Google Analytics hos kommunerna – ett år efter Schrems 2-domen

Schrems 2-domen i EU-domstolen i juli 2020 gav vägledning om att vi i EU inte kan använda molntjänster från företag som lyder under amerikansk lagstiftning eller har beroenden till sådana företag. Nu har det gått ett år. Så hur mycket har hänt?

En tydlig sak som har hänt var att mainstream-mediet Sveriges Radio i vintras påpekade problemet med just Google Analytics. Det är ett halvår sedan – så hur ser det ut nu? Låt oss ta en titt.

Sammanfattning:

78 av 290 kommuner har Google Analytics eller Google Tag Manager i augusti 2021. Det är mindre än hälften jämfört med slutet av 2020.
2015 var det 19% av kommunerna som inte använde Google Analytics. November 2020 hade 80% av offentlig sektor fortfarande Google Analytics.
De som fortsatt använda Google Analytics via serversidan syns inte i den här typen av tester.

Metod

Verktyget som använts för denna bloggpost är PageXray och har körts med EU-inställningar. Du kan testa verktyget själv på nedan länk:

PageXray (FouAnalytics)

Det som rapporteras är om webbplatsen har antingen Google Analytics eller Google Tag Manager (GTM). GTM är ett vanligt sätt att hämta in just Google Analytics.

En fördel med denna metod till skillnad från de “GDPR-mejl” som gick ut till alla kommuner 23:e juli om vilka leverantörer de har är att här är vi inte beroende av vad de väljer att svara. Många av mejlsvaren berättar ingenting om att de använder Google Analytics på sin webbplats, eller andra tredjeparter heller för den delen. Vid mejlsvar där det visas att de visst har Google Analytics är svaren lite allt möjligt. Ibland hävdas det att de tog bort Google Analytics för länge sedan men kan ha glömt någon kod någonstans, ibland att det inte är något problem eftersom IP-adresser anonymiseras. Det där med IP-anonymisering är en myt, åtminstone när man som användare på en webbplats har direktkontakt med tredjeparten. För att tredjeparten ska kunna bidra måste de ha våra kompletta IP-adresser. Sen om de i efterhand "anonymiserar" våra IP-adresser är en annan fråga.

Använda Google Analytics först efter samtycke?

Så som det här testet är utformat är det möjligt att både anges som användare av Google Analytics och ändå inte automatiskt skicka uppgifter utanför EU. Det beror på att om webbplatsen väntar med att släppa besökarnas uppgifter till Google.

Sen om det går att hävda samtycke som laglig grund för detta är en juridisk fråga som övergår min kompetens. Dock tvivlar jag om samtyckesgrunden att samtycket ska vara informerat. Går det att informera på ett tillfredsställande sätt vad det innebär att potentiellt få sina personuppgifter delade med USA:s övervakningsmyndigheter?

Google Tag Manager Serverside syns inte

Det kan mycket väl finnas kommuner som valt att ta sin användning av Google Analytics till baksidan av sin webbplats. Det finns nämligen en produkt för detta och i de fallen syns inte användningen av Google Analytics eftersom anropet inte görs i användarens webbläsare.

Att ta sin webbanalys till serversidan må vara en lösning på kaklagen, men det är fortfarande en fråga om GDPR. Dock lite svårare att bli avslöjad.

Kommunernas resultat

287 av 290 st kommuner kunde utvärderas med PageXray. Det rör på sig när det gäller vilka som använder Google Analytics och nedan tester är inte dagsaktuella, dock är alla där det inte nämns annat genomförda under augusti månad.

De som inte riktigt klaffar är följande:

Tingsryd – har aldrig gått att testa sedan införandet, men har 30:e augusti Google Tag Manager.
Lekeberg - har endast Browsealoud som tredjepart på sin startsida.
Valdemarsvik - har 30:e augusti Google Tag Manager.
Borgholm har inte kunnat testas sedan slutet av april och har inte Google Analytics eller GTM 30:e augusti, dock Typekit och Vizzit som tredjeparter.

Följande har Google Analytics eller Google Tag Manager enligt PageXray vid vårt senaste test innan publicering: