IP-anonymisering ser ikke ut til å hjelpe

GDPR forbyr som utgangspunkt overføring av personopplysninger ut av EØS. DSB og CNIL mener Google Analytics samler inn personopplysninger og at disse overføres til USA. Det europeiske datatilsynet (EDPS) har nylig konkludert tilsvarende i en sak om bruk av Google Analytics på EU-parlamentets nettside.

Google har argumentert for at opplysningene som samles inn via Google Analytics ikke er personopplysninger fordi Google ikke kobler opplysningene de samler inn til enkeltindivider. Verken DSB eller EDPS er enige i dette. Etter deres syn er det «digitale fotavtrykket», bestående av for eksempel cookie-ID, IP-adresse, nettleser og operativsystem, nok til at det er snakk om personopplysninger, selv om identifikatorer som navn ikke samles inn. Avgjørende for DSB og EDPS synes å være at det er mulig å «single ut» en bruker fra en annen, uavhengig om brukerens identitet er kjent. CNIL har ikke redegjort ordentlig for sin begrunnelse, men ser ut til å ha samme tilnærming.

Google tilbyr en funksjon for IP-anonymisering, som gjør at IP-adresse ikke overføres. Det østerrikske nettstedet i saken for DSB hadde ikke implementert denne funksjonen på riktig måte. DSB mente imidlertid at dette uansett neppe ville vært avgjørende fordi IP-adressen kun utgjør en liten del av det digitale fotavtrykket.

Det er ikke gitt at tilsynsmyndighetenes forståelse er riktig, eller at den ikke kan nyanseres. For det første var personen som klaget inn Google til DSB logget inn på sin Google-konto. Det er noe uklart om konklusjonen hadde blitt den samme hvis personen ikke hadde en Google-konto (selv om en slik distinksjon vil være krevende for en nettsideeier å praktisere). For det andre følger det av GDPR at en «online identifier» først er en personopplysning hvis det rimeligvis kan tenkes at brukeren kan bli identifisert, sett hen til teknologien, kostnadene og tiden det vil ta. DSB og EDPS tar nok noe lett på dette kriteriet. Ettersom CNIL ikke har publisert avgjørelsen sin er det ikke klart om de adresserer dette kriteriet i større utstrekning enn DSB og EDPS.

Kryptering fremstår som det eneste virkemiddelet

For å overføre personopplysninger på lovlig vis til USA, må personopplysninger gis tilnærmet samme beskyttelse som i EØS. Dette vil kreve tiltak, fordi amerikansk personvernlovgivning er fragmentert, og fordi amerikanske etterretningslover gir myndighetene vid adgang til data.

Google forsøkte å overbevise DSB om at selskapet har innført egnede sikkerhetstiltak. Selskapet presenterte omfangsrik dokumentasjon på alt fra inngjerding av serverparker og ende-til-ende kryptering, men DSB lot seg ikke overbevise. DSB vurderte det slik at så lenge Google selv har krypteringsnøkkelen, vil amerikanske myndigheter kunne få tak i nøkkelen og derigjennom personopplysningene. DSBs avgjørelse indikerer at det eneste tiltaket som kan være tilstrekkelig er kryptering av opplysningene før overføring til USA, og hvor krypteringsnøkkelen er utilgjengelig for Google. Det er tvilsomt om en slik løsning er særlig praktisk. CNIL har i sin pressemelding kun skrevet at Google har implementert supplerende tiltak, men at disse ikke er tilstrekkelige for å hindre etterretningsmyndigheter i USA fra å få tilgang til opplysningene. Det virker derfor som at de har hatt samme innfallsvinkel som DSB.

Hva bør man gjøre nå

Vi anbefaler at norske virksomheter som bruker Google Analytics om å se etter et europeisk alternativ. Ved fortsatt bruk av Google Analytics anbefaler vi at IP-anonymisering aktiveres (selv om dette ikke uten videre er tilstrekkelig). Dessuten må man sørge for at brukerne gis informasjon, f.eks. i en cookie-policy, om hvilke cookies som benyttes, hvilke opplysninger som behandles, hvem som behandler opplysningene, formålet med behandlingen, hvor lenge opplysningene blir lagret, om data overføres ut av EØS, og i så fall hvilket overføringsgrunnlag som benyttes.

Samtidig bør ikke betydningen av tilsynsmyndigheters avgjørelser overdrives. Når de også fungerer som ombud for individers personvern, vil avgjørelsene ofte ha en slagside. Avgjørelsene kan overprøves av domstolene. Det vil være en fordel med domstolsprøving før alle aktører endrer en langvarig praksis.