De Zweedse telecomprovider Tele2 moet een boete van één miljoen euro betalen wegens het gebruik van Google Analytics, zo heeft het Zweedse hof van beroep bepaald. Daarmee bevestigt het hof de eerdere beslissing van de Zweedse privacytoezichthouder Integritetsskyddsmyndigheten (IMY), die de sanctie in 2023 oplegde.
De zaak begon na een klacht van noyb, de privacyorganisatie van activistische jurist Max Schrems, die eerder ook grote techbedrijven als Meta en Google voor de rechter daagde wegens schending van de Europese privacywetgeving (AVG). Volgens noyb schendt het gebruik van Google Analytics de Europese regels, omdat de tool persoonlijke gegevens naar de Verenigde Staten doorstuurt, waar volgens de EU onvoldoende bescherming van persoonsgegevens bestaat.
Google Analytics
Na een uitgebreid onderzoek concludeerde de Zweedse toezichthouder dat de data die Tele2 via Google Analytics naar de VS verstuurde persoonlijk identificeerbare informatie bevatte. Deze gegevens konden, in combinatie met andere unieke dataprofielen, herleid worden tot individuele gebruikers. Daarmee was volgens IMY sprake van een overtreding van de Algemene Verordening Gegevensbescherming (AVG).
Tele2 had zich verdedigd door te stellen dat het gebruik maakte van de zogenaamde modelcontractbepalingen (Standard Contractual Clauses, SCC’s) — een juridisch instrument waarmee bedrijven persoonsgegevens naar landen buiten de EU mogen doorgeven, mits een gelijkwaardig beschermingsniveau wordt gegarandeerd. De toezichthouder oordeelde echter dat de aanvullende technische maatregelen van Tele2, bedoeld om de privacy van gebruikers te beschermen onvoldoende waren.
Het Zweedse hof van beroep sluit zich daar nu volledig bij aan. Daarmee is de uitspraak definitief, en geldt ze als een belangrijk precedent binnen de Europese Unie.
Analysetools
De uitspraak onderstreept dat bedrijven die Google Analytics of vergelijkbare analysetools gebruiken, scherp moeten letten op hun datastromen buiten de EU. Eerder legden toezichthouders in Oostenrijk, Italië en Frankrijk al vergelijkbare boetes of verboden op voor het gebruik van Google Analytics, uit zorg dat Amerikaanse autoriteiten toegang kunnen krijgen tot Europese gebruikersdata.
De zaak tegen Tele2 laat zien dat Europese privacyregels steeds strenger worden toegepast, ook op grote bedrijven die denken zich via juridische constructies te kunnen indekken.