GDPR合规 & 谷歌分析:丹麦DPA介入

GDPR合规 & 谷歌分析:丹麦DPA介入
预计阅读时间: 10分钟

谷歌Analytics在欧盟的困境仍在继续,丹麦DPA发布了一份 关于使用谷歌Analytics进行web分析的新闻稿 2022年9月21日. 根据早前的意见 奥地利, 法国, 意大利 在2022年早些时候, 丹麦人开始收到许多关于谷歌Analytics合规使用指导的问题和请求. 根据他们的分析, 他们得出的结论是:“如果不采取补充措施,就不能使用现有的工具。.”

这一观点与之前的欧盟DPA指南有何不同? 最终,这对你的业务意味着什么? 让我们开始吧!

丹麦DPA的指导与奥地利、法国和意大利之前的发现有什么不同吗?

丹麦DPA的调查实际上得出了与其他欧盟DPA此前发布的指南相同的结论. 这是真的,即使在这个例子中谷歌Analytics 4和 谷歌发布的额外隐私设置 在2022年夏天也进行了评估. 

这是值得注意的,因为, 正如新闻稿中所述, “尽管个别案件是由收到原始投诉的各自监管部门单独决定的, 这些决定代表了欧洲监管当局的共同立场.“从本质上说,这意味着我们即将在谷歌Analytics的使用上实现欧盟DPA的统一, 以目前的形式, 不符合GDPR. 

他们提到,“实施补充措施”可能是合规使用该平台的一种方式, 这是什么呢??

从奥地利检察官的初步裁决开始, 已经提出了许多潜在的解决方案,谷歌已经引入了一些新的隐私控制措施,旨在解决这些担忧. 丹麦德新社已经做了 在他们的提问中明确回答了很多问题,做得很好&一个部分 与这个评估相关. 让我们来看看每一种方法及其所处的位置.

1. 配置谷歌分析,使个人数据不会转移到美国

在调查过程中, 丹麦新闻部的结论是, 根据谷歌对欧盟监管当局的回应, 通过谷歌Analytics收集的数据在美国进行处理和存储. 他们没有找到足够的证据证明谷歌在DPA作出早期决定后对其技术设置进行了任何足以反驳这一观点的充分更改. 

根据丹麦新闻部的调查, 因此,目前不可能配置谷歌Analytics以使个人数据不转移到美国.

2. 配置谷歌分析,不收集个人数据

一些人建议通过修改设置,比如 禁用数据共享 with谷歌,using 限制GA4收集的设备和位置数据的附加设置, not enabling谷歌Signals .不启用谷歌信号 个人资料可视为未被收集.

丹麦DPA正面回应道,即使这些设置被关闭,“使用该工具收集的剩余数据仍然构成网站访问者的个人数据。.“这一发现的核心是,随着访问者与网站的互动,一个唯一的标识符将继续被收集(客户id -这是所有GA处理活动的中心), 参观时间, 以及来访者的位置. 

根据丹麦新闻部的调查, 只要用户的唯一标识符存在(即使是在第一方上下文中),谷歌Analytics就不能以不收集个人数据的方式进行配置.

3. GA数据是匿名的解释

化名问题的核心是“在不使用附加信息的情况下,个人数据不能再归属于特定数据主体”的要求。 (GDPR第4条第1(5)款). 证明这一条件所需的分析必须包括希望将匿名数据归因于特定人员的组织可获得的额外信息. 因此, 如IP地址等数据必须包括在可用于将化名数据归为某人的数据考虑范围内.

谷歌经常引用保护措施,例如 IP匿名化设置在通用分析中可用, IP没有被记录或存储在GA4中,以及 为GA4访问欧盟站点的用户处理欧盟本地服务器上的IP地址 回答任何有关IP地址可用于重新识别的问题. 

丹麦DPA通过发现欧盟居民(因此受GDPR保护)可以从欧盟以外访问网站来解决这些指控. 在这个场景中, 根据谷歌自己的文档, 该用户的初始请求(包括IP地址)可以直接路由到美国的服务器. 多亏了服务器的日志数据.S. 当局可以进入, 他们就有办法将用户的谷歌Analytics数据归为特定的人.

根据丹麦新闻部的调查, 因此,分析数据无法有效地匿名化以满足这一条件的要求. 

4. 增加补充技术措施

丹麦德新社援引了一份报告 欧洲数据保护委员会提供的建议数量 并评估了谷歌Analytics提出的两个解决方案. 

第一个评估是加密. 使用谷歌的加密实现, 加密过程是由美国的谷歌执行的. 因此,谷歌可能被迫向U提供加密密钥.S. 授权请求,使数据可读. 

因此,丹麦新闻部的调查认为,谷歌的加密不是一项有效的补充技术措施.

第二个评估是关于化名的可能性. 他们发现,只要满足有效化名的配置条件,就可以通过使用反向代理服务器为谷歌Analytics实现化名. 特别提到的是 法国数据保护局的详细指导 关于2022年7月发布的建立这样一个体系结构的方法. 

因此,丹麦DPA的调查认为,如果实现了这种类型的反向代理架构,那么匿名化是可能的. 非常重要的是要注意概述的体系结构将具有 重要的 对谷歌Analytics的报告和功能的影响,这将导致大多数组织不满意的用例.

5. 在同意的基础上证明国际转账(以及谷歌Analytics的使用)

关于谷歌分析和向美国传输数据的问题,最后一个受欢迎的解决方案是使用同意作为满足遵守要求的有效手段. 

GDPR允许将个人数据转移到第三国,前提是数据主体已被告知转移的可能风险并明确表示同意. 丹麦的DPA发现,这些例外应该仅仅是例外,而不是成为普遍规则. 使用谷歌Analytics, 将个人资料转移到有关的第三国(美国)是将工具收集的所有资料的一般转移. 因此,这是一般规律, 也不例外, 这些数据将被转移到美国. 

丹麦新闻部的调查认为,国际转移(和使用谷歌Analytics)不能以征得同意为理由.

谷歌Analytics被“禁止”了吗??

丹麦数据保护局明确表示,他们没有发布使用谷歌Analytics的禁令. 他们无权禁止某些产品,而只是评估个人数据的处理是否符合数据保护法. 控制人的最终责任是确保其活动符合法律. 

他们还提到,如果一个组织认为他们的谷歌Analytics的设置和使用与他们在调查中评估的条件不同, 如果提起诉讼,由组织来记录和证明他们的立场. 然而, 如果设置与已评估的设置一致, 民政事务局会作出与调查结果相同的评估. 如果公司对其组织使用谷歌Analytics有不同的法律评估,则公司将承担自己的法律风险. 

如果提起诉讼,最终将由法院作出遵守情况的最终决定.

从丹麦DPA的调查来看,谷歌Analytics的使用并没有被“禁止”. 他们认为,在评估中使用谷歌Analytics是不符合GDPR的. 

新的欧盟-美国数据传输协议进展如何?

对于许多企业来说,他们在欧盟继续使用谷歌Analytics的最后一个迫在眉睫的考虑是可能达成新的欧盟-美国数据传输协议. 2022年3月,一个新的 跨大西洋数据隐私框架公布. 目前尚未就一项全面的法律协定达成协议并予以通过. 最初宣布希望在2022年底之前达成一项新协议. 这个时间表似乎不太可能,更新的时间表也没有传达出去. 

那我们该怎么办呢?

对于丹麦网站来说,这项调查和指导无疑表明,除非实施反向代理解决方案,否则使用谷歌Analytics(以任何形式)会带来重大的合规风险. 其他欧盟网站, 目前还不清楚,但迄今为止所有dpa与指导方针的一致似乎表明,具有相同决心的统一立场即将出现. 

最终, 由每个组织来评估他们的合规风险, 确定可用的降低风险方法, 如果上述风险超过了继续使用谷歌Analytics平台的好处,就做出决定.

**重要-本文所涵盖的信息并非法律建议或顾问. 在未获得适当法律指导的情况下,您不应根据本条所包含的任何有关法律合规性的内容采取行动或不采取行动. 本文的内容包含了与各种法律法规相关的一般信息, 但可能不能反映你的现状. 此外,适用的法律法规经常变化. 在数据隐私法律法规方面尤其如此. 因此, 本文中描述的或以其他方式引用的任何法律和法规,在您阅读本文时甚至在本文发表时可能都不存在. 对于您根据本文采取的或未采取的任何行动,我们不承担任何责任. 根据本文信息,您采取的任何行动或不采取的任何行动完全由您自行决定并承担风险.**

有兴趣进一步讨论谷歌分析和降低您的体系结构风险的方法?

现在日博体育在线开始对话.
脸谱网
推特
LinkedIn
电子邮件
最后更新:2022年9月22日

你会喜欢的其他文章

U.S. 隐私执法升温:1.尊重隐私权的200万个理由

U.S. 隐私执法升温:1.尊重隐私权的200万个理由

8月. 24日,加州总检察长宣布以1美元的价格达成和解.200万美元给一家强大的化妆品零售商(丝芙兰),因为违反了消费者…

交汇处读
沙特阿拉伯王国的隐私和数据保护

沙特阿拉伯王国的隐私和数据保护

2021年9月, 沙特阿拉伯王国(KSA)颁布了《日博》(PDPL),以规范个人数据的处理. …

6分钟阅读
欧盟-美国数据共享协议的最新进展

欧盟-美国数据共享协议的最新进展

10月7日, 白宫宣布了一项“行政命令:加强对美国信号情报活动的保障措施”.“拜登总统这样做了……

八分钟的阅读
俄亥俄州个人隐私法案:营销人员和广告商需要知道的

俄亥俄州个人隐私法案:营销人员和广告商需要知道的

很多人认为2023年将是美国隐私法规的清算之年, 有五个州出台了新法规……

10分钟读
拼接隐私:美国.S. 州立法综述

拼接隐私:美国.S. 州立法综述

2023年,美国的隐私保护将有一个巨大的飞跃,五个州的新隐私法将生效. 这个…

16分钟阅读
如何尊重消费者,让他们回头客

如何尊重消费者,让他们回头客

你已经看过数据了. 众所周知,在当今的营销环境中,用户期待更高层次的个性化沟通,而与此同时……

6分钟阅读
英国数据改革法案的最新进展

英国数据改革法案的最新进展

6月17日, 2022年,英国(英国)政府数字部门发布新闻稿, 文化, 媒体 & 体育(DCMS)和Rt…

交汇处读

得到你的评估

谢谢你!! 我们将很快与你的结果取得联系.
{{领域.占位符}}
{{选项.名称}}

与我们交谈

与我们交谈

接收新书更新

填写此表格可接收关于 爬,走,跑:提升分析成熟度与谷歌营销平台. 这包括预售日期、正式发行日期等等.

搜索日博

给我们留下评论

请留下评论,让我们知道我们做得如何. 请只邀请真正的客户.