Skip to main content

การตัดสินใจของ Schrems II หมายความว่า Google Analytics ไม่สอดคล้องกับ GDPR หรือไม่

สำหรับบริษัทหลายแห่งในสหภาพยุโรปและสหรัฐอเมริกา ปี 2022 ได้เพิ่มวิกฤตอื่นในการจัดการ: การติดตาม Schrems II ที่ประกาศว่า Google Analytics ไม่สอดคล้องกับ GDPR

Schrems II คืออะไร?

Data Protection Commissioner v Facebook Ireland และ Maximillian Schrems หรือที่รู้จักในชื่อ Schrems II ได้ข้อสรุปเมื่อวันที่ 16 กรกฎาคม 2020 กล่าวโดยย่อ คำตัดสินของศาลยุติธรรมแห่งยุโรปทำให้ EU-US Privacy Shield เป็นโมฆะ ข้อตกลงที่ระบุข้อกำหนดด้านการคุ้มครองสำหรับบุคคล ข้อมูลพลเมืองสหภาพยุโรปที่ส่งไปยังสหรัฐอเมริกา

กรณีนี้ทำให้เกิดคำถามเกี่ยวกับการใช้งานเซิร์ฟเวอร์ที่สหรัฐฯ เป็นเจ้าของและดำเนินการตาม GDPR อันเนื่องมาจากข้อเท็จจริงที่ว่าข้อมูลส่วนบุคคลจากสหภาพยุโรปถูกส่งไปยังเซิร์ฟเวอร์คลาวด์ของ Facebook ในสหรัฐอเมริกา และภายใต้พระราชบัญญัติ CLOUD การเฝ้าระวังข่าวกรองต่างประเทศของสหรัฐฯ พระราชบัญญัติและนโยบายทางการอื่นๆ - หน่วยงานข่าวกรองของสหรัฐฯ สามารถเข้าถึงได้ โดยสรุป ข้อมูลส่วนบุคคลของพลเมืองสหภาพยุโรปไม่ได้รับการคุ้มครองอย่างเพียงพอตาม GDPR เมื่อถ่ายโอนไปยังเซิร์ฟเวอร์ของบริษัทในสหรัฐอเมริกา

การตัดสินใจของ Schrems II ในออสเตรีย

หลังจากที่ตัดสินใจ Schrems ครั้งที่สองที่ noybไม่แสวงหาผลกำไร (ศูนย์ยุโรปเพื่อสิทธิดิจิตอล) ก่อตั้งขึ้นโดยแม็กซ์ Schrems ยื่น 101 ร้องเรียนกับ บริษัท ต่างๆที่ถ่ายโอนข้อมูลของพลเมืองของสหภาพยุโรปให้กับ บริษัท สหรัฐ การร้องเรียนดังกล่าวเกิดขึ้นกับ netdocktor.at ซึ่งเป็นเว็บไซต์ด้านสุขภาพที่ใช้ Google Analytics เพื่อติดตามผู้เยี่ยมชมเว็บไซต์ เช่นเดียวกับหลายๆ บริษัท netdoktor ยังคงใช้ Google Analytics ต่อไปแม้จะมีคำตัดสินของศาลยุติธรรมแห่งยุโรปก็ตาม Google ตลอดจนบริษัทอื่นๆ ในสหรัฐอเมริกา (Amazon, Facebook, Microsoft เป็นต้น) ได้อาศัย Standard Contract Clauses (SCC) และมาตรการทางเทคนิคและองค์กร (TOM) เพื่อช่วยโน้มน้าวพันธมิตรในสหภาพยุโรปว่ามาตรการป้องกันทางกายภาพและดิจิทัล ( รั้วรอบศูนย์ข้อมูล การเข้ารหัสข้อมูล ข้อมูลนามแฝง ฯลฯ) ก็เพียงพอที่จะปกป้องข้อมูลของพวกเขา

แต่ในกรณีของ netdoktor หน่วยงานคุ้มครองข้อมูลของออสเตรีย ("Datenschutzbehörde" หรือ "DSB") ได้ตัดสินใจว่าสิ่งนี้ไม่เพียงพอ Google Analytics ละเมิด GDPRพวกเขาอธิบาย:

" สำหรับมาตรการตามสัญญาและองค์กรที่ร่างไว้ ยังไม่เป็นที่แน่ชัดว่า [มาตรการ] มีผลดีเพียงใดในแง่ของการพิจารณาข้างต้น"

" ตราบเท่าที่เกี่ยวข้องกับมาตรการทางเทคนิค ก็ยังไม่สามารถระบุได้ (...) ว่า [มาตรการ] จะป้องกันหรือจำกัดการเข้าถึงโดยหน่วยงานข่าวกรองของสหรัฐฯ เมื่อพิจารณาถึงกฎหมายของสหรัฐฯ ในระดับใด"

จากการตัดสินใจครั้งนี้ ผู้เชี่ยวชาญหลายคนเชื่อว่านี่เป็นเพียงจุดเริ่มต้น ยังมีการร้องเรียนจำนวนมากที่รอวันขึ้นศาล และคาดว่าประเทศสมาชิกสหภาพยุโรปอื่นๆ จะตัดสินใจในลักษณะเดียวกัน

DSB ยังระบุในการตัดสินใจว่าจะสอบสวน Google เพิ่มเติมเกี่ยวกับกฎการโอนข้อมูลไปยังรัฐบาลสหรัฐฯ โดยไม่ได้รับความยินยอมอย่างชัดแจ้งจากผู้ส่งออกข้อมูลในสหภาพยุโรป

คดีนี้ยังไม่มีบทลงโทษ แต่ถ้าศาลตัดสินลงโทษ อาจสูงถึง 4% ของมูลค่าการซื้อขายทั่วโลกของบริษัท

ผลกระทบต่อผู้ใช้ Google Analytics

เราไม่ใช่นักกฎหมายและเราไม่สามารถให้คำแนะนำด้านกฎหมายได้ แต่ดูเหมือนว่าบริษัทใดๆ ที่ประมวลผลข้อมูลของพลเมืองในสหภาพยุโรปผ่านบริการที่บริษัทในสหรัฐฯ จัดหาให้นั้นมีความเสี่ยง ในแง่ของการวิเคราะห์เว็บ Google Analytics เป็นอันดับหนึ่งของโลก แต่ก็มีอีกมากที่ต้องระวัง ตรวจสอบเสมอว่าบริษัทจัดตั้งขึ้นที่ไหนและศูนย์ข้อมูลตั้งอยู่ที่ไหน

ในระยะยาว นี่หมายความว่า รัฐบาลสหรัฐฯ และผู้ให้บริการในสหรัฐฯ จะต้องเปลี่ยนแปลงนโยบายและโครงสร้างพื้นฐานในปัจจุบันอย่างใหญ่หลวง: ผ่านกฎหมายที่ปกป้องข้อมูลของพลเมืองต่างชาติและโฮสต์ข้อมูลต่างประเทศนอกสหรัฐอเมริกา คณะกรรมาธิการยุโรปมีความกระตือรือร้นที่จะหาสิ่งทดแทน EU-US Privacy Shield แต่ปัจจุบันยังไม่มีวิธีทางกฎหมายที่จะเดินหน้าต่อไป การเจรจากำลังดำเนินอยู่ แต่ยังคงต้องการการเปลี่ยนแปลงทางกฎหมายจากฝั่งสหรัฐฯ และจากสภาพการเมืองและเศรษฐกิจในปัจจุบัน สิ่งเหล่านี้ดูเหมือนไม่น่าจะเกิดขึ้นได้ในอนาคตอันใกล้

อนาคตของข้อมูลการวิเคราะห์เว็บ

เนื่องจากศาลได้สรุปว่า Google Analytics ไม่สอดคล้องกับ GDPR ซึ่ง Google ได้ปฏิเสธในแถลงการณ์ล่าสุด คำถามก็คือบริษัทต่างๆ หันไปหาข้อมูลการวิเคราะห์เว็บที่ปลอดภัยและมีความเสี่ยงต่ำจากที่ใด ขั้นตอนแรกคือการวิจัยบริษัทที่ตั้งอยู่ในสหภาพยุโรป ซึ่งใช้การลบข้อมูลระบุ IP ซึ่งไม่ได้จัดเก็บข้อมูลผู้ใช้ และเป็นไปตาม GDPR, TTDSG, CCPA และกฎหมายความเป็นส่วนตัวของข้อมูลอื่นๆ เช่น Visitor Analytics!

สามารถดูคำตัดสินของ DSB ฉบับเต็มในภาษาเยอรมันได้ ที่นี่