Google Analytics zawsze wysyła dane do USA

Google Analytics nadal jest najpopularniejszym narzędziem internetowym do szpiegowania zachowań użytkowników.

Zaskakujące przyznanie się Google wyjaśniło jedną rzecz: wszystkie dane zbierane na stronie za pomocą Google Analytics są wysyłane do USA i tam przetwarzane. Za każdym razem.

Dlaczego Google to przyznało?

Początkiem była skarga złożona przeciwko Google przez organizację ochrony prywatności noyb do austriackiego organu nadzorczego. Organ skierował następnie do Google ponad 20 pytań.

Odpowiedzi Google były często wymijające, lekceważące i niepełne. Dość łatwo wyjaśnić, dlaczego firma podkreślała, że dane Google Analytics są przechowywane wyłącznie w USA. Wymaga to jednak krótkiego wprowadzenia.

Jaki był kontekst prawny?

Po wyroku Trybunału Sprawiedliwości UE dotyczącym Tarczy Prywatności, znanym jako „Schrems II”, USA uznawano za niebezpieczne państwo trzecie. Zgodnie z przedstawionym tutaj stanowiskiem przekazywanie danych osobowych do USA wymaga zgody.

Ruch na stronach wiąże się z przekazywaniem danych osobowych: sądy uznały adres sieciowy użytkownika, czyli adres IP, za dane osobowe.

USA uznawano za niebezpieczne państwo trzecie, ponieważ tamtejsze przepisy pozwalają władzom, w tym służbom wywiadowczym, uzyskiwać dostęp do danych amerykańskich firm. Jeśli taka firma przechowuje dane klientów z Niemiec, amerykańskie władze mogą do nich sięgnąć.

Uprawnienia do tajnego dostępu do danych wynikają przede wszystkim z ustawy FISA i zarządzenia wykonawczego 12333. W odpowiedzi dla organu Google twierdziło, że oba przepisy pozwalają uzyskiwać dostęp wyłącznie do danych przechowywanych poza USA.

Rozumowanie Google było więc następujące: przechowujemy wszystkie dane w USA, dlatego FISA i zarządzenie 12333 nie pozwalają uzyskać do nich dostępu. Zatem dane są u nas bezpieczne.

Ten argument nie jest trafny, ale być może to najlepsza obrona, na jaką Google mogło się zdobyć. Kreatywność takich wywodów zapewne ma coś wspólnego z wynagrodzeniami prawników firmy. Tak czy inaczej Google przyznało to, co wielu podejrzewało, lecz nie mogło udowodnić.

Czy dane są bezpieczne w USA?

Ważniejsze pytanie brzmi: czy dane wysyłane przez Google Analytics do USA i tam przechowywane są rzeczywiście bezpieczne?

Gdy osoba w Europie odwiedza stronę z Google Analytics, dane analityczne powstają w Europie. Google zbiera je za pośrednictwem serwera nazywanego kolektorem.

Kolektor odbiera dane z urządzenia i znajduje się, w miarę możliwości, blisko użytkownika. Następnie dane są wysyłane do USA.

Zbieranie danych odbywa się więc na całym świecie. FISA i zarządzenie 12333 umożliwiają amerykańskiej agencji wywiadowczej NSA prowadzenie tzw. upstream collection. Polega to na przechwytywaniu ruchu w kablu transatlantyckim, którym dane docierają do USA.

Można ironicznie zauważyć, że bez zgody jest to samo w sobie niezgodne z prawem. Osoby, których dane dotyczą, powinny też zostać poinformowane, co najwyraźniej nie następuje. RODO przyznaje im również m.in. prawo sprzeciwu. To kolejne pojęcie, którego NSA zdaje się nie znać.

Dlaczego Google Analytics wymaga zgody

Zgodnie z tym rozumowaniem już samo zbieranie danych na całym świecie i przekazywanie ich do USA wymagałoby zgody przed załadowaniem Google Analytics.

Opisana tutaj standardowa konfiguracja Google (Universal) Analytics używa cookies. Zgodnie z § 15 ust. 3 niemieckiej ustawy o telemediach (TMG) wymaga to zgody. Oto uzasadnienie:

• Google Analytics zapisuje i odczytuje cookies.
• Wartości cookies są wysyłane na serwery Google.
• Cookies nie są technicznie niezbędne: Google Analytics może działać także bez nich.
• Art. 5 ust. 3 dyrektywy ePrivacy wymaga zgody. Nie ma znaczenia, jakie informacje zawierają cookies — nie muszą to być nawet dane osobowe.
• Zgodnie z wyrokiem niemieckiego Federalnego Trybunału Sprawiedliwości z 28 maja 2020 r., sprawa I ZR 7/16 („Planet49”), TMG należy interpretować zgodnie z dyrektywą ePrivacy.

Ponadto zawarcie ważnej umowy powierzenia przetwarzania danych z Google może być niemożliwe, m.in. ze względu na podwykonawców rozsianych po świecie i możliwość, że usunięcie danych na żądanie potrwa dwa miesiące.

Łącznie daje to podstawy do przyjęcia ogólnego obowiązku uzyskania zgody na Google Analytics, nawet bez cookies.

Jak wyjaśnić przetwarzanie danych przez Google Analytics

Po przeczytaniu informacji Google o prywatności i warunków umownych Google Analytics możesz nadal niewiele wiedzieć. Treści są tak zawiłe, niejasne i porozrzucane po dokumentach, że przejrzyste wyjaśnienie wydaje się niemal niemożliwe.

Tymczasem art. 12 RODO wymaga przejrzystych i zrozumiałych informacji o przetwarzaniu danych przez Google Analytics.

Wnioski

Uzyskanie ważnej zgody na Google Analytics wydaje się trudne. Wyskakujące okna cookies nie tylko irytują — w praktyce większość nie spełnia wymogów prawa.

Z kolei używanie Google Analytics bez zgody wymagałoby rezygnacji z cookies. Jakość danych byłaby jednak wątpliwa, ponieważ narzędzie nie jest zoptymalizowane do takiego działania.

Narzędzia takie jak Trackboxx umożliwiają analizę odwiedzin z poszanowaniem prywatności. Bez cookies i istotnego wykorzystania fingerprintingu nie trzeba prosić o zgodę. Nacisk położono na prostotę obsługi, co nie jest mocną stroną Google Analytics: nawet po godzinach pracy z jego panelem możesz nadal nie rozumieć wszystkich funkcji.

Uważam też, że powinniśmy preferować niemieckich dostawców i jak najszybciej przestać oddawać Google dane za darmo.

Jeśli zdarzyło Ci się kontaktować z dużym koncernem w sprawie pomocy lub z prostym pytaniem, zapewne znasz poczucie, że nie otrzymujesz konkretnej odpowiedzi. Z mojego doświadczenia lokalni dostawcy znacznie lepiej dbają o klientów i lepiej rozumieją, na czym polega dobra obsługa.