Google Analytics a RODO – co z przekazywaniem danych do USA
Szwedzki organ nadzorczy zakazał czterem firmom, w tym operatorowi telekomunikacyjnemu Tele2, przetwarzania danych osobowych z wykorzystaniem Google Analytics i transferem danych osobowych do USA. Wnioski płynące z orzeczenia IMY mogą mieć istotne znaczenie również dla polskich administratorów. Sprawdź, czy korzystanie z Google Analytics jest zgodne z RODO.
Cztery firmy przetwarzały dane osobowe za pomocą Google Analytics
Sprawa dotyczyła wykorzystywania Google Analytics (w wersji z 14 sierpnia 2020 r.) przez czterech administratorów: CDON, Coop, Dagens Industri i Tele2. Narzędzie to służyło do przetwarzania danych osobowych, a korzystanie z niego wiązało się z transferem danych osobowych do USA czyli państwa trzeciego. Z uwagi głośny wyrok Trybunału Sprawiedliwości UE w sprawie Schrems II takie przetwarzanie danych zostało zaskarżone do IMY czyli szwedzkiego organu nadzorczego.
Dane w Google Analytics to dane osobowe
Organ orzekł, że dane statystyczne gromadzone w ramach Google Analytics są danymi osobowymi w rozumieniu RODO, ponieważ można było je powiązać z innymi unikalnymi danymi przesyłanymi za pomocą tego narzędzia. W konsekwencji według IMY dochodziło do transferu danych osobowych do państwa trzeciego czyli USA.
Korzystanie z Google Analytics w wersji z 14 sierpnia 2020 r. wiązało się z przekazywaniem danych osobowych do państwa trzeciego. Taki transfer musi być zalegalizowany za pośrednictwem środków przewidzianych w RODO.
Brak dodatkowych zabezpieczeń
Każda z wymienionych firm oparła przekazywanie danych osobowych do USA o standardowe klauzule umowne. W ocenie IMY nie było to jednak wystarczające. Klauzule te powinny być bowiem uzupełnione dodatkowymi zabezpieczeniami. Tymczasem żadna z firm takich środków nie wdrożyła.
W ocenie IMY do stosowania Google Analytics nie wystarczyło powołanie się na standardowe klauzule umowne.
W efekcie szwedzki organ nadzorczy:
-
nałożył kary pieniężne na Tele2 i CDON,
-
nakazał administratorom zaprzestanie przetwarzania danych osobowych za pośrednictwem Google Analytics (z wyjątkiem Tele2, które zaprzestało takich praktyk przed wydaniem decyzji).
- Pracownik w delegacji – jak wygląda przekazywanie jego danych osobowych do państwa trzeciego
- Mechanizmy dochodzenia roszczeń w związku z wdrożeniem ram ochrony danych UE - USA
- Upoważnienie do przetwarzania danych osobowych czy oświadczenie o poufności
- TSUE: Identyfikator personalizacji reklam zaliczany do danych osobowych według RODO
- Kara za przetwarzanie danych osobowych w rozmowach telefonicznych bez podstawy prawnej
- Zgoda marketingowa – czy także od firmy lub instytucji
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
