След жалба на NOYB глобиха с 1 милион евро телекомуникационния доставчик Tele2 и 300 000 шведски крони онлайн търговеца на дребно CDON
Шведският орган за защита на личните данни (IMY) провери как четири компании използват Google Analytics за статистика на посетителите. IMY глоби две от компаниите. Една от компаниите наскоро спря да използва статистическия инструмент по собствена инициатива, IMY нареди на останалите три също да спрат да го използват, пише в сайта на надзорния орган.
IMY извърши проверка на четири компании как прехвърлят лични данни в САЩ чрез Google Analytics, който е инструмент за измерване и анализ на трафика на уебсайтове. Прегледаните компании са CDON, Coop, Dagens Industri и Tele2. Одитите се отнасят за версия на Google Analytics от 14 август 2020 г.
Проверките се извършват след жалби на неправителствената организация None of Your Business (NOYB) в светлината на решението на Европейския съд (CJEU) по делото Schrems II. В жалбите се твърди, че компаниите в нарушение на закона предават лични данни на САЩ.
Съгласно GDPR, личните данни могат да бъдат прехвърляни на трети държави, т.е. държави извън ЕС/ЕИП, ако Европейската комисия е решила, че въпросната държава има адекватно ниво на защита на личните данни, което съответства на това в рамките на ЕС/ЕИП. Съдът на Европейския съюз обаче постанови чрез решението по делото Schrems II, че Съединените щати не могат да се считат за разполагащи с такова адекватно ниво на защита към момента на решението.
В одитите си IMY счита, че данните, прехвърлени към САЩ чрез статистическия инструмент на Google, са лични данни, тъй като данните могат да бъдат свързани с други уникални данни, които се прехвърлят. Надзорният орган също така счита, че техническите мерки за сигурност, които компаниите са предприели, не са достатъчни, за да осигурят ниво на защита, което по същество съответства на това, гарантираното в рамките на ЕС/ЕИП.
От факта, че IMY взе решение по тези случаи едновременно, става ясно какви са изискванията към техническите мерки за сигурност и други мерки при прехвърляне на лични данни към трета страна, в този случай САЩ, казват от надзорния орган.
Ако няма решение за адекватно ниво на защита от Европейската комисия, данните могат да бъдат прехвърлени въз основа на стандартни договорни клаузи, за които Европейската комисия е взела решение. Въпреки това, според Съда на ЕС, такива стандартни договорни клаузи може да се наложи да бъдат допълнени с допълнителни гаранции, ако е необходимо защитата, която клаузите са предназначени да осигурят, да се запази на практика.
И четирите компании са основали решенията си за прехвърляне на лични данни чрез Google Analytics на стандартни договорни клаузи. При проверките на IMY става известно, че нито една от допълнителните технически мерки за сигурност на компаниите не е достатъчна. IMY налага административна глоба от 12 милиона крони на Tele2 и 300 000 крони на CDON, който не е предприел същите сериозни защитни мерки като Coop и Dagens Industri. Tele2 наскоро спира да използва инструмента за статистика по собствена инициатива. IMY нарежда на другите три компании да спрат да използват инструмента.
„Тези решения имат отражение не само върху тези четири компании, но също така могат да предоставят насоки за други организации, които използват Google Analytics“, казват от надзорния орган.