GDPR och Google Analytics 4 – vad gäller nu?

Den 3 juli 2023 meddelade Integritetsskyddsmyndigheten (IMY) att fyra svenska företag omedelbart måste upphöra med användningen av Google Analytics. Två av dessa företag fick även sanktionsavgifter. Huvudanledningen till besluten var att Google Analytics för över personuppgifter till tredje land (USA).

Överföring till tredje land (kapitel 5)

Enligt dataskyddsförordningen, även känd som GDPR, är det möjligt att överföra personuppgifter till länder utanför EU/EES (det vill säga tredjeländer) om EU-kommissionen har fastställt att det berörda landet upprätthåller en adekvat skyddsnivå för personuppgifter likvärdig med den som EU/EES erbjuder. Men i och med Schrems II-domen beslutade EU-domstolen att USA inte höll adekvat skyddsnivå. Därmed bröt Google Analytics vid tiden för besluten mot kapitel 5 i GDPR.

En vändning inträffade dock redan den 10 juli, när ett nytt EU-beslut offentliggjordes. Det nya beslutet innebär att USA anses uppräthålla en adekvat skyddsnivå. Bolag som finns med på Data Privacy Framework Programs lista är certifierade och tillåtna att använda.  

Google Analytics och GDPR: Finns fortfarande krav

IMY:s beslut innan sommaren är alltså redan baserat på föråldrad lagstiftning, och det är tillåtet att använda Google Analytics som verktyg. Däremot är det givetvis fortfarande viktigt att se över hur de andra delarna i GDPR uppfylls som inte gäller just överföring till tredje land, framför allt punkterna i kapitel 4 – men detta gäller oavsett vilket webbanalysverktyg du väljer.

Viktigt för dig att tänka på:

• Följ löpande utvecklingen av lagstiftning och stämma av med jurist vid behov

• Ha en korrekt implementerad cookiebanner som säkerställer att användarens val uppfylls

• Säkerställa tydliga samtyckestexter

• Uppdatera integritets- och cookiepolicy (med bl. a. överföringar till tredje land)

Lisa Walder

Growth Strategist & Partner

Maniola studios