Zweedse privacytoezichthouder: stop met Google Analytics

De Zweedse privacytoezichthouder IMY heeft vier bedrijven opgedragen om te stoppen met het gebruik van Google Analytics. Twee van de organisaties hebben ook een boete gekregen voor het gebruik. Het is de eerste keer dat een Europese privacytoezichthouder een geldboete uitdeelt voor het onjuist gebruiken van Google Analytics.

Boete van een miljoen euro

Telecomprovider Tele2 Zweden krijgt een boete van omgerekend één miljoen euro. Onlineretailer CDON komt er met een boete van omgerekend 25 duizend euro beter van af. De bedrijven moeten ook overstappen op andere statistiekensoftware. Tele2 Zweden heeft dit al gedaan.

Maatregelen

Het besluit van toezichthouder IMY is uniek omdat er niet eerder geldboetes zijn uitgedeeld voor het onjuist gebruiken van Google Analytics. Andere Europese privacytoezichthouders kwamen al eerder tot de conclusie dat Google Analytics standaard onvoldoende rekening houdt met de privacy van internetgebruikers, maar hielden het bij waarschuwingen.

Waarom IMY nu een stap verdergaat, is niet helemaal duidelijk. De toezichthouder legt wel uit dat de vier bedrijven modelovereenkomsten gebruikten om door Analytics verzamelde gegevens te delen met Google in de Verenigde Staten. Daar moesten de bedrijven aanvullende maatregelen voor nemen, maar die maatregelen vindt IMY onvoldoende. 

Uitleg DDMA

Frank de Vries, senior legal counsel bij branchevereniging DDMA, legt tegenover Adformatie uit: 'De boete is eind juni opgelegd voor het gebruik van een oudere versie Google Analytics (‘Universal Analytics’), welke sinds 1 juli 2023 niet meer beschikbaar is. Zakelijke gebruikers van '360 UA' hebben nog één jaar extra om te migreren, dus tot 1 juli 2024 (zie ook, red.). De uitspraak is daarom wel relevant voor een groot aantal (midden tot groot) zakelijke gebruikers van Google Analytics. Maar het is goed om te weten dat voor veel gebruikers de gewone niet-360 versie voldoet, nu GA4. Google heeft met GA4 de zaken namelijk net iets anders ingericht. De uitspraak van IMY is daarom niet een-op-een van toepassing op GA4.'

Wat de Nederlandse privacytoezichthouder Autoriteit Persoonsgegevens van Google Analytics vindt, is overigens nog steeds onduidelijk.