melyek a különböző honlapok látogatása során kerülnek tárolásra a látogató eszközén. Az adatok alapvetően anonimizált formában kerülnek a Google LLC tulajdonában álló amerikai szerverre. Első ránézésre a Google Analytics használata nem tűnik problémásnak, mivel kizárólag anonimizált adatok kezeléséről van szó, azonban az alaposabb, adatvédelmi szempontú vizsgálatok alapján már aggályosnak nevezhető. Ezt támasztja alá, hogy a közelmúltban született, több adatvédelmi hatósági döntésben megállapították, hogy a Google Analytics jelenleg alkalmazott gyakorlat szerinti használata nem jogszerű.

Az osztrák adatvédelmi hatóság

Az osztrák adatvédelmi hatóság 2021. végén hozott döntése szerint nem nyújt megfelelő védelmet az, hogyha az EU-n belül üzemeltetett honlap tulajdonosa és a Google LLC között alkalmazásra kerülnek a harmadik országokba irányuló adattovábbításokra vonatkozó általános szerződési feltételek. Ezen felül kiegészítő technikai és szervezési intézkedések meghatározása is szükséges. Az ilyen intézkedések megtétele minden esetben a honlap-üzemeltetőt terheli, akinek weboldala a Google Analytics-et használja és így a látogatók adatai az USA-ba kerülnek továbbításra. Nem szabad elfelejteni azt sem, hogy az amerikai jogszabályok meghatározott feltételek fennállása mellett biztosítja az Egyesült Államok hatóságainak számára, hogy a Google LLC szerverén tárolt adatokhoz hozzáférhessenek.

Az osztrák adatvédelmi hatóság előtt lefolytatott ügyben egy magánszemély egy osztrák honlapot üzemeltető, a Google Analytics szolgáltatását használó cég gyakorlatát kifogásolta, miszerint IP-íme (vagyis személyes adata) továbbításra került a Google amerikai szerverére. A cég végül elismerte, hogy részükről az IP-címek anonimizálásának beállítására nem került sor elégséges szinten.

A harmadik országba történő adattovábbítás jogszerűségének vizsgálata

Az adatvédelmi hatóság azt vizsgálta, hogy a Google Analytics által gyűjtött és továbbított adatok az IP-címek és az egyéb, alapvetően az adott weboldalon elhelyezett sütik által gyűjtött, a felhasználóhoz köthető azonosítók személyes adatnak minősülnek-e.

Az adatvédelem elveit az olyan személyes adatokra is alkalmazni szükséges, amelyek nem kerültek oly módon anonimizálásra, hogy az érintett nem vagy többé nem azonosítható. Az adat védelméhez elegendő az, ha csak lehetőség van az azonosításra, konkrét azonosításra nincs szükség. Mivel az IP-címek alkalmasak arra, hogy a látogatót azonosítsák a megfelelő technikai műveletek alkalmazásának segítségével, személyes adatoknak minősülnek és ennek megfelelően kezelésükre, továbbításukra alkalmazni kell a GDPR-ban rögzített adatvédelmi rendelkezéseket. Ezt amiatt is fontos kiemelni, mivel a Google Analytics által használt sütik segítségével a honlap látogatóinak, felhasználóinak tevékenysége, viselkedése, beállításaik és preferenciáik azonosíthatók és az esetleges újbóli weboldal látogatás esetén a honlap képes az adott felhasználó felismerésére, más felhasználótól való megkülönböztetésére.

Az adatvédelmi hatóság arra a megállapításra jutott, hogy az osztrák weboldal terhelik az adatkezelői kötelezettségek és felelősség, mint például az érintettek tájékoztatása a Google Analytics használatáról, a személyes adatok lehetséges címzettjeiről és az adattovábbításokról. Az osztrák weboldal tulajdonos és a Google LLC jogviszonyának kapcsán az adatvédelmi hatóság megállapította, hogy a Google LLC által alkalmazott kiegészítő biztonsági intézkedések nem minősültek elégséges és mindenekelőtt megfelelően hatékony intézkedésnek, mivel azok nem tekinthetők arra alkalmasnak, hogy megakadályozzák az amerikai hírszerző ügynökségek adatokhoz való esetleges hozzáférésének lehetőségét.

Észrevételek a Google Analytics jogszerű használatához

Harmadik országnak minősül az Európai Unió területén kívül elhelyezkedő valamennyi ország. Abban az esetben, ha az Európai Bizottság az adott harmadik ország adatvédelmi szintjét megfelelőnek értékelte, a szóban forgó ország az adatvédelem szempontjából biztonságos harmadik országnak minősül, akkor is be kell tartani az adattovábbítás általános szabályait.

Amennyiben adott weboldal üzemeltetője a Google Analytics szolgáltatásának segítségével kívánja kielemezni a weboldala használatát, a látogatóinak tevékenységét és preferenciáit, és ennek során a Google Analytics által alkalmazott sütiken keresztül gyűjtött látogatói személyes adatok, mint például IP-cím továbbításra kerül a Google LLC amerikai szerverére, ez harmadik országba történő adattovábbításnak minősül, így minden esetben alkalmazandók rá az adattovábbításra vonatkozó rendelkezések. Ezen felül a weboldal tulajdonosának mint adatkezelőnek gondoskodnia kell adatkezelői kötelezettségeinek teljesítéséről, elsősorban tehát megfelelő információbiztonsági szint, technikai és szervezési intézkedések kialakításáról és fenntartásáról, és az érintettek teljeskörű tájékoztatásáról. A Google Analytics használatával kapcsolatosan várható, hogy egyre több nemzeti adatvédelmi hatóság fogja azt jogszerűtlennek minősíteni, az adatkezelőket fokozott biztonsági intézkedések bevezetésére kötelezni, valamint adott esetben részükre ilyen intézkedéseket előírni.

Ennek megfelelően a Google Analytics használata esetén szükségesnek tartjuk az adatvédelmi tisztviselő, vagy adatvédelmi ügyvéd által biztosított konzultációt, valamint az adattovábbítások kockázatainak azonosítására és értékelésére szolgáló adatvédelmi hatásvizsgálatok elvégzését.