Laten we het je vertellen: Nee, Google Analytics is niet illegaal in Japan. De recente juridische problemen van Google Analytics komen voort uit de uitspraak van Europese privacywaakhonden dat het gebruik van Google Analytics in strijd is met de GDPR-regels voor de doorgifte van gegevens buiten Europa.
Maar aangezien meerdere EU-lidstaten het gebruik van Google Analytics onwettig hebben verklaard, is het de moeite waard om hier wat dieper te graven en het veranderende landschap te verkennen.
- Welke regels gelden voor Google Analytics in Japan?
- Kan ik persoonsgegevens van Europa naar Japan doorgeven?
- Waar gaat al die ophef over Google Analytics over?
- Privacywetgeving in Japan, in het algemeen
- Eindgedachten
Laten we erin duiken!
Welke regels gelden voor Google Analytics in Japan?
De GDPR is niet van toepassing in Japan, omdat het land geen lid is van de Europese Unie of de Europese Economische Ruimte. Japanse bedrijven moeten echter nog steeds voldoen aan de GDPR als ze zich richten op de Europese markt of gedrag in de EU monitoren (dit omvat het gebruik van Google Analytics voor een website die zich richt op een Europees publiek).
Cookies zijn strikt gereguleerd in Japan en mogen alleen worden verwerkt met actieve toestemming van de gebruiker. Daarom moeten sites die Google Analytics gebruiken een cookiebanner implementeren met een opt-in mechanisme om toestemming te verzamelen.
Kan ik persoonsgegevens van Europa naar Japan doorgeven?
De Europese Commissie heeft een adequaatheidsbesluit genomen voor Japan, waarmee het land in feite wordt aangemerkt als een veilige bestemming voor gegevensoverdrachten. Gegevensoverdrachten tussen de EU en Japan worden op dezelfde manier behandeld als gegevensoverdrachten binnen de EU en vergen geen extra nalevingslast.
Gelet op het feit dat de Commissie periodiek besluiten inzake adequaatheid herziet. Als u van plan bent zich te beroepen op een adequaatheidsbesluit, controleer dan of het nog steeds geldig is.
Waar gaat al die ophef over Google Analytics over?
De recente trend van besluiten tegen Google Analytics maakt deel uit van een groter juridisch raadsel over gegevensoverdracht tussen de EER en de VS. De kwestie heeft niet direct betrekking op Japan, maar wel op Japanse websites die Google Analytics gebruiken, mits zij zich richten op de Europese markt en het Europese publiek. We hebben hier uitgebreid over geschreven op onze blog, dus hier is een korte versie.
De kern van de zaak is staatstoezicht. Volgens de GDPR kunnen Europese persoonsgegevens alleen veilig buiten de EER worden doorgegeven. Dit is moeilijk voor Amerikaanse gegevensoverdrachten omdat het Amerikaanse rechtskader uitgebreide en invasieve surveillance van de gegevens van buitenlandse burgers toestaat. Stel dat een Japans bedrijf in de EU persoonsgegevens van gebruikers verzamelt met Google Analytics. In dat geval worden de gegevens voor verwerking door Google doorgegeven aan de VS, waardoor het risico ontstaat dat de gegevens door Amerikaanse instanties worden gecontroleerd.
Twee verschillende kaders voor gegevensoverdracht (Safe Harbor en Privacy Shield) tussen de EU en de VS maakten in het verleden GDPR-conforme gegevensoverdrachten mogelijk, maar beide kaders werden ongeldig verklaard door het Hof van Justitie van de EU in de zaken Schrems I en II. Een derde kader is in de maak, maar zal ongetwijfeld juridisch worden aangevochten. Met een Schrems III-arrest in het verschiet blijft de toekomst van de gegevensstromen tussen de EU en de VS onzeker.
In de tussentijd moeten bedrijven hun toevlucht nemen tot verschillende juridische instrumenten (meestal standaard contractuele clausules) om gegevens rechtmatig naar de VS door te geven onder de GDPR. Het probleem met deze instrumenten is echter dat ze geen bescherming bieden tegen overheidstoezicht. Daarom heeft het Hof van Justitie in de zaak Schrems II verduidelijkt dat zij moeten worden aangevuld met extra privacybeschermende maatregelen wanneer gegevens naar "onveilige" landen worden verzonden. Dit is moeilijk en volstrekt onmogelijk voor de overdrachten die nodig zijn voor bepaalde clouddiensten zoals Google Analytics (we schreven hierover hier).
Na het Schrems II-arrest in 2020 bleven de meeste bedrijven gewoon zaken doen met in de VS gevestigde dienstverleners. Ondertussen coördineerden de gegevensbeschermingsautoriteiten hier hun aanpak van gegevensoverdrachten op Europees niveau. Als gevolg daarvan hebben de Oostenrijks, Frans, Italiaans, en Hongaars hebben de gegevensbeschermingsautoriteiten zich in soortgelijke besluiten uitgesproken tegen het gebruik van Google Analytics. Ook de Deense gegevensbeschermingsautoriteit nam een streng standpunt in in een persbericht. Alle beslissingen komen neer op een verbod voor de hele staat, zoals we hier hebben uitgelegd. Andere gegevensbeschermingsautoriteiten zullen waarschijnlijk het voorbeeld volgen en zich harder opstellen tegenover Google Analytics.
Privacywetgeving in Japan, in het algemeen
De primaire Japanse gegevensbeschermingswet is de Wet Bescherming Persoonsgegevens. De wet is in 2015 gewijzigd. De APPI wordt voornamelijk gehandhaafd door het Japanse agentschap voor gegevensbescherming (de Personal Information Protection Commission).
Eindgedachten
Of Google Analytics nu illegaal is in Japan of niet, het is zeker niet privacyvriendelijk voor uw websitebezoekers. In een wereld waar overheidstoezicht en monopolistisch wangedrag duidelijker zijn dan ooit, streven we naar een onafhankelijk internet.
Met Simple Analytics kunt u toch inzichten verzamelen en kansen ontdekken uit uw website analytics zonder cookies te gebruiken of persoonsgegevens te verzamelen. Wilt u zien hoe dat eruit ziet? Bekijk ons live dashboard hier.
Als dit u aanspreekt, probeer ons dan eens. Het is gratis.