新年伊始，谷歌迎来首批合规挑战：奥地利数据保护局（DSB）裁定持续使用Google Analytics违反GDPR。
此裁决源于非政府组织“Noyb”依据2020年欧洲法院“Schrems II”判决提出的101起投诉。该判决认定美国供应商受法律约束需向美国政府共享数据，允许其访问欧洲用户信息，此举违反GDPR。这是首份针对该裁决的具体执法决定。
- 背景：因网站Cookie问题，欧洲议会曾受处罚
目前尚无具体处罚，但风险极高
该决定对将个人数据从欧洲传输至美国的工具发出警报。监管机构指出，IP地址及Cookie包含访客个人信息，相关传输属于欧盟数据保护法管辖范围。
在Google Analytics案例中，除未正确实施IP“匿名化”功能外，监管机构强调共享给美国的IP数据包含可识别用户的个人信息。
“美国情报机构使用IP地址等在线标识符作为监视个人的起点。”监管机构表示。
尽管尚未决定是否罚款，但GDPR规定类似违规最高可处2000万欧元或全球营业额4%的罚款。
Noyb名誉主席Max Schrems表示：“企业本应调整服务以符合GDPR，但美国企业仅在隐私政策中添加文字而无视欧洲法院，许多企业盲目效仿而非转向合法选项。”
Schrems补充道：“这是一项详尽且坚实的裁决。结论是企业不能再在欧洲使用美国云服务。距欧洲法院第二次确认已过去1.5年，现在正是执法恰当时机。”
谷歌官方回应
谷歌发布声明，从六方面捍卫其业务合规性：
- Google Analytics旨在帮助组织了解用户行为以优化运营，不追踪个人也不进行画像。
- 组织完全控制通过Google Analytics收集的数据。
- 提供多种工具和资源协助客户实现合规。
- 帮助用户管理自身数据。
- 严禁利用敏感信息（健康、种族、性取向等）展示广告。
- 数据传输仅在满足严格隐私条件时进行。数据先在本地服务器收集并匿名化处理（若启用），再传输至全球数据中心。GDPR和欧盟法院指出，只有满足特定条件，数据才能转移至欧盟以外。
对欧洲网站至关重要的决定
Google Analytics是使用最广泛的分析工具，绝大多数网站依赖其发送用户数据。此裁决对欧盟内几乎所有网站至关重要。
- 参考：2021年最佳Google Analytics替代工具
监管机构可能宣布向美国发送数据的服务非法，这将迫使欧盟企业及美国供应商寻求更安全、合法的替代方案。
Schrems解释：“我们在欧盟所有成员国提交了101起投诉，工作组已成立，预计其他机构将陆续发布类似裁决，形成多米诺骨牌效应。”
长远来看有两种解决方案：要么美国调整针对外国人的数据保护基础；要么美国供应商将数据存储在美国境外。后者目前更可行，因为欧盟法律规定欧洲级别的保护必须随数据转移：尽管美国法律会通知用户数据将被使用，但用户对此无能为力。