Brug af Google Analytics kan være ulovligt. Hvad kan du gøre?

En nylig kendelse fra datatilsynet følger lignende kendelser fra andre europæiske lande. Det er vigtigt at bemærke at Google Analytics angiveligt kun er toppen af isbjerget. Datatilsynet har kun undersøgt Google Analytics, og vurderer altså at det ikke er lovligt. Der har ikke været nogen sager endnu, men man må man antage at de vil nå frem til den samme konklusion, hvis de undersøger fx Facebook tracking, MailChimp, AWS, Google Cloud, Azure, Klaviyo, Shopify osv. Med andre ord: Størstedelen af det Europæiske internet er ulovligt.

Mens vi venter på Privacy Shield 2.0

Man havde tidligere en Privacy Shield-aftale mellem EU og USA, som satte nogle udvidede regler ift dataudveklsing. Denne aftale blev ugyldiggjort i 2020 som følge af Schrems 2-sagen. Uden denne aftale er USA at betragte som et 3. Parts land ift EU, og det sætter begrænsninger i forhold til udveksling af data. På den baggrund, har datatilsynet nu vurderet, at brug af Google Analytics ikke umiddelbart er lovligt,

I 2022 påbegyndte man så fodarbejdet til Privacy Shield 2.0, men det er ukendt hvor lang tid det vil tage før dette er på plads. Det kan i værste fald tage ikke måneder, men år. Det er almindelig kendt, at nuværende lovgivning er uholdbar - så forhåbentlig der sker noget hurtigt.


Så … hvad kan du gøre?

I praksis vil de fleste virksomheder slå koldt vand i blodet og afvente. Men det er ikke lovligt, og der er altså en risiko for at få en bøde som følge af en anmeldelse. Det må de enkelte virksomheder forholde sig til. Der er intet der tyder på at Datatilsynet på nuværende tidspunkt er parat til at aktivt håndhæve dette og udstede bøder, men de skal reagere på de anmeldelser der kommer. Omvendt er der en omkostning ved at følge reglerne. Hvor stor denne omkostning er, kommer dels an hvad tabet vil være for den enkelte virksomhed ved ikke længere at have adgang til disse data. Derudover er der en direkte omkostning ved at forfølge en alternativ løsning.


Vi skitserer herunder de muligheder der er, for at følge reglerne, samt fordele og ulemper. Desværre er der generelt langt flest af sidstnævnte.

1. 1. Holde op med at tracke
   Hvis man ikke allerede bruger sine data til noget, eller mener at kunne undvære det, er det en mulighed helt at stoppe med det. De fleste webshops har stadig ganske fin grundlæggende information om de besøgende, og dette kan stadig bruges.

De fleste virksomheder er dog ret afhængige af deres data, så vi regner ikke med at dette er en god løsning for særligt mange.

1. 2. Lovliggøre Google Analytics
   Man kan lovliggøre brugen af Google Analytics, ved brug af pseudonymisering via en proxyserver. Dette kræver at Google Analytics er opsat med serverside tracking, og at dataene dernæst ledes gennem en proxy-server der fjerner de ulovlige data.

Denne server skal være hosted i EU, og tilmed være europæisk ejet.

Hvilke data skal så pseudonymiseres, og hvor stor er den negative effekt?

— IP-adresse
— Al data som kan bruges til "fingerprinting"
— Al data som kan bruges til at identificere en bruger
— User identifiers
— External referrer
— URL parametre (inkl UTM)

Problemet er, at når disse data fjernes er der ikke meget information tilbage, udover almindelig website-adfærd. Det er ikke muligt at se hvilken enhed kunden anvender, hvilket land kunden er fra osv. Det handler altså ikke bare om at kunden anonymiseres. Man kan ikke engang se hvilket land besøget kommer fra - selvom det ikke umiddelbart synes at være person-henførbart.

Fordele: Du kan fortsætte med at bruge Google Analytics lovligt.

Ulemper: Der vil være en omkostning forbundet med opsætningen. Det er en svært decimeret Google Analytics man står tilbage med. En lovlig Google Analytics kan udelukkende bruges til at evaluere på website-adfærd. Al segmentering bortfalder. Der er een stor gruppe brugere, uanset land osv, enhed osv.

1. 3. Anvende et EU-baseret alternativ
   
2. Fordelen ved at finde et andet værktøj til tracking end Google Analytics er, at man fortsat har lov til at tracke brugernes adfærd mv. Der findes andre alternativer på markedet som minder om det Google Analytics man kender. De fleste alternativer medfører en væsentlig omkostning som din forretning vokser, selvom nogle starter som gratis løsninger. Desuden starter man forfra med sine data. Man kan ikke tage sine Google-data med sig. Google ejer dem.

Det kunne også være en mulighed at benytte et datawarehouse, men det er en ret omfattende løsning til større virksomheder, der typisk vil koste et 100-200.000 at opsætte.

Fordele: Man kan stadig lovligt se hvor trafikken kommer fra, som ikke længere er muligt med Google Analytics.

Ulemper: Omkostning. Det er ikke tæt integreret til fx Google Ads osv, som man er vant til.

1. 4. Gøre ingenting
   
2. Datatilsynet er bekendt med at situationen er ret uholdbar og at mange er berørte. De har ikke planer om at aktivt udstede en masse bøder for det, men de modtager og behandler en anmeldelse hvis den kommer.

Man kan blive straffet for det. Det kan man i teorien allerede, med tilbagevirkende kraft helt tilbage til 2018, da Datatilsynets undersøgelse konkluderer at alle virksomheder i EU har brugt Google Analytics ulovligt siden.

Så hvordan vælger man, når der umiddelbart kun er dårlige muligheder?

Vores anbefaling er, at I som virksomhed tager stilling til det, og starter med at se på hvor meget I bruger Google Analytics i dag, og om nogle alternativerne kan bruges uden større ulemper for jeres virksomhed. Dernæst kan der laves en plan for at bringe forholdene i orden. At der foreligger en reel plan, vil i mange tilfælde være nok til at undgå en bøde.

For nærmere rådgivning og en gennemgang af hvordan i bruger jeres data idag, samt en gennemgang af muligheder for hurtig lovliggørelse ved fortsat brug af Google Analytics, er I meget velkomne til at kontakte vores partner Hands på hello@wearehands.dk

Har I et SEO-bureau tilknyttet, vil det også være en god ide at spørge til deres anbefaling.

Vi mener dog at nærværende gennemgang meget godt matcher, hvordan de fleste anskuer det. Den nuværende situation er kaotisk, og de fleste håber på en hurtig løsning eller mere klare retningslinier - også hvad angår alle andre produkter der bør være omfattet i helt samme grad som Google Analytics.

Kilder og links

Se pressemeddelelsen fra Datatilsynet her.
https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2022/sep/brug-af-google-analytics-til-webstatistik

Se Datatilsynets generelle retningslinjer her.
https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2022/sep/brug-af-google-analytics-til-webstatistik