Google Analytics skickar alltid data till USA

Google Analytics är fortfarande det populäraste webbverktyget för att spionera på användarnas beteende.

Googles oväntade medgivande klargjorde en sak: alla uppgifter som samlas in på en webbplats med Google Analytics skickas till USA och behandlas där. Varje gång.

Varför medgav Google detta?

Det började med ett klagomål mot Google som integritetsorganisationen noyb lämnade till den österrikiska dataskyddsmyndigheten. Myndigheten ställde därefter över 20 frågor till Google.

Googles svar var ofta undvikande, nonchalanta och ofullständiga. Varför företaget betonade att Google Analytics-data enbart lagras i USA är ganska lätt att förklara, men först behövs lite bakgrund.

Hur såg det rättsliga läget ut?

Efter EU-domstolens avgörande om Privacy Shield, känt som ”Schrems II”, betraktades USA som ett osäkert tredjeland. Den ståndpunkt som framförs här är att överföring av personuppgifter till USA kräver samtycke.

Webbtrafik innebär överföring av personuppgifter: domstolarna har slagit fast att användarens nätverksadress, IP-adressen, är en personuppgift.

USA betraktades som ett osäkert tredjeland eftersom amerikanska lagar ger myndigheter, däribland underrättelsetjänster, tillgång till amerikanska företags uppgifter. Om ett sådant företag lagrar kunduppgifter om personer i Tyskland kan amerikanska myndigheter komma åt dem.

Befogenheterna för hemlig åtkomst till uppgifter bygger framför allt på FISA-lagen och Executive Order 12333. I svaret till tillsynsmyndigheten hävdade Google att båda endast tillåter åtkomst till uppgifter som lagras utanför USA.

Googles resonemang var alltså: vi lagrar alla uppgifter i USA, så FISA och Executive Order 12333 kan inte användas för att komma åt dem. Därför är uppgifterna säkra hos oss.

Det resonemanget håller inte, men det är kanske det bästa argument Google kunde komma med. Kreativiteten i företagets juridiska argument har möjligen något samband med advokaternas löner. Hur som helst medgav Google det som många hade misstänkt men inte kunnat bevisa.

Är uppgifterna säkra i USA?

Den viktigare frågan är om uppgifterna som Google Analytics skickar till USA och lagrar där verkligen är säkra.

När någon i Europa besöker en webbplats med Google Analytics skapas analysuppgifterna i Europa. Google samlar in dem via en server som kallas collector.

Servern tar emot uppgifter från användarens enhet och finns om möjligt nära användaren. Därefter skickas uppgifterna till USA.

Datainsamlingen sker alltså över hela världen. FISA och Executive Order 12333 gör det möjligt för den amerikanska underrättelsetjänsten NSA att bedriva så kallad upstream collection. Det innebär att avlyssna en transatlantisk kabel som leder data in i USA.

Man skulle torrt kunna konstatera att detta utan samtycke i sig är olagligt. De berörda personerna borde dessutom informeras, vilket uppenbarligen inte sker. GDPR ger dem också bland annat en rätt att invända. Även det verkar vara ett främmande begrepp för NSA.

Varför Google Analytics kräver samtycke

Enligt detta resonemang skulle den globala insamlingen och överföringen till USA i sig kräva samtycke innan Google Analytics laddas.

Den standardkonfiguration av Google (Universal) Analytics som beskrivs här använder cookies. Enligt 15 § tredje stycket i den tyska telemedielagen (TMG) kräver detta samtycke. Skälen är följande:

• Google Analytics placerar och läser cookies.
• Cookievärdena skickas till Googles servrar.
• Cookies är inte tekniskt nödvändiga: Google Analytics kan även användas utan dem.
• Artikel 5.3 i ePrivacydirektivet kräver samtycke. Det spelar ingen roll vad cookierna innehåller; det behöver inte ens vara personuppgifter.
• Enligt den tyska högsta allmänna domstolens avgörande den 28 maj 2020, mål I ZR 7/16 (”Planet49”), ska TMG tolkas i enlighet med ePrivacydirektivet.

Det kan dessutom vara omöjligt att ingå ett giltigt personuppgiftsbiträdesavtal med Google, bland annat på grund av underbiträden spridda över världen och möjligheten att en begärd radering dröjer två månader.

Sammantaget ger detta stöd för ett generellt krav på samtycke för Google Analytics, även utan cookies.

Förklara hur Google Analytics behandlar uppgifter

Har du läst Googles integritetsinformation och avtalsvillkoren för Google Analytics är du kanske inte klokare efteråt. Informationen är så invecklad, vag och utspridd över olika dokument att en transparent förklaring nästan verkar omöjlig.

Ändå kräver artikel 12 i GDPR transparent och begriplig information om hur Google Analytics behandlar uppgifter.

Slutsats

Att få ett giltigt samtycke för Google Analytics verkar svårt. Cookiepopupfönster är inte bara irriterande; i praktiken uppfyller de flesta inte heller lagkraven.

Att använda Google Analytics utan samtycke skulle i sin tur kräva att man avstår från cookies. Datakvaliteten blir då tveksam, eftersom verktyget inte är optimerat för det arbetssättet.

Med verktyg som Trackboxx kan du analysera webbplatsbesök med respekt för integriteten. Utan cookies och utan nämnvärd fingerprinting behöver du inte be om samtycke. Enkel användning står i centrum, vilket knappast är Google Analytics starka sida: även efter flera timmar i kontrollpanelen kan det vara svårt att förstå alla funktioner.

Jag tycker dessutom att vi bör föredra tyska leverantörer och sluta ge Google våra uppgifter gratis så snart som möjligt.

Har du någon gång kontaktat en stor koncern för support eller med en enkel fråga känner du nog igen känslan av att inte få ett ordentligt svar. Min erfarenhet är att lokala leverantörer är betydligt mer kundvänliga och har en starkare känsla för god service.