V čem spočívá aktuální „boj o data“ a jak bychom měli na změny reagovat?
Celou datovou apokylypsu před časem odstartovala aktivita nevládní organizace NYOB, která se zabývá vymáháním soukromí (obdoba organizací pro práva spotřebitelů) a která již nějakou dobu podává žaloby proti velkým korporacím. Tato organizace monitoruje velké společnosti typu Google, Facebook, Apple a jiné a upozorňuje na to, že spousty jejich praktik nějakým způsobem porušují soukromí nás, koncových uživatelů. Praktiky často ani nejsou v souladu s platnou legislativou. NYOB napadla takzvaný EU-US Privacy Shield, který existoval od roku 2016 mezi Evropou a USA. Ten umožňoval společnostem předávat osobní údaje svých uživatelů z EU subjektům v USA, přičemž se mělo za to, že tento „štít soukromí“ garantuje odpovídající úroveň ochrany osobních údajů.
Je velmi těžké říct, jak se situace vyvine a jak rychle zareagují další evropské úřady — může se tak stát v řádu týdnů, ale klidně i měsíců.
Po odhalení nedostatků byl v létě 2020 štít zneplatněn a bylo nutné přenos dat založit na jiném principu, takzvané standarní smluvní doložky. Ta ukládá správcům dat v EU povinnost, aby sami prověřili, zda je jejich ochrana osobních dat v souladu s GDPR. Při posuzování je nutné vzít i v potaz právní řád třetí země, kam budou data předávána. Pro firmy, které posílají data do USA — což se samozřejmě týká většiny velkých hráčů jako Google nebo Facebook — je velmi těžké, nebo spíš nemožné, zajistit, že k osobním údajům nebudou mít přístup orgány státní správy, jako jsou například bezpečnostní služby.
Celkem logicky pak organizace NYOB měsíc po rozhodnutí soudu situace využila a podala 101 stížností na společnosti z EU, které nadále zasílají údaje o návštěvnících webových stránek společnostem Google a Facebook u jednotlivých evropských úřadů na ochranu osobních údajů.
„Na hlavních webových stránkách v každém členském státě EU jsme při rychlé analýze nalezli kódy Facebooku a Googlu. Tyto části kódu předávají údaje o každém návštěvníkovi Googlu nebo Facebooku. Obě společnosti přiznávají, že předávají údaje Evropanů ke zpracování do USA, kde mají tyto společnosti zákonnou povinnost takové údaje zpřístupnit americkým agenturám, jako je NSA,“ píše se na webu noyb.eu.
Přijdeme o Google Analytics?
Na základě zmíněných stížnosti už dva evropské úřady na ochranu osobních údajů vydaly na počátku tohoto roku rozhodnutí. Jedním z nich je francouzský CNIL, podobné rozhodnutí udělal i rakouský DSB. Shodně oba úřady rozhodly, že používání služby Google Analytics (GA) je v rozporu s GDPR. Úřady také požádaly správce webových stránek, aby dodržovali GDPR a v případě potřeby tuto službu za stávajících podmínek přestali používat. Pro tyto společnosti to nejspíš znamená konec Google Analytics, nebo minimálně výrazné omezení jejich využití.
Kdy zákaz nastane?
Je velmi těžké říct, jak se situace vyvine a jak rychle zareagují další evropské úřady — může se tak stát v řádu týdnů, ale klidně i měsíců. A i když úřady oznámily společný postup, tak se zdá, že jejich kroky až tak koordinované nejsou a nyní jednají spíše samostatně.
Tato rozhodnutí mají ale dopad daleko širší a týkají se velké části správců webových stránek v EU. GA je jedním z nejrozšířenějších web-analytických nástrojů. I když existují alternativy v souladu s GDPR, stále velké množství webových stránek v EU se spoléhá na GA a předávají uživatelská data do USA.
Skutečnost, že úřady mohou nyní prohlásit tyto americké služby za nezákonné, vyvíjí další tlak na společnosti z EU a americké poskytovatele, aby přešli na bezpečné a legální možnosti, jako je například hostování mimo USA. Společnosti ale samozřejmě nechtějí přijít o možnost analyzovat data návštěvníků svých webových stránek.
Ve střednědobém horizontu se může stát, že firmy budou muset GA vypnout, nebo jejich používání výrazněji omezit.
Co mají firmy dělat?
Dlouhodobě se zdá, že řešením je nová dohoda mezi EU a USA. Taková cesta bude ale určitě zdlouhavá. Ursula von der Leyen a Joe Biden sice oznámili takzvaný Privacy Shield 2.0, jde ale nyní spíše o politické prohlášení. Žádný text takové dohody nejspíš zatím neexistuje.
Ve střednědobém horizontu se může stát, že firmy budou muset GA vypnout, nebo jejich používání výrazněji omezit. Google si je toho vědom a snaží se v rámci GA přijít s různými dodatečnými nastaveními v oblasti bezpečnosti dat — například anonymizace IP adresy, server-side sledování a podobně. To podstatu problému ale úplně neřeší. Některé velké evropské značky proto začaly hledat ke Google Analytics alternativu, která neporušuje GDPR a nezpracovává údaje mimo EU.
Z pohledu marketérů je tedy nutné si udělat audit transferů dat mimo EU se zaměřením na USA.
Ve Wunderman Thompson nabízíme kompletní digitální „scan“ jako produkt, v rámci něhož máme i analýzu ochrany soukromí. Ta odpoví na otázku, jestli při zpracování osobních údajů nedochází právě k transferům mimo EU. Dokážeme identifikovat, které služby potenciálně porušují GDPR. V rámci jednotlivých služeb jsme pak schopni navrhnout alternativu. Po případě jakým způsobem ty nástroje nastavit jinak, aby byly v souladu s GDPR.
Co to znamená pro marketéry?
Měli by se šířeji zamyslet, jaké služby a třetí strany využívají pro svou práci a kde zpracovávají osobní údaje. Ačkoliv jsme se teď bavili primárně o službě GA, obecně se problém týká i dalších služeb, které marketéři používají — e-mailingové nástroje, řešení pro marketingovou automatizaci nebo analytiku. Zkrátka všechny služby založené na cloudových platformách, které mohou být hostovány v USA.
Z pohledu marketérů je tedy nutné si udělat audit transferů dat mimo EU se zaměřením na USA. Na škodu pak určitě není hledat, byť i krátkodobě, alternativy ke stávajícím službám, které zaručí, že data neopustí EU.
Článek vznikl na základě komerční spolurpáce týdeníku Marketing & Media a společnosti Wunderman Thompson.
