлена в САЩ.
В резултат на тези разследвания Garante приема първата от серия мерки, с които предупреждава Caffeina Media Srl, като нарежда да се съобрази с GDPR в рамките на деветдесет дни. Този срок е счетен за подходящ, за да позволи на мениджъра на сайта им да приеме адекватни мерки във връзка с трансфера на данни.
Garante подчертава, че базираните в САЩ правителствени и разузнавателни агенции могат да имат достъп до прехвърляните лични данни без необходимите гаранции. В това отношение той посочва, че мерките, приети от Google за допълване на инструментите за прехвърляне на данни, не гарантират адекватно ниво на защита на личните данни на потребителите в светлината на насоките, предоставени от ЕКЗД чрез неговата Препоръка № 1/2020 от 18 юни 2021 г.
По този повод Garante насочва вниманието на всички италиански мениджъри на уебсайтове, публични и частни, към незаконността на трансферите на данни към САЩ в резултат на използването на GA. И приканва всички администратори на данни да проверят съответствието на методите за използване на бисквитки и други инструменти за проследяване, използвани на техните уебсайтове, с особено внимание към Google Analytics и други подобни услуги, със законодателството за защита на личните данни.
След изтичане на 90-дневния срок от решението, надзорният орган ще провери дали въпросните трансфери на данни са в съответствие с GDPR на ЕС, включително чрез ad hoc инспекции.
Историята на решението започва на 17 август 2020 г. с подаването на жалба до италианския надзорен орган относно прехвърлянето на данни към САЩ. Това е една от 101-те жалби на NOYB до няколко европейски надзорни органи.
А жалбата срещу Caffeina Media Srl е заради използването на Google Analytics. Когато жалбоподателят влязъл в сайта през имейл профил, личните му данни, са били прехвърлени в САЩ.
Жалбата беше подадена срещу Caffeina Media Srl и Google LLC (в САЩ), защото продължават тези трансфери на данни, въпреки че са в нарушение на GDPR .
IP адресът е лична информация и не може да бъде анонимизиран, дори ако бъде съкратен – предвид възможностите на Google да обогатява такива данни чрез допълнителна информация, която притежава.
Затова е пълно безобразие използването на Google Analytics от българските държавни институции.
Ето я НАП:
„Използваме Google Analytics като услуга за статистика за посещенията на уебсайта без да записваме каквато и да е персонална информация за вас. По този начин събираме информация за представянето на уебсайта и за начина, по който посетителите навигират в него и използват съдържанието му.“
А ето Министерството на електронното управление
и рубриката Изграждане на федерирани портали на администрации
Заслужават по една жалба за всяка институционална страница.