GDPR: CNIL nařizuje přestat používat Google Analytics v dosavadní podobě
Rána pro Google: z oficiálního prohlášení CNIL (ve francouzštině), francouzského úřadu pro ochranu osobních údajů, vyplývá, že u webů používajících Google Analytics existuje závažný problém s ochranou soukromí uživatelů. Všichni provozovatelé webů musejí do jednoho měsíce zajistit soulad s předpisy, tedy přestat nástroj od Googlu používat. Webmastery čeká spousta práce. Vysvětlujeme proč.
Google Analytics vs. GDPR: v čem je problém
Sdružení NOYB podalo k CNIL několik stížností týkajících se Google Analytics.
Při návštěvě webu, který používá Google Analytics, se pro každého návštěvníka vygeneruje jedinečný identifikátor a údaje o návštěvě se předávají do Spojených států. CNIL se domnívá, že tato předávání nejsou z hlediska ochrany údajů „v současné době dostatečně ošetřena“, a ochrana údajů je proto podle GDPR považována za nedostatečnou.
„CNIL konstatuje, že údaje uživatelů internetu jsou tak předávány do Spojených států v rozporu s články 44 a násl. GDPR.“
V Evropě
Na evropské úrovni podalo NOYB celkem 101 stížností ve všech 27 členských státech EU.
SDEU (Soudní dvůr Evropské unie) již v červenci 2020 upozornil (ve francouzštině) na „riziko, že americké zpravodajské služby získají přístup k osobním údajům předaným do Spojených států“, což zřejmě přispělo k závěru CNIL.
Ve Francii: důsledky pro webmastery
Prohlášení CNIL (ve francouzštině) je jednoznačné: provozovatelé webů mají jeden měsíc na to, aby zajistili soulad s předpisy a přestali Google Analytics v dosavadní podobě používat:
„[…] CNIL proto vyzývá provozovatele webu, aby uvedl toto zpracování do souladu s GDPR, v případě potřeby tím, že přestane využívat funkci Google Analytics (za současných podmínek), nebo tím, že začne používat nástroj, který nevede k předávání údajů mimo EU. Dotčený provozovatel webu má na zajištění souladu lhůtu jednoho měsíce.“
Jaké jsou alternativy?
CNIL uvádí: „Pokud jde o služby měření a analýzy návštěvnosti webu, CNIL doporučuje, aby tyto nástroje sloužily výhradně k vytváření anonymních statistických údajů, což umožňuje výjimku z povinnosti získat souhlas, pokud se správce zpracování ujistí, že nedochází k nezákonnému předávání údajů.“ (odkazy ve francouzštině)
Zdá se, že Matomo je životaschopnou alternativou ke Google Analytics, která splňuje kritéria CNIL.
Jejich argument: „Pokud lidé zjistí, že jejich údaje jsou využívány pro ‚vlastní účely‘ Googlu, můžete ztratit důvěru svých zákazníků a riskujete poškození své pověsti. Když zvolíte etickou alternativu Matomo, nebudete muset obětovat soukromí ani ohrozit svůj web. Matomo můžete dokonce používat, aniž byste museli žádat o souhlas.“
Vrchol soukromí: Matomo lze zřejmě hostovat na vlastním serveru. Tým HaiSoft už netrpělivě přešlapuje na startovní čáře, aby toto řešení vyzkoušel.
Zdroje
Prohlášení CNIL (ve francouzštině): https://www.cnil.fr/fr/utilisation-de-google-analytics-et-transferts-de-donnees-vers-les-etats-unis-la-cnil-met-en-demeure
Článek Matomo (v angličtině): https://fr.matomo.org/blog/2022/02/france-google-analytics-gdpr-breach/
