Европейцы весьма трепетно относятся к вопросам конфиденциальности, в частности относительно персональных данных граждан стран ЕС. Отсюда – и давно принятые в странах ЕС нормы GDPR, регламентирующие обращение с персональными данными пользователей Сети, и направленные на недопущение произвола в этой области.
В это контексте новое знаковое событие – активист из Австрии выиграл очередное дело против транснационального гиганта. В этот раз – против Google, в части сервиса Google Analytics. Отныне австрийский регулятор — управление по защите данных – будет расценивать все сайты, пользующиеся инструментами сервиса, нарушителями норм GDPR. Соответственно, нарушители этого регламента рискуют быть оштрафованными.
Как будто, это новость из разряда «там, у них». Но дело в том, что нормы GDPR экстерриториальны. Отсюда – любые фирмы и отрасли подпадают под эти правила, если взаимодействуют с персональными данными людей, пребывающих на территории ЕС. Следовательно, компании из любых иных стран должны соблюдать нормы GDPR, если они в любой форме действуют в ЕС и обрабатывают соответствующие данные.
Читайте также: Лучшие тарифные планы хостинга для WordPress-сайтов.
На сегодня уже достаточно много прецедентов применения норм GDPR к компаниям из-за пределов ЕС. Более других национальные регуляторы интересуются американскими компаниями, в том числе гигантами Google и Facebook. С 2020 года идёт своим чередом цепочка дел, касающихся применения норм GDPR к трансферу данных из Европы в США и обеспечения американскими компаниями надлежащих условий трансграничной передачи персональных данных граждан стран ЕС. Есть основания расценивать ситуацию так, что австрийский регулятор признал неспособность Google обеспечить исполнение условий GDPR при обработке данных с помощью Google Analytics. Российские же специалисты считают, что о запрете Google Analytics в РФ пока говорить ещё преждевременно. Нормы GDPR, разумеется, применимы к российским компаниям, но не в полной мере. Да и о запрете Google Analytics на всей территории ЕС пока говорить рано. Решение принято только на уровне Австрии и все еще не имплементировано практически.
В то же время, можно говорить и о перспективах развития ситуации в уже обозначившемся направлении. «Организация NOYB, заявитель по делу, в рамках которого австрийских регулятор признал использование Google Analytics нарушением GDPR, также подала сотню жалоб в регулирующие органы на всей территории ЕС, а потому такое решение в будущем может быть далеко не единственным. Истинный масштаб проблемы будет понятен лишь в будущем. Однако, уже сейчас можно сказать, что при сохранении тенденции принятия аналогичных решений и в других странах ЕС, операторам сайтов из ЕС придется переходить на использование локальных поставщиков аналогичных решений в целях соблюдения положений GDPR» – говорит руководитель юридического отдела хостинг-провайдера Reg.Ru Павел Патрикеев.
Есть и те, кто считает последствия принятого в Австрии решения более далеко идущими. В частности, высказывается мнение, что согласно решения регулятора в области персональных данных Австрии, продолжительное использование Google Analytics при обработке ПДн нарушает требования GDPR в части трансграничной передачи данных. Сейчас возможность использования Google Analytics для обработки ПДн рассматривается и регуляторами из других стран ЕС. Подобное же решение относительно нарушения GDPR при использовании Google Analytics, было принято и EDPS (европейский супервайзер для госучреждений).
Многие компании в известной степени теперь рискуют, используя Google Analytics в рамках процессов обработки ПДн, подпадающих под GDPR, особенно если обрабатываются данные субъектов из Австрии, поскольку это ставит компанию под риск несоответствия требованиям GDPR. Соответственно, теперь нужно или искать иных поставщиков услуг веб-аналитики, лучше тех, чьи базы данных расположены в ЕС или в странах, обеспечивающих адекватный уровень защиты ПДн, поскольку в будущем возможно лишь обострение ситуации с Google Analytics, или же ждать встречных действий Google, например — переноса серверов на территорию ЕС и изоляции обработки данных от аналогичных процессов в США.