Är Google Analytics 4 godkänd enligt EU:s nya beslut?
Att GDPR och användningen av GA4 (Google Analytics 4) har varit den stora snackisen de senaste veckorna har nog ingen missat. Trots att det har hänt en hel del sedan den 3 juli då IMY (Integritetsskyddsmyndigheten) utfärdade beslutet om att bolag måste sluta använda GA4 kvarstår fortfarande frågan: Uppfyller Google Analytics 4 nu kraven för GDPR och Schrems 2?
Vi på Bazooka har noggrant följt med utvecklingen gällande nya beslut och uppdateringar som har gjorts sedan i början av juli. Detta har prioriterats högt för att vi ska kunna utvärdera om vi kan fortsätta använda webbanalysverktyget Google Analytics eller inte?
I denna artikel hittar du en sammanfattning över det som har hänt sedan IMY gick ut med beslutet om att Google analytics strider mot GDPR-regler, vad som händer för tillfället och avslutningsvis hur vi på Bazooka har bestämt oss för att gå vidare för närvarande.
Det här har hänt sedan IMY beslutet 3 juli:
3 juli – IMY utfärdar sanktionsavgift mot 4 bolag
- IMY utfärdar sanktionsavgift mot bolag som har överfört personuppgifter till USA via Google Analytics.
- IMY avråder alla bolag att använda Google Analytics.
Artikel publicerad 3 juli 2023: https://www.imy.se/nyheter/fyra-bolag-maste-sluta-anvanda-google-analytics/
10 juli – Nytt beslut från EU-kommissionen (EU-US Data Privacy Framework)
- Den 10 juli 2023 fick vi ett nytt beslut i EU-kommissionen som innebär att det nu återigen är OK att föra över personuppgifter till USA om det mottagande företaget (Google, Meta, Microsoft etc.) uppfyller vissa regler.
- EU-kommissionen har alltså fattat ett beslut gällande adekvat skyddsnivå för USA (tillräckligt hög skyddsnivå för att det ska vara ok att använda GA4 igen).
Artikel publicerad av IMY 10 juli 2023: https://www.imy.se/nyheter/eu/
- Intresseorganisationen None of Your Business (NOYB), vars klagomål som IMYs granskningar byggde på, bemöter nya överenskommelser mellan EU och USA. De beskriver att den nya DPF (Data Privacy Framework) är en kopia av tidigare lösningar och att problemet med transatlantisk dataöverföring kvarstår.
Artikel publicerad av NOYB 10 juli 2023:
- Trots detta går flera länder i Europa fortsättningsvis emot att Google Analytics är GDPR-vänligt, bl.a. Danmark.
Vad händer nu och hur bör man ställa sig till användning av GA4?
I och med att USA nu har en adekvat skyddsnivå så får personuppgifter flöda fritt, på samma sätt som inom EU, utan att särskilda skyddsåtgärder behöver finnas på plats.
Men det är viktigt att tänka på att grundproblemet fortfarande kvarstår, det vill säga, data överförs faktiskt till USA. För tillfället känns det som att det blir en mer etisk fråga – tycker vi och våra kunder att det är okej att fortsätta använda Google Analytics? Det är självklart en otroligt viktig frågeställning som vi på Bazooka behöver ta ställning till, inte enbart för vår egen del men också för att kunna ge vägledning till våra kunder.
En av frågeställningarna är också om man vill gå från ett gratis analysverktyg till ett man behöver betala för? Google som produkt är “gratis” att använda och det kan kännas onödigt att nu behöva börja betala för ett annat analysverktyg när det har funnits ett så bra verktyg utan kostnad fram till nu. Viktigt att tänka på då är att anledningen till att GA är “gratis” är förmodligen för att vi betalar med information om våra besökare.
Hur agerar vi i nuläget?
Vi sitter fortfarande lugnt i båten och håller oss uppdaterade kring vad som skrivs inom det här ämnet. Vi kommer självklart att återkomma med ny information om vi får reda på något mer.
Förväntningen är att den nya DPF kommer att ifrågasättas av NOYB så småningom, vilket även hände med Schrems II (domen som gjorde det olagligt att föra över personuppgifter till USA om man inte kan stödja det på någon annan grund i GDPR).
IMYs beslut om att utföra sanktionsavgifterna grundades på en version av GA från 2020. GA4 ska vara GDPR-vänligt enligt Google själva, men så länge Google har sina servrar i USA så är det dit data faktiskt skickas och lagras.
Vi har börjat undersöka och utvärdera alternativ till GA4 för de av våra kunder som önskar hitta ett alternativ till Google Analytics 4.
Efter att ha undersökt flera olika alternativ har följande tre analysverktyg matchat bäst för de olika behov och förutsättningar som behöver uppfyllas:
- Matomo
- Piwik PRO
- Plausible
Vi har satt upp alla dessa tre analysverktyg på Bazookas egna webbsida för att utvärdera och fördjupa oss ännu mer än vad vi redan har gjort.
Hur kommunicerar vi internt och med våra kunder?
Vi hänvisar till källor för de nya besluten som har tagits och pratar om den senaste utvecklingen gällande DPF. Vi är dock helt transparenta med att vi fortfarande inte är helt övertygade om att ramverket DPF kommer att vara tillräckligt och att vi förväntar oss att NOYB förmodligen kommer att ifrågasätta detta igen (som de historiskt sett har gjort.)
Som IMY skriver är det viktigt att betona att huvudansvaret ligger hos våra kunders ledning att diskutera internt samtutreda för att komma fram till ett beslut om vilket analysverktyg de vill använda.
“Det är företagets ledning som är ansvarig för att följa GDPR, inte marknadsansvarig, webbmaster, byrå som ger råd eller andra inblandade.”
-Citat från IMY
Med det sagt så kommer vi givetvis att finnas här för våra kunder, stötta och ge våra bästa råd och rekommendationer baserade på den information som finns tillgänglig idag. Varje företag bör dock se över det juridiska internt innan beslut tas.
Sammanfattningsvis:
Enligt EU-kommissionen är det tillåtet att använda GA4 som analysverktyg igen. Man behöver dock gå varsamt fram med vetskapen om att grundproblemet fortfarande återstår genom att personuppgifter fortsättningsvis skickas till Googles servrar i USA.
