奥地利 DPA 发现在欧盟境外使用 Google Analytics构成违反 GDPR 的行为

 

前言：Google Analytics（分析）是一种用于分析网站访问量以及用户最常参与的内容的流行工具，对于收集欧盟（EU）网络用户数据的外国组织来说，它可能是禁止的。根据Schrems II裁决设定的条款，奥地利数据保护机构（DPA）已确定其收集的数据足以识别个人身份，因此构成违反通用数据保护条例（GDPR）。

Google Analytics被认为是一个匿名工具，被奥地利DPA发现不足。Schrems II的裁决规定，欧盟居民的个人数据不能转移到国外，除非这些国家的数据隐私法被认为等同于GDPR提供的保护。

谷歌分析收集许多特定于个人的粒度数据点，例如，他们可能使用哪些搜索字词来访问网页，或者他们在访问时点击了哪一系列页面。但是，Google Analytics面板不应告诉网站管理员任何可识别这些用户的信息（除了非常一般的位置之外）。因此，人们普遍认为使用它不会构成违反GDPR的风险。

但是，奥地利 DPA 发现 Cookie 数据中的 IP 地址和标识符具有足够的个人性，足以构成违反 GDPR 的行为。IP地址可以匿名化，但这必须主动请求由谷歌分析用户。奥地利DPA表示，它正在检查的网站是一家位于奥地利的名为 netdoktor.at 的健康网站，虽然试图启用匿名化，但没有得到正确的配置。

Cookie也是一个问题，因为它们是谷歌