אירופה: השימוש בגוגל אנליטיקס מפר את הוראות GDPR

23.1.2021 נועה גבע, עו"ד (CIPP/E)

בהחלטה שפורסמה ב-13 לינואר 2022, הודיעה רשות הגנת הפרטיות באוסטריה כי השימוש בגוגל אנליטיקס מנוגד להוראות ה-GDPR בתחום הפרטיות, משום שהכלי מעביר מידע אישי לארה"ב בניגוד לכללים שנקבעו בפסק הדין מיולי 2000 בענין העברת מידע מאירופה לארה"ב ("פסק הדין בעניין שרמס").

בעקבות פסק הדין בענין שרמס, חברות שמעבירות כיום מידע מאירופה לארה"ב נדרשות לוודא כי קיימים אמצעים משלימים להגנה על המידע. בהחלטה הנ"ל קבעה הרשות האוסטרית להגנת הפרטיות כי האמצעים הטכניים המשלימים בהם נקטה גוגל אנליטיקס - לרבות הגבלת גישה למרכזי המידע והצפנת מידע המועבר בעת העברתו ברחבי העולם - אינם מונעים את הסיכון הפוטנציאלי של ניטור המידע בידי רשויות המודיעין האמריקאיות.

מספר ימים קודם לכן ניתנה החלטת רגולטור הפרטיות האירופאי (EDPS) אשר קבע כי הפרלמנט האירופאי הפר את הוראות ה-GDPR באתר הרשמי לבדיקות COV-19 אשר עושה שימוש בכלים של Google Analytics וספק התשלומים Stripe, שתיהן חברות אמריקאיות.

בהחלטת הרגולטור במוסדות האיחוד האירופאי, בנוגע לתלונה שהגישו חברי פרלמנט אירופאים ועמותת הפרטיות האוסטרית NOYB (שייסד מקס שרמס) נגד הפרלמנט האירופי, נקבע כי השימוש בגוגל אנליטיקס כרוך בהעברת מידע אישי - בהן כתובות IP - לעיבוד בארה"ב. איסוף כתובות IP מאפשר לערוך הבחנה בין משתמשים ועל כן נחשב מידע אישי גם אם זהותו האמיתית של המשתמש לא ידועה.

עוד קבע הרגולטור כי העברת המידע האישי לארה"ב יכולה להתבצע רק בהתאם לדרישות פסק הדין בעניין שרמס, המחייב את בעל השליטה במידע לבחון ולוודא שמיושמים אמצעים חוזיים, טכניים או ארגוניים כדי לוודא שרמת ההגנה שמקבל המידע שמועבר לארה"ב שקולה מהותית לזו שבדין האירופי. הפרלמנט האירופי לא סיפק לרגולטור תיעוד כלשהו ליישום אמצעים כאלה או לבחינה שנערכה בנושא זה ולמסקנות שהתקבלו. הרגולטור מצא הפרות נוספות, בהן הפרת חובת השקיפות (בהודעות הקוקיז) כלפי נושאי מידע והחובה לאפשר לנושא המידע לעיין במידע שנאסף עליו. הרגולטור הקציב לפרלמנט חודש לצורך תיקון ההפרות.

שתי ההחלטות התקדימיות הנ"ל צפויות להגביר את הלחץ לקידום המגעים בין ארה"ב לאירופה לצורך מציאת חלופה להסדר Privacy Shield לצורך הקלה על זרימת המידע ביניהן. ככל שהמגעים יתעכבו, אנו צפויים לראות "אפקט דומינו" בדמות שלל תביעות דומות באירופה בנוגע להעברת מידע שנעשית לחברות אמריקאיות רבות נוספות דוגמת אמזון, פייסבוק, גוגל ומייקרוסופט, דבר שצפוי בסופו של דבר לפגוע בסחר הבינלאומי בין אירופה לארה"ב.

_____________________________________________

עדכון זה אינו מהווה ייעוץ או חוות דעת משפטית בנושא, והוא מוגש כסקירה כללית. בכל נושא ספציפי יש לפנות למשרדנו לקבלת ייעוץ.