Laten we het u direct zeggen: nee, Google Analytics is niet illegaal in Zwitserland. Google Analytics kwam onder vuur te liggen van verschillende Europese autoriteiten omdat het niet voldoet aan de GDPR-regels voor de doorgifte van gegevens buiten Europa. De GDPR is niet van toepassing in de Zwitserse Confederatie omdat het geen lid is van de Europese Unie of de Europese Economische Ruimte.
Maar Zwitserse bedrijven moeten nog steeds voldoen aan de GDPR als ze zich richten op de Europese markt of gedrag in de EU monitoren (dit omvat het gebruik van Google Analytics op een website die gericht is op een Europees publiek). Daarom is het de moeite waard om hier dieper in te duiken.
- Zwitserse privacywetgeving
- Welke regels gelden voor Google Analytics in Zwitserland?
- Kan ik persoonsgegevens van Europa naar Zwitserland doorgeven?
- Waar gaat al die ophef over Google Analytics over?
- Eindgedachten
Laten we erin duiken!
Zwitserse privacywetgeving
De Zwitserse grondwet erkent gegevensbescherming en privacy als fundamentele rechten. De Zwitserse wetgeving omvat een uitgebreid kader voor gegevensbescherming, waaronder de federale wet op de gegevensbescherming van 1992. De Zwitserse DPA (de commissaris voor gegevensbescherming en informatie) handhaaft dit gegevensbeschermingskader op federaal niveau.
Welke regels gelden voor Google Analytics in Zwitserland?
De Zwitserse wet vereist geen toestemming voor cookies. De website moet echter wel informatie verstrekken over het gebruik van cookies en uitleggen hoe de gebruiker zich kan afmelden voor de verwerking.
Kan ik persoonsgegevens van Europa naar Zwitserland doorgeven?
De Europese Commissie heeft een adequaatheidsbesluit genomen voor Zwitserland, waardoor het in wezen een veilige bestemming voor gegevensoverdrachten is. U kunt persoonsgegevens naar Zwitserland doorgeven zonder dat u zich aan de regels hoeft te houden, alsof u de gegevens naar een EU-lidstaat stuurt.
Gelet op het feit dat de Commissie regelmatig besluiten inzake adequaatheid herziet. Als u van plan bent zich op een adequaatheidsbesluit te beroepen, controleer dan of het nog steeds geldig is.
Waar gaat al die ophef over Google Analytics over?
De recente trend van besluiten tegen Google Analytics maakt deel uit van een grotere juridische puzzel over gegevensoverdracht tussen de EER en de VS. De kwestie heeft niet direct betrekking op Zwitserland, maar wel op Zwitserse websites die Google Analytics gebruiken als ze zich richten op de Europese markt of het Europese publiek. We hebben hier al uitgebreid over geschreven op onze blog, dus hier is een korte versie.
De kern van de zaak is staatstoezicht. Volgens de GDPR kunnen Europese persoonsgegevens alleen buiten de EER worden doorgegeven als dat veilig kan. Dit is moeilijk voor Amerikaanse gegevensoverdrachten omdat het Amerikaanse rechtskader uitgebreide en invasieve surveillance van de gegevens van buitenlandse burgers toestaat.
Twee verschillende kaders voor gegevensoverdracht (Safe Harbor en Privacy Shield) tussen de EU en de VS maakten in het verleden GDPR-conforme gegevensoverdrachten mogelijk, maar beide kaders werden ongeldig verklaard door het Hof van Justitie van de EU in de zaken Schrems I en II. Een derde kader is in de maak, maar zal zeker op juridische problemen stuiten. Met een Schrems III-arrest in het verschiet blijft de toekomst van de gegevensstromen tussen de EU en de VS onzeker.
In de tussentijd moeten bedrijven hun toevlucht nemen tot verschillende juridische instrumenten (meestal standaard contractuele clausules) om gegevens rechtmatig naar de VS door te geven onder de GDPR. Het probleem met deze instrumenten is echter dat ze geen bescherming bieden tegen staatstoezicht. Daarom is in het arrest Schrems II verduidelijkt dat zij moeten worden aangevuld met extra privacybeschermende maatregelen wanneer gegevens naar "onveilige" landen worden verzonden. Dit is moeilijk en volstrekt onmogelijk voor de overdrachten die nodig zijn voor bepaalde clouddiensten zoals Google Analytics (we schreven hierover hier).
Na het Schrems II-arrest in 2020 bleven de meeste bedrijven gewoon zaken doen met in de VS gevestigde dienstverleners. In de tussentijd diende NGO noyb 101 klachten in over gegevensoverdrachten tegen Europese websites die Google Analytics en Facebook Connect gebruiken om de autoriteiten aan te zetten tot een striktere handhaving van het Schrems II-arrest.
De gegevensbeschermingsautoriteiten coördineerden hun aanpak op Europees niveau om de klachten coherent te behandelen. Bijgevolg hebben de Oostenrijks, Frans, Italiaans, en Hongaars De gegevensbeschermingsautoriteiten hebben zich in zeer vergelijkbare besluiten uitgesproken tegen het gebruik van Google Analytics, en de Deense gegevensbeschermingsautoriteit heeft in wezen hetzelfde gedaan in een persbericht. Hoewel de beslissingen betrekking hebben op een individuele controller, scheppen ze allemaal een precedent dat praktisch neerkomt op een verbod voor de hele staat, zoals we hier hebben uitgelegd.
Met de coördinatie op Europees niveau en de invloedrijke Franse en Italiaanse autoriteiten die het voortouw nemen, zullen andere gegevensbeschermingsautoriteiten waarschijnlijk het voorbeeld volgen en een harder standpunt innemen over Google Analytics.
Eindgedachten
Of Google Analytics nu illegaal is in Zwitserland of niet, het is zeker niet privacyvriendelijk voor uw websitebezoekers. Wij geloven dat u website-inzichten kunt verzamelen terwijl u de privacy van uw bezoekers respecteert. Daarom zijn we begonnen met het bouwen van Simple Analytics als een privacy-vriendelijk Google Analytics alternatief.
Met Simple Analytics kunt u toch inzichten verzamelen en kansen ontdekken uit uw website analytics zonder cookies te gebruiken of persoonlijke gegevens te verzamelen. Wilt u zien hoe dat eruit ziet? Bekijk ons live dashboard hier. Als dit u aanspreekt, voel u dan vrij om het eens te proberen.