Suomalaisten mediatalojen ja lukuisten muiden yritysten yleisesti käyttämä analytiikkatyökalu Google Analytics on todettu tietosuojalain vastaiseksi. Näin linjasivat pari viikkoa sitten EU:n tietosuojaviranomaiset.
Syynä ohjelmiston lainvastaisuudelle on, että sen kautta henkilötiedoiksi katsottavaa dataa, kuten IP-osoitteita, päätyy Yhdysvaltoihin ja samalla mahdollisesti maan tiedustelupalvelujen haltuun.
Suomen tietosuojavaltuutettu Anu Talus kertoo linjauksen taustalla olevan heinäkuussa 2020 tullut EU-tuomioistuimen niin sanottu Schrems II -ratkaisu, joka kumosi EU:n ja Yhdysvaltojen välisen Privacy Shield -tiedonsiirtojärjestelyn. Ratkaisun jälkeen EU:n tietosuojaneuvosto on antanut ohjeistusta lisäsuojatoimenpiteistä, joita edellytetään tietojen siirtämiseksi EU:n tai ETA-alueen ulkopuolelle eli niin sanottuihin kolmansiin maihin.
Taluksen mukaan toimenpiteet, joita Google on tehnyt, eivät kuitenkaan ole olleet riittäviä. Siksi Ranskan tietosuojaviranomainen totesi Analyticsin käytön nyt lainvastaiseksi. Päätös sitoo kaikkia EU-maita.
– Nyt on varmasti tarpeellista arvioida, millä tavoin Google Analyticsia käytetään omassa toiminnassa, Talus sanoo.
Google Analytics on ilmainen työkalu, jota käytetään laajasti mediakentässä. Suomen Lehdistön viimevuotisessa jutussa viisi haastateltavaa kuudesta listasi sen yhdeksi toimituksensa tärkeimmistä analytiikkatyökaluista.
Esimerkiksi Mediatalo Keskisuomalaisessa aiotaan tarkastella kriittisesti Google Analyticsin käyttöä, vaikka yhtiö ei olekaan analytiikassaan riippuvainen pelkästään siitä.
– Toisaalta moni varmasti toivoo Googlenkin reagoivan asiaan, koska asia koskettaa valtaosaa internetissä toimivista eurooppalaisista yrityksistä. Tilausta vaihtoehtoisille analytiikkaratkaisuille syntyy, jos mitään muutosta Googlen osalta ei tapahdu, kommentoi Keskisuomalaisen digijohtaja Kirsi Hakaniemi.
Taluskin sanoo, että kaikkein tehokkain tapa olisi, jos Google itse tekisi tuoreen linjauksen pohjalta tarvittavat tietosuojaparannukset. Samalla hän toteaa, ettei kuitenkaan ole suoraan Googlelta kuullut, että tällaisia parannuksia olisi vireillä. Taluksen mukaan tietoja keräävät yritykset voivat toki oma-aloitteisestikin ottaa käyttöön lisäsuojatoimenpiteitä, joilla ne varmistavat, että henkilötiedot on riittävästi suojattu, kun niitä siirretään kolmansiin maihin.
”Nyt on varmasti tarpeellista arvioida, millä tavoin Google Analyticsia käytetään omassa toiminnassa.”
Muun muassa Sanomalla aiemmin työskennellyt ja Keskisuomalaista tuoreessa Google Analytics -päätöksessä konsultoinut asianajotoimisto Iconicsin Anna Paimela kirjoittaa blogitekstissään, että ”kaikki yksityisyyden suojaa parantavat asetukset, kuten rajoitukset tiedon jakamiseen, on syytä ottaa käyttöön, jos Google Analyticsin käyttöä aikoo riskeistä huolimatta jatkaa”.
Tietosuojavaltuutetun toimisto on käännättämässä EU-tasoista päätöstä suomen kielelle, jotta kotimaiset toimijat voivat tutustua siihen mahdollisimman perusteellisesti.
Tietosuojavaltuutetulla on myös erikseen Suomessa vireillä tapauksia, jotka liittyvät henkilötietojen keräämiseen ja siirtämiseen kolmansiin maihin. Ne käsitellään tapauskohtaisesti, mutta tuore linjaus Google Analyticsin lainvastaisuudesta antaa suuntaviivoja.
Jos tietosuojavaltuutettu havaitsee puutteita yritysten toiminnassa, se voi vakavissa tapauksissa esimerkiksi määrätä yrityksille sakkoja. Kevyempiä keinoja on antaa yritykselle huomautus tietosuojasäännösten rikkomisesta tai määräys muuttaa toimintatapoja. Toisaalta valtuutettu voi jopa kieltää yritykseltä henkilötietojen käsittelyn kokonaan.
