Szerokim echem odbiła się decyzja Austriackiego Urzędu Ochrony Danych, który stwierdził, że korzystanie z Google Analytics narusza RODO. Najpierw jednak nakreślmy tło całej sytuacji.
W 2020 r. TSUE orzekł, że umowa o przekazywaniu danych między USA a UE, tzw. „Tarcza Prywatności”, jest niezgodna z unijnym prawem o ochronie danych, a co za tym idzie, większość danych była do tego czasu przekazywana z Europy do Stanów nielegalnie.
WYROK ZOSTAŁ JEDNAK CZĘŚCIOWO ZIGNOROWANY PRZEZ GOOGLE
W trakcie postępowania koncern przyznał, że „wszystkie dane zebrane za pomocą Google Analytics (…) są hostowane (tj. przechowywane i dalej przetwarzane) w USA”. Odnosi się to również do danych użytkowników europejskich.
Z Google Analytics korzysta wiele firm w UE, a zatem wiele z nich przekazało swoje dane do Google, umożliwiając tym samym przetwarzanie ich danych w USA.
CZYM W ISTOCIE JEST GOOGLE ANALYTICS?
To internetowe narzędzie do analizy statystyk serwisów WWW, udostępniane przez firmę Google, z którego korzysta większość administratorów stron internetowych.
Wielu administratorów optymalizuje środki i decyduje się na korzystanie z serwerów poza granicami Unii Europejskiej. Konsekwencje przedmiotowej decyzji mogą dotknąć tysięcy firm, które przesyłają dane osobowe do USA – czyli poza Europejski Obszar Gospodarczy.
TRANSFER DANYCH OSOBOWYCH POZA EOG
Transfer danych osobowych do państwa trzeciego, czyli poza Europejski Obszar Gospodarczy oraz do organizacji międzynarodowej możliwy jest w przypadku, kiedy nie będzie naruszał stopnia ochrony osób fizycznych zagwarantowanego w RODO oraz kiedy zostanie potwierdzony odpowiedni poziom zabezpieczeń danych osobowych w podmiocie, do którego dane mają trafić.
Zgodnie z art. 46 ust. 1 RODO w razie braku decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony danych osobowych w państwie trzecim (spoza Europejskiego Obszaru Gospodarczego) lub organizacji międzynarodowej możliwe jest przekazanie danych osobowych, jeżeli:
- państwa te lub organizacje zapewniają odpowiednie zabezpieczenia danych,
- w państwach tych lub organizacjach obowiązują egzekwowalne prawa osób, których dane dotyczą i skuteczne środki ochrony prawnej.
DECYZJA AUSTRIACKIEGO ORGANU
Decyzja ta co prawda dotyczy konkretnego narzędzia – Google Analytics, de facto jednak oznacza podważenie legalności przesyłania danych do USA.
Skutki mogą być opłakane, ponieważ bez nowej podstawy prawnej nie będzie możliwe korzystanie z wielu usług dostarczanych przez amerykańskie koncerny.
Austriacki organ ochrony danych orzekł teraz, że przekazywanie danych przez firmy w UE do Google, umożliwiając tym samym przetwarzanie danych w USA, stanowi naruszenie unijnego prawa.
OŚWIADCZENIE PRZEWODNICZĄCEGO NOYB*
„Zamiast dostosowywać usługi tak, aby były zgodne z RODO, amerykańskie firmy próbowały po prostu dodać stosowny akapit do informacji o polityce prywatności i ignorować wyrok TSUE. Ich śladem podążyło wiele firm z UE”, wyjaśnił Max Schrems, honorowy przewodniczący NOYB, w wydanym oświadczeniu.
Wiele komentatorów spodziewa się, że na kanwie tej decyzji „podobne decyzje będą teraz zapadać w większości państw członkowskich UE”.
Autor wpisu: Emilia Polańska
Inspektor Ochrony Danych
* NOYB – Europejskie Centrum Praw Cyfrowych, organizacją non-profit z siedzibą w Wiedniu
Źródło grafiki: https://noyb.eu/pl/austriacki-dsb-przekazywanie-danych-miedzy-ue-usa-do-google-analytics-niezgodne-z-prawem