Publicado: 3 de julho de 2023

A Autoridade Sueca de Proteção à Privacidade (IMY) realizou uma auditoria sobre como quatro empresas utilizam o Google Analytics para estatísticas da web. A IMY emite multas administrativas contra duas das empresas. Uma das empresas parou recentemente de usar a ferramenta de estatísticas por iniciativa própria, enquanto a IMY ordena que as outras três também parem de usá-la.

A IMY auditou como quatro empresas transferem dados pessoais para os EUA por meio do Google Analytics, que é uma ferramenta para medir e analisar o tráfego em sites. As empresas auditadas são CDON, Coop, Dagens Industri e Tele2. As auditorias se referem a uma versão do Google Analytics de 14 de agosto de 2020.

As auditorias são baseadas em reclamações da organização None of Your Business (NOYB) à luz da decisão Schrems II do Tribunal de Justiça Europeu (TJUE). As reclamações alegam que as empresas, em violação da lei, transferem dados pessoais para os Estados Unidos.

De acordo com o Regulamento Geral de Proteção de Dados (GDPR), dados pessoais podem ser transferidos para países terceiros, ou seja, países fora da UE/EEE, se a Comissão Europeia tiver decidido que o país em questão possui um nível adequado de proteção para dados pessoais que corresponda ao da UE/EEE. No entanto, o TJUE decidiu por meio da decisão Schrems II que os Estados Unidos não poderiam ser considerados como tendo um nível adequado de proteção na época da decisão.

Em suas auditorias, a IMY considera que os dados transferidos para os EUA por meio da ferramenta de estatísticas do Google são dados pessoais, pois os dados podem ser vinculados a outros dados exclusivos que são transferidos. A autoridade também conclui que as medidas técnicas de segurança adotadas pelas empresas não são suficientes para garantir um nível de proteção que corresponda essencialmente ao garantido pela UE/EEE.

- Pelo fato de a IMY ter decidido sobre esses casos ao mesmo tempo, fica claro quais são os requisitos para as medidas técnicas de segurança e outras medidas ao transferir dados pessoais para um país terceiro, neste caso, os Estados Unidos - diz a consultora jurídica Sandra Arvidsson, que liderou as auditorias das empresas.

Se não houver uma decisão sobre um nível adequado de proteção pela Comissão Europeia, os dados podem ser transferidos com base em cláusulas contratuais padrão decididas pela Comissão Europeia. No entanto, de acordo com o TJUE, essas cláusulas contratuais padrão podem precisar ser complementadas com garantias adicionais, caso seja necessário manter a proteção que as cláusulas têm a intenção de fornecer na prática.

Todas as quatro empresas basearam suas decisões sobre a transferência de dados pessoais por meio do Google Analytics em cláusulas contratuais padrão. A partir das auditorias da IMY, parece que as medidas adicionais de segurança técnica de nenhuma das empresas são suficientes. A IMY emite uma multa administrativa de 12 milhões de SEK contra a Tele2 e 300.000 SEK contra a CDON, que não adotou as mesmas medidas de proteção abrangentes que a Coop e o Dagens Industri. A Tele2 parou recentemente de usar a ferramenta de estatísticas por iniciativa própria. A IMY ordena que as outras três empresas parem de usar a ferramenta.

- Essas decisões têm implicações não apenas para essas quatro empresas, mas também podem fornecer orientações para outras organizações que usam o Google Analytics - diz Sandra Arvidsson.