De Oostenrijkse gegevensbeschermingsautoriteit oordeelde recent dat het gebruik van Google Analytics in strijd met de GDPR is. Dit naar aanleiding van een klacht ingediend door NOYB. Niet zozeer de grond op basis waarvan cookies worden verwerkt speelt hier een rol maar het feit dat de cookies ‘in plain text’ worden verwerkt en doorgestuurd in het Google ecosysteem (dus ook naar de Amerikaanse moeder). Bij die ‘doorgifte’ moeten volgens de GDPR en eerdere richtlijnen gepaste maatregelen worden genomen. De Oostenrijkse gegevensbeschermingsautoriteit oordeelt dat Google niet voldoende maatregelen heeft genomen en de verwerking dus niet in lijn ligt met de wetgeving. 

Deze beslissing heeft als directe impact dat het gebruik van Google Analytics voor Oostenrijkse organisaties per direct in strijd met de wetgeving is bevonden. Van hen wordt verwacht dat zij (om sancties te vermijden) het gebruik van Google Analytics zo snel als mogelijk stopzetten. Hoewel dit voor Belgische bedrijven en organisaties in andere landen ook een teken aan de wand is is altijd wel de beslissing van de eigen gegevensbeschermingsautoriteit leidend. Zij kunnen er dus voor kiezen proactief te handelen of verdere richtlijnen af te wachten. Nu reeds hebben zowel de Nederlandse, Noorse als Deense gegevensbeschermingsautoriteit aangegeven met de zaak bezig te zijn. De Belgische gegevensbeschermingsautoriteit heeft voorlopig nog niet thuis.

Binnen Infosentry bekijken we samen met onze klanten de mogelijke alternatieven. Vele organisaties nemen een afwachtende houding aan omdat de impact (mogelijks) verregaand is. Het gebrek aan gelijkwaardige Europese alternatieven en andere belangen komen daarbij al snel als reden naar boven. We volgen dit voor hen op en blijven hen hierin adviseren. Aanpassingen die nu of in de toekomst aan de orde zijn zijn (1) het vervangen van Google Analytics en/of (2) het vragen van een specifieke toestemming voor de doorgifte nadat voldoende op de gevolgen en risico’s van die doorgifte is gewezen.