Tyske personvernmyndigheter mener Google Analytics, et gratis verktøy som lar nettstedeiere måle og analysere besøkstrafikken på sine nettsteder, bryter med landets personvernlovgivning.
Dette synspunktet har vært kjent siden 2008, og myndighetene har forhandlet med Google om endringer i tjenesten siden november 2009. Google har tilbudt visse innrømmelser, men ikke nok til at myndighetene har endret syn.
Mandag meldte Frankfurter Allgemeine Zeitung, ifølge nettjenesten TheLocal.de, at myndighetene har brutt forhandlingene, og at nettstedeiere som bruker Google Analytics risikerer bøter.
Johannes Caspar, personvernkommissar i Hamburg der Google har sitt tyske hovedkontor, sier det ikke er noe poeng å fortsette diskusjonene, fordi Google tydeligvis ikke vil gi seg.
Personvernmyndighetene varsler at de nå vil ty til rettssystemet for å stanse bruken av Google Analytics. Caspar sier at nettstedeiere risikerer kraftige bøter, og at det forberedes en testsak mot et større selskap som tviholder på å bruke analyseverktøyet.
Den prinsipielle innvendingen mot bruken av Google Analytics er at den gir Google tilgang til personopplysninger om nettstedets besøkende, uten at det foreligger en avtale mellom nettstedeieren og Google om hvordan disse opplysninger skal håndteres.
Blant betingelsen for å bruke gratisverktøyet, er at Google får tilgang til opplysningene som samles opp, blant dem de besøkendes IP-adresser. I europeisk – og norsk – personvernlovgivning er en IP-adresse per definisjon en personopplysning.
Poenget er at nettstedeiere som skaffer seg et gratis analyseverktøy fra Google, betaler for det ved å tvinge sine besøkende til å utlevere sine persondata til Google.
En innrømmelse som Google har kommet med i samtalene med de tyske personvernmyndighetene, er at nettstedeierne kan innstille på at ikke hele IP-adressen skal overføres til Google. Ifølge Caspar lagrer Google hele IP-adressen uansett.
Ove Skåra i det norske Datatilsynet sier til digi.no at Google Analytics lenge har vært diskutert internt i tilsynet, men at de ennå ikke har formulert noe offisielt syn. Det pågår et arbeid for å avklare et slikt offisielt syn i løpet av nærmeste framtid.
– Etter vår erfaring er det svært få norske nettsteder som ikke bruker Google Analytics. I det siste har vi hatt samtaler med nettsteder knyttet til Forsvaret og andre offentlige etater, om hva det innebærer at Google får tilgang til de besøkendes persondata.
Disse samtalene har ført til at regjeringen.no, Forsvaret og andre offentlige etater har byttet til andre analyseverktøy, sier Skåra.
– Ideelt sett burde nettsteder som benytter seg av Google Analytics, inngå en avtale med Google for å sikre seg at IP-adresser og eventuelt annen persondata, håndteres i samsvar med norsk lovgivningen. Hadde de tydd til en norsk leverandør av analysetjenester, ville en slik avtale vært påbudt av lovverket.
Skåra erkjenner at det er helt urealistisk å forvente at Google vil inngå denne typen avtaler med norske nettsteder. Han lover at Datatilsynet snart vil komme med mer konkret veiledning om dette sakskomplekset.
Skåra gir et klart inntrykk av at Datatilsynet ikke er fremmed for å følge tyskernes eksempel, og nedlegge et praktisk forbud mot bruk av Google Analytics.
– Vi må avklare internt hvor langt vi mener det er hensiktsmessig å gå. Det er ikke gitt at problemet er så stort at vi må røske i det, presiserer han.
I mellomtiden kan nettsteder som bruker Google Analytics tenke på om de bør utvide sin personvernplakat med en advarsel om at de besøkendes IP-adresser overleveres til Google, og at de ikke har noen som helst mulighet til å kontrollere hvordan disse personopplysningene brukes videre.
