IMY заявила, что изучила использование Google Analytics фирмами после жалобы австрийской группы по защите персональных данных noyb, которая подала десятки жалоб на Google по всей Европе.
Noyb заявила, что использование компаниями Google Analytics для веб-статистики привело к передаче европейских данных в Соединенные Штаты в нарушение регламента ЕС по защите данных, GDPR.
GDPR разрешает передачу данных в третьи страны только в том случае, если Европейская комиссия определила, что они предлагают по крайней мере тот же уровень защиты конфиденциальности, что и ЕС, а решение Суда ЕС от 2020 года отменило сделку по передаче данных между ЕС и США как недостаточную.
IMY заявила, что считает данные, отправленные четырьмя компаниями в Google Analytics в Соединенных Штатах, персональными данными и что «принятые компаниями технические меры безопасности недостаточны для обеспечения уровня защиты, который по существу соответствует уровню, гарантированному в ЕС …»
Она оштрафовала телекоммуникационную компанию Tele2 на 12 миллионов крон (более 1,1 миллиона долларов) и онлайн-площадку CDON на 300 000 крон.
Сеть продуктовых магазинов Coop и газета Dagens Industrial приняли дополнительные меры для защиты передаваемых данных и не были оштрафованы.
Tele2 прекратила использовать Google Analytics по собственной воле, и IMY предписала другим компаниям прекратить ее использование.
Юрисконсульт IMY Сандра Арвидссон, которая руководила расследованием, заявила, что в постановлениях агентства «четко указано, какие требования предъявляются к техническим мерам безопасности и другим мерам при передаче персональных данных в третью страну, в данном случае в Соединенные Штаты».
Nyob приветствовала решение IMY.
«Хотя многие другие европейские власти (например, Австрия, Франция и Италия) уже установили, что использование Google Analytics нарушает GDPR, это первый финансовый штраф, наложенный на компании за использование Google Analytics», — говорится в заявлении.
В конце мая Европейская комиссия заявила, что надеется к концу лета разработать новую правовую базу для передачи данных между ЕС и Соединенными Штатами.
RGPD, действующая с 2018 года, может привести к штрафам в размере до 20 миллионов евро, или четырех процентов от глобальной выручки компании.
