Google Analytics är lagligt i Europa igen. Tills vidare

Nu har vi ett nytt avtal mellan USA och Europa för överföring av personuppgifter.

Igen.

Det blir tre.

Vi får se hur länge det håller.

Nu ska jag förklara orsakerna till osäkerheten, men först ska jag försöka reda ut ämnet lite bättre eftersom det har djupa rötter. Så vi börjar från början:

Det första och viktigaste att ha klart för sig är att Google Analytics aldrig har varit olagligt i Spanien.

Det var däremot olagligt i Frankrike under några månader 2022.

Samma sak i Österrike.

Och i Italien eller Danmark.

Det var trenden i flera europeiska länder 2022, men i Spanien har det aldrig förbjudits. Även om det förra året ryktades att så skulle ske.

Men sedan förra veckan (10 juli 2023), och undertecknandet av det nya avtalet, kan vi som sagt vara lugna.

Åtminstone ett tag, för om du har följt ämnet någorlunda vet du att det här går långt tillbaka.

Mer exakt sedan 11 september 2001.

Dagen då världen förändrades.

Problemets rötter

Det har redan gått 22 år sedan den dagen, vilket säger en del.

Då fanns inte ens Google Analytics, men däremot Urchin, tekniken som Google köpte 2005 och som blev grunden till den första versionen av Googles verktyg för digital analys.

Den ödesdigra dagen insåg vi alla, men framför allt USA, att den skenbara trygghet vi lever med i den utvecklade västvärlden inte var mycket mer än en illusion.

Och de system som ansågs nödvändiga infördes för att något liknande inte skulle kunna hända igen.

Kanske på grund av landets mer liberala karaktär, kanske den mer militära, eller kanske för att det var första gången något med så stor påverkan inträffade på dess eget territorium, så byggde USA upp ett brutalt globalt spionnätverk.

Ett nätverk som samlade in enorma mängder kommunikationsdata mellan civila över hela världen på internet, där de största amerikanska teknikbolagen — GAFA (Google, Amazon, Facebook och Apple) — var inblandade i större eller mindre grad.

Nätverket var aktivt och verkade utanför all lag i 12 år, från 2001 till 2013. Tills en viss Edward Snowden — anställd vid den då ganska okända NSA och även CIA — avslöjade skandalen: NSA hade byggt en infrastruktur som gjorde det möjligt att samla in praktiskt taget vilka uppgifter som helst om vem som helst i världen, bland annat:

• Dina e-postmeddelanden.
• Ditt telefonnummer. Eller din frus. Eller dina vänners.
• Dina lösenord.
• Användningen av dina bankkort.
• Din samtalshistorik.

Allt i namn av och under det så tvetydiga paraplyet Nationell säkerhet.

Om ämnet intresserar dig förklaras det mycket bra i dokumentären Citizenfour som återger Edward Snowdens uttalanden. Den rekommenderas varmt, men om du föredrar film regisserade Oliver Stone den underhållande Snowden som berättar samma historia ur ett mer kommersiellt perspektiv.

Reaktionerna på skandalen

När allt kom fram blev reaktionerna i Europa ganska försiktiga. Så försiktiga att de nästan verkade spelade. Offentligt kunde man inte säga det, men privat verkade våra politiker hålla med om vad den amerikanska regeringen hade gjort.

Men en liten detalj återstod. Då visste man fortfarande inte att världens politiska ledare också spionerades på.

Den avgörande droppen var övervakningen av mobilkommunikationen hos Tysklands förbundskansler och Europas de facto-ledare Angela Merkel, som hamnade i en hård offentlig konflikt med Barack Obama, då USA:s president.

Då förändrades läget.

För, min vän, att spionera på vanligt folk är en sak och att spionera på makthavare en helt annan…

Administrativa avtal: från Safe Harbor till Privacy Shield

Så, mycket irriterade över att själva ha blivit spionerade på, ogiltigförklarade Europas ledare reglerna kring Safe Harbor, kommunikationsprotokollet mellan amerikanska företag och europeiska kunder och medborgare som hade gällt sedan 2001.

15 år och programmet PRISM senare behövde integriteten regleras på ett annat sätt. Därför skapades 2016 ett nytt avtal kallat Privacy Shield, vars största effekt var att hindra amerikanska företag från att lagra europeiska medborgares personuppgifter på servrar i Amerika.

Det vill säga:

• Det definierades exakt vad personuppgifter innebar. Utöver namn och e-postkonton omfattade det även sådant som IP-adressen för internetanslutningen.
• Om ett amerikanskt företag redan lagrade sådana uppgifter på sina servrar hade det två alternativ: Sluta lagra dem och radera dem.

• Fortsätta lagra dem, motivera varför och använda servrar utanför USA, så att NSA och liknande organ inte kunde komma åt dem — eller åtminstone inte enkelt.

Och alla var nöjda.

Utom Max Schrems, en österrikisk integritetsaktivist och jurist som fick EU-domstolen att ogiltigförklara avtalet 2020.

Det har gjort att överföringar av personuppgifter mellan Europa och USA under de senaste tre åren inte har reglerats av något mjukare gemensamt avtal, utan av den strikta GDPR (EU:s allmänna dataskyddsförordning).

Det är i det sammanhanget Frankrikes förbud mot Google Analytics ska förstås, eftersom verktyget samlar in franska medborgares IP-adresser på servrar på amerikanskt territorium.

Varför förklarar då inte resten av Europas länder det olagligt? I princip därför att registreringen av IP-adressen är krypterad, vilket gör att de inte betraktar den som en personuppgift i sig.

En fråga om nyanser.

Nytt avtal 2023. Hur länge?

Som du säkert har hört har Europa och USA sedan förra veckan ett nytt ramavtal om integritet.

Och det gör användningen av Google Analytics laglig.

Kanske hade lanseringen av GA4 något med saken att göra.

Kanske är det en slump.

Det som inte verkar vara en slump är att Google har öppnat användningen av sin Bard-AI i Europa tre dagar efter att avtalet godkändes. Särskilt med tanke på att skälet till att tjänsten inte erbjöds här från början just var att den inte uppfyllde Europas strikta regler för data.

Så vad händer nu? Först kommer Max Schrems återigen att överklaga till EU-domstolen med argumentet att USA:s regler om massövervakning fortfarande gäller, även om det nya avtalet begränsar användningen till något som är “proportionerligt””.

Det är ett tvetydigt ord som inte tydligt anger vilka privata uppgifter om europeiska medborgare den amerikanska administrationen får komma åt.

Därför är det möjligt att vi under de kommande månaderna får fler nyheter om saken, åt ena eller andra hållet. Då vet vi på riktigt om vi kan fortsätta använda GA4 lagligt eller inte.

Fram till dess är det bara att implementera.

Eller byta.

Eller be. Hela den här röran började trots allt av religiösa skäl.

Man baxnar.