Talijansko nadzorno tijelo (Garante per la protezione dei dati personali - dalje u tekstu: Garante) pridružio se konsenzusu EDPS-a,francuskog i austrijskog nadzornog tijela te je zabranio korištenje Google Analytics (GA).
Nakon 101 žalbe NOYB-a na prijenos podataka, Garante je zaključio da su web stranice koje koriste GA prikupljale interakcije korisnika i prenosile korisničke podatke u SAD - treću zemlju bez odgovarajuće razine zaštite podataka, što navedeni prijenos čini nezakonitim. Garante je četvrto tijelo koji se priklonilo NOYB-u u vezi nezakonitosti prijenosa podataka.
Garante je korištenje Google Analyticsa proglasio nezakonitim jer su vlasnici web stranica koji koriste GA prikupljali korisničke podatke putem kolačića i prenosili ih u SAD. Utvrđujući da je obrada bila nezakonita, Garante je ponovio da je IP adresa osobni podatak i da ne bi bila anonimizirana čak i da je skraćena – s obzirom na Googleove mogućnosti da obogati takve podatke dodatnim informacijama koje posjeduje. Putem kolačića prikupljaju se informacije o interakcijama korisnika s dotičnim web stranicama, posjećenim stranicama i uslugama u ponudi. Raznovrsni skup podataka uključivao je IP adresu korisničkog uređaja zajedno s informacijama o pregledniku, operativnom sustavu, razlučivosti zaslona, odabranom jeziku, datumu i vremenu gledanja stranice. Utvrđeno je da su ove informacije prebačene u SAD.
Web stranica koja koristi Google Analytics (GA) bez zaštitnih mjera propisanih EU GDPR-om krši zakone o zaštiti podataka jer podatke korisnika prenosi u SAD, zemlju bez odgovarajuće razine zaštite podataka.
Na temelju navedenih nalaza, Garante je donio odluku kojom je naredio Caffeina Media S.r.l. (vlasniku web stranice) usklađivanje s GDPR-om u roku od devedeset dana. Taj se rok smatra primjerenim kako bi se operatoru omogućilo provođenje odgovarajućih mjera u vezi s prijenosom podataka; ako se utvrdi da to nije učinjeno, naredit će se obustava protoka podataka koji se odnose na GA prema SAD-u.
Garante je posebno istaknuo da vladine i obavještajne agencije sa sjedištem u SAD-u mogu pristupiti osobnim podacima koji se prenose bez potrebnih zaštitnih mjera; u tom je pogledu istaknuo da mjere koje je Google donio za dopunu instrumenata za prijenos podataka nisu osigurale odgovarajuću razinu zaštite osobnih podataka korisnika u svjetlu smjernica koje je EDPB dao svojim Preporukama br. 1/2020 od 18. lipnja 2021.
Garante želi skrenuti pozornost svih vlasnika talijanskih web stranica, javnih i privatnih, na nezakonitost prijenosa podataka u SAD kao rezultat korištenja GA – djelomično zbog mnogih do sada primljenih upozorenja i upita. Pozivaju se svi voditelji obrade da provjere je li korištenje kolačića i drugih alata za praćenje na njihovim web stranicama u skladu sa zaštitom oosbnih podataka; to se posebno odnosi na Google Analytics i slične usluge.
Po isteku roka od 90 dana navedenog u svojoj odluci, Garante će provjeriti jesu li dotični prijenosi podataka u skladu s GDPR-om.
