Το Google Analytics (GA) χρησιμοποιεί cookies όπως το _ga και το _gid για να διακρίνει μεμονωμένους χρήστες σε έναν τομέα. Αυτά τα cookies δεν ταξινομούνται ως απολύτως απαραίτητα, ενεργοποιώντας έτσι τις απαιτήσεις που ορίζονται από τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR) και την Οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (ePrivacy Directive) για ρητή συγκατάθεση του χρήστη πριν από την ενεργοποίησή τους. Αυτό ευθυγραμμίζεται με την αρχή ότι μόνο τα απολύτως απαραίτητα cookies εξαιρούνται από τις υποχρεώσεις συγκατάθεσης (European Parliament and Council, 2016).
Οι απαιτήσεις συγκατάθεσης ποικίλλουν ανάλογα με τη δικαιοδοσία εντός της ΕΕ, όπως καταδεικνύεται από τις διαφορετικές ερμηνείες και την επιβολή από τις Αρχές Προστασίας Δεδομένων (DPAs):
- Το Γραφείο του Επιτρόπου Πληροφοριών του Ηνωμένου Βασιλείου (ICO) ταξινομεί τα cookies αναλυτικών στοιχείων ως μη απαραίτητα, απαιτώντας ρητά τη συγκατάθεση του χρήστη πριν από την ενεργοποίηση των cookies του GA (ICO, 2020).
- Η Αρχή Προστασίας Δεδομένων της Γερμανίας (DPA) απαιτεί ρητή συγκατάθεση για τα cookies αναλυτικών στοιχείων μόνο εάν τα δεδομένα μεταφέρονται σε τρίτους, αντικατοπτρίζοντας μια πιο υπό όρους προσέγγιση (BfDI, 2021).
- Αρχές όπως η αυστριακή DPA, η γαλλική CNIL και η ιταλική Garante έχουν εκδώσει αποφάσεις ότι το Google Analytics παραβιάζει τον GDPR, κυρίως λόγω ζητημάτων μεταφοράς δεδομένων και ανεπαρκών διασφαλίσεων (CNIL, 2022· Garante, 2023).
Αυτές οι αποφάσεις εστιάζουν στα εξής:
- Μεταφορές δεδομένων σε τρίτες χώρες, ιδίως στις ΗΠΑ, οι οποίες δεν διαθέτουν αποφάσεις επάρκειας βάσει του GDPR.
- Ανεπαρκής ανωνυμοποίηση ή ψευδωνυμοποίηση των προσωπικών δεδομένων που διαβιβάζονται στους διακομιστές της Google.
- Έλλειψη έγκυρων νομικών βάσεων για την επεξεργασία προσωπικών δεδομένων μέσω του GA χωρίς ρητή συγκατάθεση.
Οι συνέπειες για τους διαχειριστές ιστοτόπων είναι σημαντικές:
- Πρέπει να λαμβάνουν ρητή και εν επιγνώσει συγκατάθεση πριν από την ενεργοποίηση των cookies του GA.
- Θα πρέπει να αξιολογούν εάν η χρήση του GA από αυτούς συμμορφώνεται με τις ειδικές ανά δικαιοδοσία κατευθυντήριες γραμμές των DPA.
- Εναλλακτικές λύσεις ή πρόσθετα μέτρα (π.χ. παρακολούθηση από την πλευρά του διακομιστή, ενισχυμένη ανωνυμοποίηση) μπορεί να είναι απαραίτητα για τη διασφάλιση της συμμόρφωσης.
Συνοπτικά, η χρήση του Google Analytics βάσει του GDPR δεν εξαιρείται από τις απαιτήσεις συγκατάθεσης, με ισχυρά ρυθμιστικά σήματα από πολλαπλές DPA να δίνουν έμφαση στη ρητή συγκατάθεση λόγω των κινδύνων για την ιδιωτικότητα που συνδέονται με τη χρήση cookies και τις διασυνοριακές μεταφορές δεδομένων. Η μη συμμόρφωση μπορεί να οδηγήσει σε ρυθμιστικές ενέργειες, συμπεριλαμβανομένων προστίμων.
