奧地利資料保護局 (DPA) 認定 Google Analyitcs 違反 GDPR

奧地利資料保護局 (DPA) 認定 Google Analyitcs 違反 GDPR

大家好,我是 Eric。

日前開源追蹤軟體 Matomo 的部落格文章指出,奧地利的資料保護局正式聲明,對於在奧地利境內的網路服務提供者,或是針對奧地利居民提供服務的供應商,使用 Google Analytics (以下簡稱 GA) 是違反歐盟一般資料保護規則 (General Data Protection Regulation,以下簡稱 GDPR) 的。

儘管 Google 當時因應 GDPR 做出對隱私權管理的說明,但本次的判決仍然認為 GA 仍有違反 GDPR 規範的疑慮。

由於 GDPR 是歐盟針對個人資料保護的一般性規範,一旦會員國之一的奧地利認定違法,其他會員國將很有可能引用同樣的判決結果,進一步限制 GA 在歐盟地區的使用。如此一來,對於希望發展國際市場的非歐盟區廠商來說,將會帶來巨大的影響。

今天這篇文章,將與大家分享這次判決的形成背景、Google 的回應,以及身為網站站長該如何因應。希望能夠為關注網站隱私權政策議題的行銷人員帶來幫助。

判決背景:2020 歐盟 Schrems II 判決

造成本次判決的主要背景,是源於 2020 年的 Schrems II 判決。在該判決中,歐盟法院 (the Court of Justice of the European Union,簡稱 CJEU) 認為歐洲議會 (European Commission) 與美國作成的隱私護盾議決 (Privacy Shield Decision) 違法,因為美國的監管法規中指出,美國境內的企業有義務將個人資料提供予聯邦政府。

隱私權護盾是一個資料傳輸框架,允許歐盟國將資料傳送到美國公司。一直以來,這個框架是大型企業如 Facebook 與 Google 具有蒐集資料正當性的重要依據,然而 Schrems II 判決宣告這項議決違法。

在這次的案例中,由 noyb (My Privacy is None of Your Business) 這個機構注意到使用者的 IP 位址 (在 GDPR 中屬於個人資料) 經由 GA 的 Cookies 傳遞至美國。由於隱私權護盾已經宣告違法,因此這項資料傳輸並無正當性,因此奧地利的資料保護局決定,於奧國境內的網站,或是以奧地利國民作為服務對象的企業,不得使用 GA。

Google 回應:歐盟與美國應重新制訂資料傳輸框架

對此,Google 的首席法務長 (Chief Legal Officer,CLO) Kent Walker 指出,歐盟與美國應該重新制定資料傳輸的框架

Walker 指出,Google 提供分析服務迄今已超過 15 年,而這 15 年間,從未發生過奧地利資料保護局所猜測的,向政府提供個人資料的情形。此外,歐盟的 Schrems II 判決,也並未針對這種僅僅因為「或許會發生」由政府要求而造成的資料曝光,強加任何硬性的標準。換句話說,Walker 認為奧地利資料保護局的判決,超譯了 Schrems II 判決,而他也認為 Google 已經做好合理的資料保護措施。

此外,Walker 在文章中也指出,資料傳輸可謂當代經濟的重要支柱,舉凡購物、協作、顧客管理等,現代人的生活與資料密不可分。對於此次的判決,Walker 認為歐美雙方,應該要重新商討隱私權護盾的替代方案,作為具有持續效力的資料傳輸框架。

結語:該注意什麼?下一步該怎麼做?

這次的判決意味著歐盟各國的資料保護局,可能會開始進一步檢視跨境資料傳輸是否符合 GDPR 的規範。如果網站服務 (伺服器) 設立於奧地利,或是你的網站有針對奧地利人提供服務,那麼根據這項判決,站長須立即移除網站的 GA。

有了這次的判決作為背書,noyb 下一步或許會針對歐盟的其他國家提出告訴,可以預見未來對於網站追蹤與隱私權保護之間,將會面臨更多的挑戰。

此外,作為 Google Analytics 競爭者,Matomo 也在文章中指出使用 Matomo Analytics 作為追蹤服務的替代方案。如果希望能夠更進一步掌握自己的使用者資料,想要架設、使用 Matomo Analytics 的話,也可以與我們聯繫,我們可以協助你建置屬於自己的 Matomo 資源。

參考資料

從這裡聯絡 applemint

Eric Chuang

相關文章

獲得最新的台灣數位行銷、台灣跨境電商、線下集客、B2B 與創業資訊!

Languages
contact applemint 聯繫