Google Analytics και προστασία προσωπικών δεδοµένων: Το ψήφισµα της Συνόδου των Εποπτικών αρχών προστασίας προσωπικών δεδοµένων της Γερµανίας

Το άρθρο δημοσιεύθηκε στο Τεύχος 1/2020 της Επιθεώρησης Δικαίου Πληροφορικής, την ηλεκτρονική έκδοση της Ερευνητικής Ομάδας Δίκαιου και Πληροφορικής της Νομικής Σχολής ΑΠΘ.

I. Eισαγωγή

Η χρήση ιχνηλατών (trackers) στο διαδίκτυο αποτελεί ένα ιδιαιτέρως ενδιαφέρον και επίκαιρο ζήτηµα, µε ιδιάζουσες νοµικές, εµπορικές και τεχνολογικές πτυχές. Οι ιχνηλάτες επιτελούν µία σειρά από λειτουργίες κοµβικής σηµασίας για τις ιστοσελίδες και τα ηλεκτρονικά καταστήµατα (eshops)1. Την ίδια στιγµή, το νοµικό πλαίσιο που διέπει τη χρήση τους διακρίνεται από σύνθετα χαρακτηριστικά2, ενώ η προσέγγιση των εποπτικών αρχών προστασίας προσωπικών δεδοµένων στην ΕΕ επί των ζητηµάτων που ανακύπτουν, όπως η νοµιµότητα της επεξεργασίας και οι υποχρεώσεις των εµπλεκόµενων µερών, είναι διαφοροποιηµένη, παρά τις προσπάθειες που καταβάλλονται για οµοιόµορφη εφαρµογή της νοµοθεσίας.

Αδιαµφισβήτητα, ένας από τους βασικούς σκοπούς χρήσης ιχνηλατών είναι η στατιστική ανάλυση της επισκεψιµότητας µιας ιστοσελίδας, ηλεκτρονικού καταστήµατος ή εφαρµογής (web analytics)3. Η αναντίρρητη ανάγκη των διαχειριστών τους να λαµβάνουν γνώση τέτοιων πληροφοριών, σε συνδυασµό µε την εκτεταµένη χρήση υπηρεσιών τρίτων µερών προς το σκοπό αυτό4, τοποθετεί τους ιχνηλάτες στατιστικής ανάλυσης στο επίκεντρο του ενδιαφέροντος των διαχειριστών - υπεύθυνων επεξεργασίας, αλλά και του δικαίου προστασίας προσωπικών δεδοµένων. Όπως έχει επισηµάνει ήδη από το 2012 η Οµάδα Εργασίας του άρθρου 29, τα εργαλεία ανάλυσης βασίζονται στη χρήση ενός πλήθους διαφορετικών µοντέλων συλλογής και ανάλυσης δεδοµένων, εκ των οποίων το καθένα ενέχει διαφορετικούς κινδύνους από την άποψη της προστασίας δεδοµένων5.

Ένας βασικός προβληµατισµός σχετικά µε τη λειτουργία των εν λόγω ιχνηλατών αποτελεί η επιλογή νοµικής βάσης για τη χρήση και επεξεργασία προσωπικών δεδοµένων µέσω αυτών, τόσο υπό το πρίσµα του Γενικού Κανονισµού Προστασίας Δεδοµένων (ΓΚΠΔ) όσο και της ειδικής νοµοθεσίας για την προστασία δεδοµένων στις ηλεκτρονικές επικοινωνίες6. Η ελληνική Αρχή Προστασίας Δεδοµένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) έχει λάβει θέση σχετικά µε το ζήτηµα ήδη από το 2011, όταν και είχε εξετάσει τη χρήση «cookies» από το διαδικτυακό τόπο της Βουλής των Ελλήνων για έκδοση στατιστικών. Ειδικότερα, η ΑΠΔΠΧ έκρινε ότι η χρήση της υπηρεσίας Google Analytics µπορεί να γίνει µόνο ύστερα από συγκατάθεση των χρηστών της ιστοσελίδας, κάνοντας δεκτό ότι οι ιχνηλάτες τρίτου µέρους για τη µέτρηση της επισκεψιµότητας δεν εµπίπτουν στην εξαίρεση της παρ. 5 του άρθρου 4 ν. 3471/20067. Η Αρχή επανέλαβε τη θέση της αυτή στις πρόσφατες συστάσεις της για τη συµµόρφωση υπευθύνων επεξεργασίας δεδοµένων µε την ειδική νοµοθεσία για τις ηλεκτρονικές επικοινωνίες8, παραθέτοντας µάλιστα ως παράδειγµα κακής πρακτικής τη χρήση Google Analytics µόνο µε ενηµέρωση του χρήστη, χωρίς την παροχή δυνατότητας απόρριψης, ή ακόµα και χωρίς ενηµέρωση.

Θα πρέπει να επισηµανθεί πως η ΑΠΔΠΧ διατύπωσε σύσταση µόνο σχετικά µε τη χρήση ιχνηλατών τρίτου µέρους, χωρίς να λάβει σαφή θέση για τους αντίστοιχους ιχνηλάτες πρώτου µέρους9. Το ζήτηµα αυτό απασχόλησε τόσο την ΟΕ29 όσο και εθνικές εποπτικές αρχές άλλων κρατών µελών επί σειρά ετών, καθώς υποστηρίζεται πως ορισµένα από τα εργαλεία αυτά θα µπορούσαν να χρησιµοποιηθούν χωρίς την παροχή συγκατάθεσης εκ µέρους του χρήστη.

Πράγµατι, η ΟΕ29 έχει αναγνωρίσει πως υπάρχει σαφής διαφοροποίηση ανάµεσα σε υπηρεσίες µε cookies τρίτου µέρους και εργαλεία ανάλυσης που χρησιµοποιούν cookies πρώτου µέρους, σηµειώνοντας πως, τηρουµένων ορισµένων προϋποθέσεων10, τα τελευταία δεν είναι πιθανό να προκαλέσουν κινδύνους σε σχέση µε την προστασία της ιδιωτικότητας11. Στο πλαίσιο µάλιστα αυτό δεν απέκλεισε τη δυνατότητα προσθήκης ενός τρίτου κριτηρίου απαλλαγής για την παροχή συγκατάθεσης ως προς τα cookies, τα οποία περιορίζονται αυστηρά σε ανωνυµοποιηµένους και συγκεντρωτικούς στατιστικούς σκοπούς πρώτου µέρους.

Παρά το γεγονός ότι δεν έχει υπάρξει ακόµα σχετική νοµοθετική πρόβλεψη12, η αντιµετώπιση αρκετών επιφανών εποπτικών αρχών είναι χαρακτηριστική: η Επίτροπος Προστασίας Δεδοµένων του Ηνωµένου Βασιλείου και η ιρλανδική αρχή θεωρούν ότι απαιτείται µεν συγκατάθεση για τη χρήση εργαλείων ανάλυσης πρώτου µέρους, αναγνωρίζουν ωστόσο σαφώς ότι εν προκειµένω οι κίνδυνοι για τα προσωπικά δεδοµένα από την επεξεργασία προσωπικών δεδοµένων είναι χαµηλοί. Μάλιστα η ιρλανδική αρχή αναφέρει ρητώς στις Οδηγίες της σχετικά µε τη χρήση cookies ότι δεν είναι πιθανό να προβεί στην επιβολή κυρώσεων για τέτοιες παραβιάσεις13.

ΙΙ. Το ψήφισµα των γερµανικών αρχών για τη χρήση Google Analytics

Η Σύνοδος των Εποπτικών αρχών προστασίας προσωπικών δεδοµένων της Γερµανίας (Datenschutzkonferenz, εφεξής ΣΕΑΠΔ) εξέδωσε στις 12 Μαΐου 2020 ένα ιδιαιτέρως ενδιαφέρον ψήφισµα14 αναφορικά µε τη χρήση της υπηρεσίας Google Analytics από ιδιωτικούς φορείς. Στο ψήφισµα αναλύονται πολλά ζητήµατα προστασίας δεδοµένων που προκύπτουν από τη χρήση Google Analytics και τίθενται οι προϋποθέσεις για τη σύννοµη χρήση της υπηρεσίας. Όπως αναφέρουν οι γερµανικές εποπτικές αρχές, η Google Analytics αποτελεί ένα εκ των πλέον διαδεδοµένων εργαλείων για τους διαχειριστές ιστοσελίδων, µε τη βοήθεια του οποίου εξάγονται στατιστικές εκτιµήσεις για τη χρήση µιας ιστοσελίδας. Η ΣΕΑΠΔ τονίζει πως το ψήφισµά της δεν αποτελεί σύσταση για τη χρήση της υπηρεσίας, αλλά µία περιγραφή των ελάχιστων προϋποθέσεων για τη χρήση της, µε τις οποίες θα πρέπει να συµµορφώνονται οι διαχειριστές των ιστοσελίδων ή εφαρµογών, ηλεκτρονικών καταστηµάτων κ.ο.κ.

Κατά την ΣΕΑΠΔ, η χρήση της υπηρεσίας Google Analytics συνεπάγεται πάντοτε την επεξεργασία δεδοµένων προσωπικού χαρακτήρα των χρηστών, σύµφωνα µε τον ορισµό του άρθρου 4 παρ. 1 του ΓΚΠΔ, παρά τους ισχυρισµούς της Google περί του αντιθέτου, ισχυρισµούς τους οποίους η ΣΕΑΠΔ χαρακτηρίζει ως “παραπλανητικούς”. Η διαπίστωση αυτή είναι ιδιαιτέρως ενδιαφέρουσα και χρήσιµη, ειδικά ενόψει της αλληλεπίδρασης που υπάρχει µεταξύ των διατάξεων του ΓΚΠΔ και της Οδηγίας 2002/58 σχετικά µε τη χρήση ιχνηλατών και τη νοµική βάση επεξεργασίας15.

ΙΙΙ. Η σχέση µεταξύ της Google και των χρηστών (διαχειριστών ιστοσελίδων) της υπηρεσίας Google Analytics

Η ΣΕΑΠΔ επισηµαίνει πως η Google προσαρµόζει διαρκώς τις πράξεις επεξεργασίας που λαµβάνουν χώρα µέσω της Google Analytics, παρέχοντας πολλές παραπάνω δυνατότητες στο χρήστη από την απλή καταγραφή στοιχείων επισκεψιµότητας. Σύµφωνα µε τις γερµανικές αρχές, ο υπεύθυνος επεξεργασίας είναι εκείνος που ορίζει τους σκοπούς και τα µέσα της επεξεργασίας, ενώ ο εκτελών δρα µόνο εντός του πλαισίου που ο υπεύθυνος ορίζει και κατ' εντολή του. Στην περίπτωση της Google Analytics, ο χρήστης (διαχειριστής ιστοσελίδας) δεν είναι σε θέση να ορίσει πλήρως τους σκοπούς και τα µέσα επεξεργασίας, καθώς ορισµένοι από αυτούς καθορίζονται αποκλειστικά από τη Google.

Περαιτέρω, η ΣΕΑΠΔ τονίζει ότι οι διαφορετικές πτυχές της επεξεργασίας δεδοµένων που λαµβάνουν χώρα στο πλαίσιο της υπηρεσίας Google Analytics, όπως η διαβίβαση δεδοµένων στους διακοµιστές (server) της Google ή η επεξεργασία τους για τους σκοπούς του χρήστη ή και της Google, έχουν νόηµα µόνο αν αντιµετωπιστούν µε ενιαίο τρόπο. Συνεπώς, η ΣΕΑΠΔ παρατηρεί ότι ο χρήστης (διαχειριστής ιστοσελίδας) και η Google δεν πρέπει να εναλλάσσουν µεταξύ των ρόλων του υπευθύνου και εκτελούντος την επεξεργασία στην προκειµένη περίπτωση.

Σύµφωνα µε το ψήφισµα της ΣΕΑΠΔ, παρά το γεγονός ότι η Google παρέχει προς αποδοχή στους χρήστες (διαχειριστές ιστοσελίδων) µία σύµβαση Υπεύθυνου - Εκτελούντος, στο έγγραφο µε τίτλο “Google Measurement Controller-Controller Data Protection Terms” αναφέρεται µε σαφήνεια ότι για ορισµένες πράξεις επεξεργασίας η Google και οι χρήστες είναι διακριτοί υπεύθυνοι επεξεργασίας. Επιπρόσθετα, η Google επεξεργάζεται ορισµένα δεδοµένα για εντελώς δικούς της σκοπούς, όπως η ανάλυση της κίνησης στο διαδίκτυο και η παρακολούθηση της συµπεριφοράς των τελικών χρηστών.

Με βάση τα παραπάνω και λαµβάνοντας υπόψη τόσο το άρθρο 28 παρ. 10 του ΓΚΠΔ16 όσο και την πρόσφατη νοµολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης17, η ΣΕΑΠΔ καταλήγει στο σηµαντικό συµπέρασµα πως η Google στο πλαίσιο παροχής της υπηρεσίας Analytics δεν αποτελεί εκτελούντα την επεξεργασία, αλλά από κοινού υπεύθυνο επεξεργασίας µε τον διαχειριστή της ιστοσελίδας, κατά το άρθρο 26 ΓΚΠΔ18. 

Στη διάταξη αυτή προβλέπεται ότι όταν υφίστανται δύο ή περισσότεροι υπεύθυνοι επεξεργασίας που καθορίζουν από κοινού τους σκοπούς και τα µέσα της επεξεργασίας, αυτοί αποτελούν από κοινού υπευθύνους επεξεργασίας. Ο ρόλος τους συνίσταται στον καθορισµό µε διαφάνεια των αντίστοιχων ευθυνών τους για συµµόρφωση προς τις υποχρεώσεις που απορρέουν από τον ΓΚΠΔ, ιδίως όσον αφορά την άσκηση των δικαιωµάτων του υποκειµένου των δεδοµένων και τα αντίστοιχα καθήκοντά τους για να παρέχουν τις πληροφορίες που αναφέρονται στα άρθρα 13 και 14 ΓΚΠΔ. Η πρόβλεψη για τη ρύθµιση της ευθύνης στην περίπτωση όπου υπάρχουν από κοινού υπεύθυνοι επεξεργασίας συνιστά σηµαντικό νεωτερισµό του ΓΚΠΔ19.

Δείτε ολόκληρο το άρθρο στο ejournals.lib.auth.gr

Photo by PhotoMIX Company from Pexels

• 1. Μεταξύ άλλων, η Γνώµη 04/2012 της Οµάδας Εργασίας του άρθρου 29 σχετικά µε την απαλλαγή που ισχύει σε σχέση µε τη συναίνεση για τα cookies αναφέρει την αποµνηµόνευση των προτιµήσεων του χρήστη, την ιχνηλάτηση (tracking), τη διαφήµιση, την ασφάλεια, την εξατοµίκευση διεπαφής χρήστη και την ανταλλαγή κοινωνικού περιεχοµένου.
• 2. Βλ. Β. Καρκατζούνη, Cookies και προστασία προσωπικών δεδοµένων, ΔΙΤΕ (π. ΔΙΜΕΕ) 2019, σελ. 171 επ
• 3. Σύµφωνα µε τη Γνώµη 04/2012 της Οµάδας Εργασίας του άρθρου 29, τα «εργαλεία ανάλυσης» (analytics) είναι στατιστικά εργαλεία µέτρησης της επισκεψιµότητας δικτυακών τόπων, τα οποία συχνά στηρίζονται στη χρήση cookies. Τα εργαλεία αυτά χρησιµοποιούνται, µεταξύ άλλων, από τους ιδιοκτήτες δικτυακών τόπων για την εκτίµηση του αριθµού των µοναδικών επισκεπτών, για την ανίχνευση των περισσότερο χρησιµοποιούµενων λέξεων-κλειδιών σε µηχανές αναζήτησης οι οποίες οδηγούν σε συγκεκριµένη ιστοσελίδα και για την καταγραφή ζητηµάτων που αφορούν την πλοήγηση σε δικτυακούς τόπους.
• 4. Είναι αρκετά δύσκολο να εντοπίσει κανείς ακριβή στατιστικά για τα εργαλεία στατιστικής ανάλυσης, ωστόσο η υπηρεσία Google Analytics θεωρείται το “πρότυπο της βιοµηχανίας” της µέτρησης επισκεψιµότητας, καθώς υπολογίζεται ότι πάνω από 50% των ιστοσελίδων χρησιµοποιούν Google Analytics (µερίδιο αγοράς άνω του 80%), µε τους σχετικούς ιχνηλάτες να είναι οι πιο ευρέως χρησιµοποιούµενοι. Βλ. σχετικά https://w3techs.com/technologies/overview/traffic_analysis και https://webtransparency.cs.princeton.edu/webcensus/.
• 5. Η οποία πλέον έχει αντικατασταθεί από το Ευρωπαϊκό Συµβούλιο Προστασίας Δεδοµένων, βλ. άρθρο 94 ΓΚΠΔ.
• 6. Οδηγία 2002/58/ΕΚ, όπως ενσωµατώθηκε στην ελληνική νοµοθεσία µε τον Ν. 3471/2006.
• 7. Πρόκειται για τις δύο γνωστές (και µοναδικές) περιπτώσεις εξαίρεσης από την υποχρέωση λήψης συγκατάθεσης για τη χρήση ιχνηλατών. Βλέπε σχετικό εδάφιο άρθρου 4 του Ν. 3471/2006, σύµφωνα µε το οποίο “τα παραπάνω δεν εµποδίζουν την οποιαδήποτε τεχνικής φύσεως αποθήκευση ή πρόσβαση, αποκλειστικός σκοπός της οποίας είναι η διενέργεια της διαβίβασης µίας επικοινωνίας µέσω δικτύου ηλεκτρονικών επικοινωνιών ή η οποία είναι αναγκαία για την παροχή υπηρεσίας της κοινωνίας της πληροφορίας, την οποία έχει ζητήσει ρητά ο χρήστης ή ο συνδροµητής”.
• 8. Συστάσεις για τη συµµόρφωση υπευθύνων επεξεργασίας δεδοµένων µε την ειδική νοµοθεσία για τις ηλεκτρονικές επικοινωνίες (25/2/2020), διαθέσιµες στον διαδικτυακό τόπο dpa.gr.
• 9. Κατά την ΟΕ 29 (Γνώµη 4/2012), ο όρος «cookie τρίτου µέρους» (first party) σε ορισµένες περιπτώσεις µπορεί να είναι παραπλανητικός και η περίπτωση της Google Analytics είναι οπωσδήποτε µία τέτοια περίπτωση. Στο πλαίσιο της Γνώµης της, η ΟΕ 29 χρησιµοποιεί τον όρο «cookie τρίτου µέρους» (third party), προκειµένου να περιγράψει τα cookies τα οποία εγκαθίστανται από υπεύθυνους επεξεργασίας οι οποίοι δεν χειρίζονται τον δικτυακό τόπο στον οποίον βρίσκεται ο χρήστης τη συγκεκριµένη χρονική στιγµή. Αντιστρόφως, ο όρος «cookie πρώτου µέρους» χρησιµοποιείται για την αναφορά σε ένα cookie που εγκαθίσταται από τον υπεύθυνο επεξεργασίας (ή από κάποιον δικό του εκτελούντα επεξεργασία) ο οποίος χειρίζεται τον δικτυακό τόπο που επισκέπτεται ο χρήστης, όπως αυτός προσδιορίζεται µε βάση τον URL που εµφανίζεται συνήθως στη γραµµή διευθύνσεων του φυλλοµετρητή. Με βάση τους ορισµούς της ΟΕ 29, θα µπορούσε να υποστηριχθεί ότι η υπηρεσία Google Analytics χρησιµοποιεί cookies πρώτου µέρους, καθώς στη βασική εκδοχή της υπηρεσίας τα cookies εγκαθίστανται από την ιστοσελίδα του ίδιου του υπευθύνου επεξεργασίας - διαχειριστή ιστοσελίδας, όπως προκύπτει και από το σχετικό URL (βλ. σχετικά https://developers.google.com/analytics/devguides/collection/gajs/cookie...). Ωστόσο, προκειµένου να καταστεί δυνατή η λειτουργία της υπηρεσίας Google Analytics, είναι απαραίτητο η κάθε ιστοσελίδα (πρώτο µέρος) να “τρέξει” έναν κώδικα Javascript, τον οποίο της παρέχει η Google (τρίτο µέρος), και ρόλος του οποίου είναι να διαβιβάσει συγκεκριµένες πληροφορίες του χρήστη στους διακοµιστές (servers) της Google. Η Google εν συνεχεία επεξεργάζεται τις πληροφορίες αυτές και τις παρουσιάζει µε έναν εύληπτο τρόπο στον χρήστη - διαχειριστή της ιστοσελίδας. Όπως έχει επανειληµµένα επισηµανθεί (βλ. σχετικές κατευθύνσεις εποπτικών αρχών, ΟΕ 29 και την αιτιολογική σκέψη 25 της Οδηγίας 2002/58/EK) το νοµικό πλαίσιο για τη χρήση cookies καλύπτει και “παρεµφερείς τεχνολογίες” (similar technologies), όπως η γλώσσα προγραµµατισµού JavaScript. Ως εκ τούτου, στο πλαίσιο της νοµικής αξιολόγησής της, θα πρέπει να θεωρηθεί πως η υπηρεσία Google Analytics χρησιµοποιεί τεχνολογίες τρίτου µέρους.
• 10. Όπως για παράδειγµα, ένας εύχρηστος µηχανισµός µε τον οποίον ο χρήστης µπορεί να δηλώσει την προτίµησή του για τη µη συλλογή δεδοµένων, καθώς και ολοκληρωµένοι µηχανισµοί ανωνυµοποίησης οι οποίοι εφαρµόζονται σε άλλες συλλεγόµενες αναγνωρίσιµες πληροφορίες, όπως οι διευθύνσεις IP.
• 11. Βλ. Γνώµη 4/2012 της ΟΕ 29.
• 12. Το ζήτηµα έχει τεθεί βέβαια στο πλαίσιο των συζητήσεων για την πρόταση Κανονισµού ePrivacy (Κανονισµός για τον σεβασµό της ιδιωτικής ζωής και την προστασία των δεδοµένων προσωπικού χαρακτήρα στις ηλεκτρονικές επικοινωνίες και την κατάργηση της οδηγίας 2002/58/ΕΚ - κανονισµός για την ιδιωτική ζωή και τις ηλεκτρονικές επικοινωνίες).
• 13. Βλ. Guidance Note: Cookies and other tracking technologies, διαθέσιµο στο dataprotection.ie
• 14. Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder - 12.05.2020, Hinweise zum Einsatz von Google Analytics im nicht-öffentlichen Bereich, διαθέσιµο στο datenschutzkonferenz-online.de.
• 15. Βλ. σχετ. Β. Καρκατζούνη/Λ. Μήτρου, Online διαφήµιση και προστασία προσωπικών δεδοµένων, ΔΙΤΕ 2020, σελ. 5 επ.
• 16. Η διάταξη αυτή ορίζει ότι «µε την επιφύλαξη των άρθρων 82, 83 και 84, εάν ο εκτελών την επεξεργασία καθορίσει κατά παράβαση του παρόντος κανονισµού τους σκοπούς και τα µέσα της επεξεργασίας, ο εκτελών την επεξεργασία θεωρείται υπεύθυνος επεξεργασίας για τη συγκεκριµένη επεξεργασία».
• 17. Βλ. ΔΕΕ, απόφαση της 5.6.2018 στην υπόθεση C-210/16 (Wirtschaftsakademie).
• 18. Πέραν της ανωτέρω απόφασης του ΔΕΕ, η σχέση µεταξύ των µερών στα εργαλεία ανάλυσης είχε απασχολήσει την ΟΕ 29 στη Γνώµη 4/2012, όπου αναφέρεται σχετικά: «Υπάρχουν, επίσης, εργαλεία τα οποία χρησιµοποιούν cookies «πρώτου µέρους» σε συνδυασµό µε ανάλυση εκτελούµενη από κάποιο άλλο µέρος. Το εν λόγω άλλο µέρος θεωρείται ως συνυπεύθυνος της επεξεργασίας ή ως εκτελών την επεξεργασία, µε βάση το κατά πόσον χρησιµοποιεί τα δεδοµένα για δικούς του σκοπούς ή, εάν τούτο απαγορεύεται, µέσω τεχνικών ή συµβατικών ρυθµίσεων»
• 19. Βλ. Ι. Ιγγλεζάκη, Ο Γενικός Κανονισµός Προστασίας Δεδοµένων (Κανονισµός 2016/679) - Εισαγωγή στο νέο νοµικό πλαίσιο προστασίας προσωπικών δεδοµένων, Interactive Books, σελ. 69 επ.