Google Analytics在欧盟被宣布违法？

2022年1月份，奥地利数据保护机构裁定，当地的一家网站发布商在应用 Google Analytics时没有提供足够的数据保护，理由是美国国家安全机构理论上有能力访问用户的个人数据。根据奥地利当局的说法，该网站的运营商将用户的个人数据传输到美国的谷歌违反了 GDPR第 44 条。

2022年2月份，法国数据保护机构跟进奥地利的判决，裁定互联网用户的个人数据被传输到美国是违反了GDPR第 44 条条款。

这两个裁定，都是奥地利一家叫NOYB的非盈利组织提起的投诉，它在欧盟当局于2020年宣布隐私盾失效后，向欧盟每一个成员国提交投诉，一共提交了101起。

奥地利和法国数据保护机构的这一表态无疑引起轩然大波，给其他欧盟地区的 Google Analytics客户带来了挑战。

这两个裁定都涉及到GDPR第44条，这一个条款主要是跨境数据传输。

在这之前欧盟和美国是通过隐私盾这个协议去处理个人数据的的，在隐私盾协议下，欧盟地区的个人数据是可以传递到欧盟之外的特定的国家和地区。所以，谷歌等美国互联网巨头将欧盟用户的个人数据传递回美国是合法的。

但这个协议在2020年的时候被欧盟以美国政府可以获取个人用户数据为由推翻了，因为美国基于美国的《外国情报监控法》，允许政府收集外国人用户相关信息，欧盟觉得违反了《欧盟基本权利宪章》，所以宣布隐私盾无效，个人数据不能传输到欧盟之外的地方。

在隐私盾更早之前，欧盟与美国之前是有个Safe Harbor 框架，为美国和欧盟之间为将个人数据从 EU/EEA 传输至美国提供法律依据，这个协议在2015结束。

没有类似的协议，Google Analytics将欧盟用户的个人数据传递到美国的时候就违法了。

上面说提及的基于个人数据而言，如果不传递个人数据，GDPR就不适用，就不会违法。

奥地利的裁定是基于NOYB的特定举例和网站的特定情况，所以这个裁定还有比较大的争议的，正如裁定文件里也表明问题与Google Analytics配置有关，如裁定文件所述，“由于可能的配置错误，被诉人并未在所有案件中激活 IP 匿名功能。” 通过不匿名 IP 地址，用户可以被识别，因此被视为 PII，根据 GDPR，这是一个重大违规行为。

Google Analytics里是有IP匿名功能，UA里需要主动设置的，网站运营者没设置好导致违法。后面谷歌就聪明，GA4直接就默认开启匿名IP。

在法国的裁定直接建议：

the CNIL recommends that these tools should only be used to produce anonymous statistical data, thus allowing for an exemption from consent if the data controller ensures that there are no illegal transfers. The CNIL has launched an evaluation programme to determine which solutions are exempt from consent.

法国数据保护机构建议使用匿名统计，就不受GDPR的限制。

这两个裁定，准确说是因为使用Google Analytics不当导致的将个人数据传递到美国，如果设置准确，只传递匿名信息是允许的。

如果只传递的匿名数据，Google Analytics的数据不能与其他的数据关联识别，毫无疑问Google Analytics的功能将会大打折扣。

目前，奥地利是将这个投诉转给德国的监管机构，因为被投诉的网站的母公司是德国，后面看德国的监管机构怎么判定。

也有一些报到说，美国和欧盟已经进行新的数据协议谈判，预计5月会发布新的协议。