L’Autorità svedese per la protezione della privacy (IMY) ha verificato il modo in cui quattro aziende utilizzano Google Analytics per le statistiche web. L’IMY ha comminato multe amministrative a due di queste aziende. Una delle aziende ha recentemente smesso di usare lo strumento statistico di propria iniziativa, mentre l’IMY ha ordinato alle altre tre di smettere di usarlo.

L’IMY ha verificato le modalità di trasferimento dei dati personali negli Stati Uniti da parte di quattro società attraverso Google Analytics, uno strumento di misurazione e analisi del traffico sui siti web. Le società controllate sono CDON, Coop, Dagens Industri e Tele2. Le verifiche riguardano una versione di Google Analytics a partire dal 14 agosto 2020.

Secondo il regolamento sulla protezione dei dati, il GDPR, i dati personali possono essere trasferiti a Paesi terzi, cioè a Paesi al di fuori dell’UE/SEE, se la Commissione europea ha deciso che il Paese in questione ha un livello adeguato di protezione dei dati personali corrispondente a quello dell’UE/SEE. Tuttavia, con la sentenza Schrems II la CGUE ha stabilito che gli Stati Uniti non potevano essere considerati un livello di protezione adeguato al momento della sentenza.

Nelle sue verifiche, l’IMY ritiene che i dati trasferiti agli Stati Uniti tramite lo strumento statistico di Google siano dati personali perché possono essere collegati ad altri dati unici trasferiti. L’autorità conclude inoltre che le misure tecniche di sicurezza adottate dalle aziende non sono sufficienti ad assicurare un livello di protezione sostanzialmente corrispondente a quello garantito all’interno dell’UE/SEE.