Google Analytics er lovlig i Europa igjen. Foreløpig

Nå har vi en ny avtale mellom USA og Europa for overføring av personopplysninger.

Igjen.

Det blir tre.

Vi får se hvor lenge den varer.

Jeg skal straks forklare årsakene til usikkerheten, men først vil jeg prøve å rydde litt bedre opp i temaet, for det har dype røtter. Så la oss begynne fra starten:

Det første og viktigste å ha klart for seg er at Google Analytics aldri har vært ulovlig i Spania.

Det var derimot ulovlig i Frankrike i noen måneder i 2022.

Det samme i Østerrike.

Og i Italia eller Danmark.

Det var trenden i flere europeiske land i 2022, men i Spania har det aldri blitt forbudt. Selv om det i fjor gikk rykter om at det ville skje.

Men siden forrige uke (10 juli 2023), og med signeringen av den nye avtalen, kan vi som sagt puste litt roligere.

I hvert fall en stund, for hvis du har fulgt saken med et minimum av oppmerksomhet, vet du at dette går langt tilbake.

Mer konkret siden 11. september 2001.

Dagen verden forandret seg.

Røttene til problemet

Det har allerede gått 22 år siden den dagen, tro det eller ei.

Den gangen fantes ikke engang Google Analytics, men Urchin, teknologien Google kjøpte i 2005 og som ble spiren til den første versjonen av Googles verktøy for digital analyse, fantes.

Den skjebnesvangre dagen innså vi alle, men særlig USA, at den tilsynelatende tryggheten vi levde med i den utviklede vestlige verden, var lite mer enn en illusjon.

Og de systemene som ble ansett som nødvendige ble satt i verk for at en lignende hendelse ikke skulle kunne skje igjen.

Kanskje på grunn av landets mer liberale karakter, kanskje den mer militære, eller kanskje fordi det var første gang noe med så stor virkning skjedde på eget territorium, så bygget USA opp et brutalt globalt spionnettverk.

Et nettverk som samlet inn enorme mengder kommunikasjonsdata mellom sivile fra hele verden på internett, med de største amerikanske teknologiselskapene — GAFA (Google, Amazon, Facebook og Apple) — involvert i større eller mindre grad.

Nettverket var operativt og virket utenfor enhver lov i 12 år, fra 2001 til 2013. Helt til en viss Edward Snowden — ansatt i den da ganske ukjente NSA og også CIA — avslørte skandalen: NSA hadde utviklet en infrastruktur som gjorde det mulig å samle inn praktisk talt hvilke som helst data om hvem som helst i verden, blant annet:

• E-postene dine.
• Telefonnummeret ditt. Eller konas. Eller vennenes.
• Passordene dine.
• Bruken av bankkortene dine.
• Anropsloggen din.

Alt i navnet til og under den så tvetydige paraplyen Nasjonal sikkerhet.

Hvis temaet interesserer deg, er det svært godt forklart i dokumentaren Citizenfour som gjengir Edward Snowdens uttalelser. Den anbefales sterkt, men hvis du heller liker film, regisserte Oliver Stone den underholdende Snowden som forteller den samme historien fra et mer kommersielt perspektiv.

Reaksjonene på skandalen

Da hele saken kom fram, var reaksjonene i Europa ganske forsiktige. Så forsiktige at de nesten virket påtatte. Offentlig kunne det ikke sies, men privat virket det som politikerne våre var enige i det den amerikanske regjeringen hadde gjort.

Men det manglet én liten detalj. På det tidspunktet visste man fortsatt ikke at verdens politiske ledere også ble spionert på.

Det som virkelig fikk begeret til å renne over, var overvåkingen av mobilkommunikasjonen til Tysklands forbundskansler og Europas de facto-leder Angela Merkel, som havnet i en kraftig offentlig konflikt med Barack Obama, USAs daværende president.

Da endret saken seg.

For, min venn, å spionere på folk flest er én ting, å spionere på makthavere er noe helt annet…

Administrative avtaler: fra Safe Harbor til Privacy Shield

Europeiske ledere, svært irritert over selv å ha blitt spionert på, erklærte derfor reglene rundt Safe Harbor, kommunikasjonsprotokollen mellom amerikanske selskaper og europeiske kunder og borgere som hadde vært i kraft siden 2001, ugyldige.

15 år og programmet PRISM senere måtte personvern reguleres på en annen måte. Derfor ble det i 2016 laget en ny avtale kalt Privacy Shield, der den viktigste virkningen var å hindre amerikanske selskaper i å lagre europeiske borgeres personopplysninger på servere i Amerika.

Det vil si:

• Det ble presist definert hva personopplysninger var. I tillegg til navn og e-postkontoer omfattet det også ting som IP-adressen som brukes for å koble til Internett.
• Hvis et amerikansk selskap allerede lagret slike data på serverne sine, hadde det to alternativer: Slutte å lagre dem og slette dem.

• Fortsette å lagre dem, begrunne hvorfor og bruke servere utenfor USA, slik at NSA og lignende organer ikke hadde tilgang til dem — eller i hvert fall ikke enkelt.

Og alle var fornøyde.

Bortsett fra Max Schrems, en østerriksk personvernaktivist og advokat som fikk EU-domstolen til å oppheve denne avtalen i 2020.

Dette har gjort at overføring av personopplysninger mellom Europa og USA de siste tre årene ikke har vært regulert av noen mykere felles avtale, men av den strenge GDPR (EUs personvernforordning).

Det er i denne sammenhengen Frankrikes forbud mot Google Analytics må forstås, fordi verktøyet samler inn IP-er fra franske borgere på servere på amerikansk territorium.

Hvorfor erklærer ikke resten av de europeiske landene det ulovlig? I utgangspunktet fordi registreringen av IP-adressen er kryptert, slik at de ikke regner den som en personopplysning i seg selv.

Et spørsmål om nyanser.

Ny avtale i 2023. Hvor lenge?

Som du sikkert har hørt, har Europa og USA siden forrige uke en ny rammeavtale om personvern.

Og det gjør bruken av Google Analytics lovlig.

Kanskje lanseringen av GA4 hadde noe med saken å gjøre.

Kanskje det er tilfeldig.

Det som ikke virker tilfeldig, er at Google har åpnet bruken av sin Bard-AI i Europa tre dager etter at avtalen ble godkjent. Særlig med tanke på at begrunnelsen for ikke å tilby den her fra starten nettopp var at den ikke oppfylte Europas strenge regulering av data.

Hva skjer nå? Først kommer Max Schrems til å anke til EU-domstolen igjen med argumentet om at USAs regler for masseovervåking fortsatt gjelder, selv om den nye avtalen begrenser bruken til noe som er “proporsjonalt””.

Det er et tvetydig ord som ikke gjør det klart hvilke private opplysninger om europeiske borgere amerikanske myndigheter kan få tilgang til.

Derfor er det mulig at vi i de kommende månedene får flere nyheter om saken, i den ene eller andre retningen. Da vet vi først virkelig om vi kan fortsette å bruke GA4 lovlig eller ikke.

Fram til da er det bare å implementere.

Eller bytte.

Eller be. Hele dette rotet begynte tross alt av religiøse grunner.

Man må jo bare riste på hodet.