Google Analytics is weer legaal in Europa. Voorlopig

We hebben nu een nieuwe overeenkomst tussen de VS en Europa voor de overdracht van persoonsgegevens.

Alweer.

Dat maakt drie.

We zullen zien hoe lang het duurt.

Ik leg je zo de redenen voor de onzekerheid uit, maar eerst probeer ik het onderwerp wat beter te verduidelijken, want het heeft diepe wortels. Laten we dus bij het begin beginnen:

Het eerste en belangrijkste dat je goed moet begrijpen, is dat Google Analytics in Spanje nooit illegaal is geweest.

In Frankrijk was het in enkele maanden van 2022 wel illegaal.

Net als in Oostenrijk.

En in Italië of Denemarken.

Dat was in 2022 de trend in verschillende Europese landen, maar in Spanje is het nooit verboden geweest. Al ging vorig jaar het gerucht dat dit zou gebeuren.

Maar sinds vorige week (10 juli 2023), met de ondertekening van het nieuwe verdrag, kunnen we zoals gezegd weer even rustig ademhalen.

Ten minste voor een tijdje, want als je het onderwerp een beetje hebt gevolgd, weet je dat dit al veel langer speelt.

Om precies te zijn sinds 11 september 2001.

De dag waarop de wereld veranderde.

De wortels van het probleem

Die dag is inmiddels alweer 22 jaar geleden, om het maar even te zeggen.

Toen bestond Google Analytics nog niet eens, maar Urchin, de technologie die Google in 2005 kocht en die de basis vormde voor de eerste versie van Google's digitale analysetool, bestond wel.

Op die noodlottige dag beseften we allemaal, maar vooral de VS, dat de schijnbare veiligheid waarin we in de ontwikkelde westerse wereld leven weinig meer dan een illusie was.

En werden de systemen die noodzakelijk werden geacht ingevoerd om te voorkomen dat zoiets opnieuw zou gebeuren.

Misschien door zijn liberalere karakter, misschien door zijn meer militaire karakter, of misschien omdat het de eerste keer was dat iets met zo'n impact op eigen grondgebied gebeurde, hebben de Verenigde Staten een bruut wereldwijd spionagenetwerk opgezet.

Een netwerk dat op internet enorme hoeveelheden communicatiegegevens tussen burgers overal ter wereld verzamelde , waarbij de belangrijkste Amerikaanse technologiebedrijven — de GAFA (Google, Amazon, Facebook en Apple) — in meer of mindere mate betrokken waren.

Dit netwerk opereerde 12 jaar buiten elke wet om, van 2001 tot 2013. Tot een zekere Edward Snowden — werknemer van de toen nog vrij onbekende NSA en ook van de CIA — het schandaal onthulde: de NSA had een infrastructuur ontwikkeld die het mogelijk maakte vrijwel alle gegevens over vrijwel iedereen ter wereld te verzamelen, waaronder:

• Je e-mails.
• Je telefoonnummer. Of dat van je vrouw. Of van je vrienden.
• Je wachtwoorden.
• Het gebruik van je bankpassen.
• Je belgeschiedenis.

Allemaal in naam van en onder die zo dubbelzinnige paraplu van de Nationale Veiligheid.

Als het onderwerp je interesseert, wordt het heel goed uitgelegd in de documentaire Citizenfour met de verklaringen van Edward Snowden. Zeker een aanrader, maar als je liever films kijkt, regisseerde Oliver Stone de vermakelijke Snowden waarin hetzelfde verhaal vanuit een commerciëler perspectief wordt verteld.

Reacties op het schandaal

Toen de beerput eenmaal open ging, waren de reacties in Europa nogal lauw. Zo lauw dat ze bijna gespeeld leken. Openlijk kon het niet gezegd worden, maar privé leken onze politici het eens te zijn met wat de Amerikaanse regering had gedaan.

Maar er ontbrak nog één klein detail. Destijds was nog niet bekend dat ook wereldleiders werden bespioneerd.

De genadeklap was het afluisteren van de mobiele communicatie van de Duitse bondskanselier en feitelijke Europese leider Angela Merkel, die hierover fel publiekelijk botste met Barack Obama, toen president van de Verenigde Staten.

Toen veranderde de zaak.

Want, vriend, het gewone volk bespioneren is één ding, bestuurders bespioneren is iets heel anders…

Bestuurlijke overeenkomsten: van Safe Harbor naar Privacy Shield

Zeer verontwaardigd dat ze zelf waren bespioneerd, verklaarden Europese leiders daarom de regels rond Safe Harbor, het communicatieprotocol tussen Amerikaanse bedrijven en Europese klanten en burgers dat sinds 2001 van kracht was, ongeldig.

15 jaar en het programma PRISM later moest privacy anders worden geregeld. Daarom kwam er in 2016 een nieuwe overeenkomst, het Privacy Shield, waarvan de belangrijkste impact was dat Amerikaanse bedrijven niet langer persoonsgegevens van Europese burgers op servers in Amerika mochten opslaan.

Met andere woorden:

• Er werd precies vastgelegd wat persoonsgegevens waren. Naast namen en e-mailaccounts vielen daar ook zaken onder zoals het IP-adres waarmee iemand verbinding maakt met internet.
• Als een Amerikaans bedrijf zulke gegevens al op zijn servers bewaarde, had het twee opties: Stoppen met bewaren en ze verwijderen.

• Ze blijven bewaren, de reden daarvoor verantwoorden en servers buiten de VS gebruiken, zodat de NSA en vergelijkbare instanties er niet of niet eenvoudig bij konden.

En iedereen tevreden.

Behalve Max Schrems, een Oostenrijkse privacyactivist en advocaat die het Hof van Justitie van de Europese Unie zover kreeg deze overeenkomst in 2020 ongeldig te verklaren.

Daardoor werden overdrachten van persoonsgegevens tussen Europa en de VS de afgelopen drie jaar niet geregeld door een soepelere gezamenlijke overeenkomst, maar door de strenge GDPR (Algemene verordening gegevensbescherming van de EU).

En dit is precies de context waarin Frankrijk Google Analytics illegaal verklaarde, omdat de tool IP's van Franse burgers verzamelt op servers op Amerikaans grondgebied.

Waarom verklaren de andere Europese landen het dan niet illegaal? In principe omdat de registratie van het IP-adres versleuteld is, waardoor zij het niet als persoonsgegevens op zichzelf beschouwen.

Een kwestie van nuance.

Nieuw verdrag in 2023. Tot wanneer?

Zoals je waarschijnlijk hebt gehoord, hebben Europa en de Verenigde Staten sinds vorige week een nieuwe raamovereenkomst over privacy.

En daardoor is het gebruik van Google Analytics legaal.

Misschien heeft de komst van GA4 ermee te maken.

Misschien is het toeval.

Wat niet toevallig lijkt, is dat Google het gebruik van zijn Bard-AI in Europa drie dagen na goedkeuring van de overeenkomst heeft opengesteld. Zeker als je bedenkt dat de reden om het hier aanvankelijk niet aan te bieden juist was dat het niet voldeed aan de strenge Europese regels voor gegevens.

Wat gaat er nu gebeuren? Om te beginnen gaat Max Schrems opnieuw naar het HvJ-EU met het argument dat de Amerikaanse regels rond massasurveillance nog steeds gelden, ook al beperkt de nieuwe overeenkomst het gebruik ervan tot iets dat “evenredig””.

wordt genoemd. Dat is een dubbelzinnig woord dat niet duidelijk maakt tot welke privégegevens van Europese burgers de Amerikaanse overheid toegang mag hebben.

Daarom is het mogelijk dat we in de komende maanden meer nieuws hierover krijgen, in de ene of de andere richting. Dan weten we pas echt of we GA4 legaal kunnen blijven gebruiken of niet.

Tot die tijd: implementeren.

Of overstappen.

Of bidden. Uiteindelijk begon deze hele puinhoop om religieuze redenen.

Je verzint het niet.