Co dokładnie zdarzyło się w ostatnich miesiącach

Punktem wyjścia jest wyrok Trybunału Sprawiedliwości UE z lipca 2020 roku, znany jako Schrems II, który unieważnił mechanizm Privacy Shield jako podstawę przekazywania danych do Stanów Zjednoczonych. Po tym wyroku organizacja noyb Maxa Schremsa złożyła sto jedną skargę na strony korzystające z narzędzi amerykańskich dostawców.

13 stycznia tego roku austriacki organ ochrony danych rozstrzygnął pierwszą z nich. Uznał, że dane zbierane przez Google Analytics na austriackiej stronie zostały przekazane do Google LLC w Stanach Zjednoczonych i że takie przekazanie narusza przepisy RODO o transferach do krajów trzecich. Środki dodatkowe, na które powoływał się dostawca, organ ocenił jako niewystarczające, bo nie usuwają możliwości dostępu amerykańskich służb do danych.

10 lutego francuski CNIL zajął takie samo stanowisko i wezwał administratora jednej z francuskich stron do dostosowania się w ciągu miesiąca. Holenderski organ ogłosił własne postępowanie i opatrzył swój poradnik o prywatnej konfiguracji Analytics ostrzeżeniem, że korzystanie z narzędzia może wkrótce nie być dozwolone.

Polski organ nie wydał do dziś decyzji w tej sprawie. To nie znaczy, że tematu nie ma — znaczy, że w Polsce nikt jeszcze nie postawił kropki nad i.

Na czym polega problem, o którym mówią urzędy

Warto rozumieć konstrukcję zarzutu, bo z niej wynika, co da się poprawić, a co nie.

Pierwszy element: to, co zbiera Analytics, jest daną osobową. Nie chodzi o imię i nazwisko, ale o identyfikator z pliku cookie w połączeniu z adresem IP, informacjami o urządzeniu i historią odwiedzin. Organy uznały, że taki zestaw pozwala wyróżnić konkretną osobę, a więc przepisy mają zastosowanie.

Drugi element: samo udostępnienie tych danych spółce z siedzibą w USA jest przekazaniem w rozumieniu RODO. Nie ma znaczenia, gdzie fizycznie stoi serwer, jeśli podmiot amerykański ma do danych dostęp.

Trzeci element: brak podstawy dla takiego przekazania. Po unieważnieniu Privacy Shield zostają standardowe klauzule umowne, ale zgodnie z wyrokiem trzeba do nich dołożyć środki, które faktycznie uniemożliwią dostęp służb. Zdaniem obu organów opisane środki takiego skutku nie dają, bo dostawca podlega amerykańskim przepisom o nadzorze.

Z tego wynika rzecz, którą powtarzam klientom najczęściej: to nie jest problem konfiguracji, tylko problem podstawy prawnej transferu. Żadne pole w panelu Analytics tego nie rozstrzyga.

Czego te decyzje nie mówią

Tu jest miejsce na najwięcej nieporozumień, także w polskiej prasie branżowej.

Nie ma zakazu Google Analytics w Unii Europejskiej. Są decyzje dotyczące konkretnych administratorów danych i konkretnych wdrożeń, wydane przez organy dwóch państw. Nie ma też automatycznych kar — w rozstrzygniętych sprawach organy stwierdzały naruszenie i wzywały do dostosowania.

Nie ma również przepisu, który wskazywałby narzędzie zgodne. Ten sam mechanizm zarzutów dotyczy każdego dostawcy podlegającego amerykańskiemu prawu, nie wyłącznie Analytics.

Jest natomiast rzecz świeża i warta pilnowania: 25 marca, sześć dni temu, Komisja Europejska i administracja Stanów Zjednoczonych ogłosiły porozumienie polityczne co do zasad nowych ram przekazywania danych. To zapowiedź, nie stan prawny. Nie ma decyzji o adekwatności, nie ma tekstu do przeczytania i nikt dziś nie powie, kiedy i w jakiej formie to wejdzie w życie oraz czy przetrwa kolejne postępowanie sądowe. Do tego czasu obowiązuje stan opisany wyżej.

Co realnie da się zrobić z konfiguracją

Kolejność, którą stosuję przy przeglądzie konta klienta. Żaden z tych punktów nie rozwiązuje kwestii transferu, ale każdy zmniejsza ilość danych i ryzyko przy okazji.

• Anonimizacja adresu IP w starszej wersji Analytics — sprawdzam, czy w ogóle jest włączona, bo w wielu wdrożeniach nie jest. Austriacki organ uznał ją za niewystarczającą, ale jej brak jest po prostu zaniedbaniem.

• Okres przechowywania danych — domyślne ustawienia bywają dłuższe, niż ktokolwiek potrzebuje. Skracam do okresu, który klient faktycznie wykorzystuje w analizach.

• Funkcje reklamowe i sygnały Google — jeśli nie są używane do remarketingu, wyłączam. Włączone poszerzają zakres przetwarzanych danych bez korzyści.

• Udostępnianie danych Google — ustawienia w sekcji administracyjnej usługi, w tym udział w danych porównawczych. Warto przejrzeć, co jest zaznaczone.

• Brak danych identyfikujących w adresach i zdarzeniach — to najczęstsze faktyczne naruszenie, jakie widzę: adresy e-mail w parametrach URL, numery zamówień z danymi klienta, identyfikatory z systemu CRM przekazywane jako wymiary. Tego nie wolno wysyłać niezależnie od dyskusji o transferach.

Do tego dochodzi porządek dokumentacyjny: warunki przetwarzania danych zaakceptowane w koncie, wpis w rejestrze czynności, aktualna informacja w polityce prywatności i — jeśli klient prowadzi ocenę skutków transferu — udokumentowana decyzja o dalszym korzystaniu z narzędzia.

Zgody, bez których cała reszta nie ma znaczenia

Najczęstszy błąd technicznych wdrożeń w Polsce nie ma nawet związku z transferami: skrypt analityczny odpala się przed uzyskaniem zgody. Banner jest, wygląda poprawnie, a tagi już wysłały pierwsze zdarzenie.

Sprawdzam to zawsze narzędziem podglądu w menedżerze tagów i zakładką sieci w przeglądarce: czy przed kliknięciem w bannerze wychodzi jakiekolwiek żądanie do serwerów pomiarowych i jakie pliki cookie zostały zapisane. Jeśli wychodzi, dyskusja o retencji danych jest przedwczesna.

Drugi element to możliwość odmowy równie łatwej jak zgoda i realne działanie tej odmowy. Banner z jednym przyciskiem i linkiem do ustawień schowanym pod „więcej opcji” nie spełnia tego warunku, a jest wciąż standardem w polskich sklepach.

Trzeci to tryb uzyskiwania zgody w narzędziach Google, który pozwala reagować na decyzję użytkownika bez wyłączania całego pomiaru. Warto go traktować jako sposób na porządek w tagach, a nie jako sposób na obejście zgody — bo tym nie jest.

Jak podejmuję tę decyzję z klientem

Nie mam dla nikogo jednej rekomendacji, bo to decyzja o ryzyku prawnym, a to nie moja rola. Mam natomiast układ rozmowy, który się sprawdza.

Najpierw ustalam, co firma naprawdę robi z danymi. Zdziwiłbyś się, jak często pełny pomiar zachowań służy do patrzenia raz w miesiącu na liczbę sesji. Tam ograniczenie zakresu danych jest bezbolesne.

Potem sprawdzam, czy kluczowe dane biznesowe da się wziąć z innego źródła — z systemu sklepowego, z panelu płatności, z własnej bazy. Zwykle da się i wtedy uzależnienie od narzędzia analitycznego maleje.

Następnie porządkuję to, co da się uporządkować: zgody, retencję, brak danych identyfikujących, dokumentację. To robimy niezależnie od tego, jak rozwinie się sprawa transferów.

Na koniec zapisujemy decyzję i termin jej przeglądu. Dwa terminy są tu istotne. Pierwszy to zapowiedziane 16 marca wyłączenie starszej wersji Analytics — od tej pory każdy i tak stoi przed decyzją o zmianie narzędzia pomiaru, więc warto przy tej okazji przejrzeć również kwestie prawne, a nie przenosić starych ustawień w nowe miejsce. Drugi to rozwój sprawy nowych ram przekazywania danych. Kilka miesięcy temu odpowiadałem na to pytanie inaczej niż dziś i całkiem możliwe, że za kilka miesięcy odpowiem jeszcze inaczej.