Google Analytics
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 16.12.2009Številka: 0712-2/2009/1361
Kategorije: Svetovni splet Spoštovani,
dne 30. 11. 2009 smo prejeli vaše elektronsko sporočilo, v katerem vas zanima, če je uporaba orodja Google Analytics na spletnem mestu sporna? Zanima vas tudi, če je izjava o uporabi, kot jo navajate, dovolj za obveščanje uporabnikov?
Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
V bližnji prihodnosti se bo v EU regulacija glede piškotkov in spletnih strani zelo verjetno poostrila, predvsem na področju sledenja uporabnikom za namen oglaševanja in spremembe bodo lahko zadevale tudi Google in njegova orodja. Glede na trenutno pravno ureditev pa po mnenju Pooblaščenca uporaba Google Analytics v Sloveniji ne pomeni kršitve ZVOP-1.
Izjava, kot jo opisujete, mora biti na spletnem mestu, ki Google Analytics uporablja, dostopna že zaradi določbe v splošnih pogojih uporabe. Google namreč zahteva, da spletno mesto v svoje obvestilo vključi tudi informacijo o uporabi Google Analytics.
Obrazložitev:
Pooblaščenec pojasnjuje, da je uporaba orodja Google Analytics z vidika varstva osebnih podatkov že naletela na kritike, ki predvsem poudarjajo, da bi Google lahko podatke, ki jih zbere s pomočjo orodja Analytics združil z drugimi podatki, ki jih zbira o uporabnikih in tako gradil profile individualnih uporabnikov. Jedro problema so IP-naslovi uporabnikov, ki jih je glede na Mnenje 4/2007 o pojmu osebnih podatkov Delovne skupine za varstvo osebnih podatkov iz člena 29 (2007) potrebno šteti za osebne podatke. IP-naslovov izjemoma ne štejemo za osebne podatke, če se ne nanašajo na določenega ali določljivega posameznika oziroma bi bilo potrebno vložiti nesorazmerno veliko naporov ali sredstev za določljivost posameznika.
V primeru uporabe Google Analytics torej prihaja do obdelave osebnih podatkov (IP-naslovov), za kar mora imeti upravljavec spletnega mesta pravno podlago. Glede na določbo 10. člena ZVOP-1 se osebni podatki v zasebnem sektorju lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ker obdelave podatkov v tem primeru ne določa zakon, bi bila torej potrebna privolitev posameznika, uporabnika spletne strani. Pooblaščenec opozarja, da se moramo uporabniki svetovnega spleta v informacijski družbi zavedati, da ima po naravi stvari vsak upravljavec spletne strani možnost videti, katere IP številke so obiskovale njegovo spletno stran in da se zaradi tega šteje, da obiskovalec ob obisku spletne strani poda tudi svojo privolitev v obdelavo osebnih podatkov, ki se zabeležijo ob njegovem obisku. Velika večina orodij za urejanje vsebine spletnih mest nudi funkcionalnosti vodenja statistik obiskanosti, nekateri upravljavci spletnih mest pa se odločijo tudi za temu posebej namenjene aplikacije, kot je npr. Google Analytics. S tem, ko se upravljavec spletnega mesta odloči, da bo za statistiko obiskanosti uporabljal orodja, ki podatke o obiskanosti posredujejo tretjim osebam (npr. Google-u), gre z vidika varstva osebnih podatkov lahko za pogodbeno obdelavo osebnih podatkov, pri čemer igra Google vlogo pogodbenega obdelovalca.
11. člen ZVOP-1 namreč predvideva, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz 24. člena tega zakona. Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Google bi tako lahko šteli za pogodbenega obdelovalca, ki opravlja dejavnosti v zvezi z obdelavo osebnih podatkov v imenu in za račun upravljavca spletnega mesta. Strinjanje s pogoji uporabe Google Analytics pa bi lahko šteli za pogodbo, s katero se uredijo medsebojne obveznosti in dolžnosti.
Na tem mestu je potrebno poudariti, da je vsaj načeloma posredovanje osebnih podatkov pogodbenim obdelovalcem, ki jih upravljavec ne more neposredno nadzirati, lahko problematično z vidika varstva osebnih podatkov. Obstaja pa pri posredovanju osebnih podatkov pogodbenim obdelovalcem iz ZDA določeno varovalo – načela Safe Harbor, ki zagotavljajo ustrezno raven varstva osebnih podatkov s strani družb iz ZDA. K načelom Safe Harbor je zavezano tudi podjetje Google.
Pooblaščenec še poudarja, da je potrebno pri obdelavi osebnih podatkov spoštovati določbe o namenskosti uporabe osebnih podatkov. 16. člen ZVOP-1 namreč določa, da se osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. Tako bi bilo zelo sporno uporabljati podatke, ki so namenjeni za statistiko obiskanosti, za namen ustvarjanja podrobnih profilov obiskovalcev in/ali za namene neposrednega oziroma vedenjskega oglaševanja. Uporabnik spletnega mesta bi za takšne namene moral podati svojo izrecno vnaprejšnjo privolitev, za katero ne bi mogli kot zadostno šteti zgolj opredelitev v pogojih uporabe oz. politiki zasebnosti spletnega mesta. V bližnji prihodnosti se bo v EU regulacija glede piškotkov in spletnih strani zelo verjetno poostrila, predvsem na področju sledenja uporabnikom za namen oglaševanja in spremembe bodo lahko zadevale tudi Google in njegova orodja. Glede na trenutno pravno ureditev pa po mnenju Pooblaščenca uporaba Google Analytics v Sloveniji ne pomeni kršitve ZVOP-1. Prav tako se uporabnik beleženju njegovih podatkov s strani Google Analytics lahko izogne s pomočjo nastavitev v svojem brskalniku.
Izjava, kot jo opisujete, mora biti na spletnem mestu, ki Google Analytics uporablja, dostopna že zaradi določbe v splošnih pogojih uporabe. Google namreč zahteva, da spletno mesto v svoje obvestilo vključi tudi informacijo o uporabi Google Analytics. Pooblaščenec meni, da je izjava, kot jo navajate, za obveščanje uporabnikov spletnega mesta zadovoljiva. Več o oblikovanju izjav o zasebnosti si lahko preberete tudi v smernicah pooblaščenca, ki so dosegljive na spletni strani Pooblaščenca: http://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice-za-oblikovanje-izjave-o-varstvu-osebnih-podatkov-na-spletnih-straneh.pdf.
Prijazen pozdrav.
Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka