這個國家裁定，使用谷歌的分析工具非法
David Meyer
2022-01-18
歐洲的《通用數(shù)據(jù)保護條例》（General Data Protection Regulation）實施已近四年，一直以來，社會普遍認(rèn)為，只有那些大型科技企業(yè)才需要關(guān)心這項嚴(yán)苛的歐洲監(jiān)管規(guī)定，而現(xiàn)在，所有使用美國云服務(wù)的歐洲組織都必須正視這個問題，從零售商到政府機構(gòu)，概莫能外。
1月13日，歐洲的隱私維權(quán)人士宣稱其在奧地利一起案件中取得了部分勝利。在這起案件中，當(dāng)事人訪問的健康相關(guān)網(wǎng)站使用了Google Analytics服務(wù)。Google Analytics是目前全球范圍內(nèi)使用最為廣泛的企業(yè)級網(wǎng)站數(shù)據(jù)分析工具，能夠幫助網(wǎng)站運營方追蹤訪客的瀏覽方式。
據(jù)奧地利數(shù)據(jù)保護局（Austrian Data Protection Authority）稱，該網(wǎng)站的運營方將用戶個人數(shù)據(jù)轉(zhuǎn)移到美國谷歌公司（Google）的服務(wù)器上的行為違反了《通用數(shù)據(jù)保護條例》的有關(guān)規(guī)定。根據(jù)歐盟最高法院在2020年做出的一項權(quán)威裁決，在無法保證數(shù)據(jù)不會被美國情報機構(gòu)獲取的情況下，相關(guān)公司向美國公司發(fā)送個人數(shù)據(jù)屬于非法行為。而根據(jù)美國的《外國情報監(jiān)視法》（Foreign Intelligence Surveillance Act），沒有一家美國公司可以提供這樣的保證。
這項規(guī)定或?qū)a(chǎn)生廣泛影響。除了前述涉及到網(wǎng)站發(fā)布者的案件，專“?！笨萍季揞^的“牛虻”馬克斯·施雷姆斯還帶領(lǐng)隱私保護組織NOYB（“不關(guān)你的事”）發(fā)起了其他100起訴訟。在這種大規(guī)模攻勢的影響之下，歐盟的數(shù)據(jù)保護部門或?qū)?yīng)對措施進行整合，也就是說，其他100起訴訟非?？赡芤矊⑹盏较嗨频奶幚斫Y(jié)果。
如果此事成真，那么在如此強烈的抑制因素刺激之下，那些在歐洲運營的網(wǎng)站將很可能停止使用Google Analytics和其他美國公司的云服務(wù)。
“多米諾骨牌”
施雷姆斯于1月13日在接受《財富》雜志采訪時表示：“我們在幾乎所有（歐盟）成員國發(fā)起了這101項訴訟。有關(guān)部門成立了特別工作組，因此我們預(yù)計其他數(shù)據(jù)保護機構(gòu)也將做出類似裁決。相關(guān)裁決或?qū)⑾穸嗝字Z骨牌一樣在一個個國家逐個落地。”
奧地利監(jiān)管機構(gòu)的該項裁決并未支持NOYB的全部訴求。盡管這家未具名網(wǎng)站發(fā)布者（據(jù)《財富》雜志了解，該出版商目前為一家德國媒體公司所有）被判敗訴，但NOYB針對谷歌的部分訴訟也被監(jiān)管機構(gòu)駁回，理由是《通用數(shù)據(jù)保護條例》的相關(guān)規(guī)定僅對數(shù)據(jù)輸出公司所需承擔(dān)的法律義務(wù)做出了規(guī)定。
由于完整的裁決尚未公布，目前尚不清楚該網(wǎng)站發(fā)布者是否受到了罰款或任何其他處罰。
雖然奧地利是首個就上述101起訴訟做出裁決的國家，但在此之前，對歐盟頂級機構(gòu)擁有管轄權(quán)的歐洲數(shù)據(jù)保護監(jiān)督機構(gòu)（European Data Protection Supervisor）已經(jīng)于上周早些時候發(fā)布過一項類似裁決。該監(jiān)督機構(gòu)對歐洲議會（European Parliament）在內(nèi)部網(wǎng)站上使用Google Analytics和Stripe支付服務(wù)安排新冠肺炎PCR測試的做法進行了處罰。
其他選項
谷歌在一份聲明中表示，使用Google Analytics的公司和組織“能夠控制該工具的數(shù)據(jù)收集目標(biāo)和使用方式?！?/p>
該聲明稱：“谷歌可以通過提供一系列安全保障、控件和資源幫助客戶滿足合規(guī)要求?！保瑫r表示該工具包不會識別個人信息或跟蹤個人用戶在網(wǎng)絡(luò)上的行為。
至于歐洲企業(yè)和組織現(xiàn)在應(yīng)該如何行動，目前有幾個潛在的解決方案。其一，停止使用美國公司提供的云服務(wù)。其二，美國進行實質(zhì)性的監(jiān)控改革，讓美國云服務(wù)提供商能夠保證他國個人用戶的數(shù)據(jù)安全，就目前而言，這種情況幾乎不可能在短期內(nèi)發(fā)生。
其三，美國云服務(wù)提供商與當(dāng)?shù)毓具M行合作，建立歐洲數(shù)據(jù)中心，然后由這些公司控制服務(wù)器上個人數(shù)據(jù)的訪問權(quán)限。谷歌最近便宣布將攜手當(dāng)?shù)豂T巨頭T-Systems為德國的企業(yè)客戶提供此類服務(wù)。（財富中文網(wǎng)）
譯者：梁宇
審校：夏林
歐洲的《通用數(shù)據(jù)保護條例》（General Data Protection Regulation）實施已近四年，一直以來，社會普遍認(rèn)為，只有那些大型科技企業(yè)才需要關(guān)心這項嚴(yán)苛的歐洲監(jiān)管規(guī)定，而現(xiàn)在，所有使用美國云服務(wù)的歐洲組織都必須正視這個問題，從零售商到政府機構(gòu)，概莫能外。
1月13日，歐洲的隱私維權(quán)人士宣稱其在奧地利一起案件中取得了部分勝利。在這起案件中，當(dāng)事人訪問的健康相關(guān)網(wǎng)站使用了Google Analytics服務(wù)。Google Analytics是目前全球范圍內(nèi)使用最為廣泛的企業(yè)級網(wǎng)站數(shù)據(jù)分析工具，能夠幫助網(wǎng)站運營方追蹤訪客的瀏覽方式。
據(jù)奧地利數(shù)據(jù)保護局（Austrian Data Protection Authority）稱，該網(wǎng)站的運營方將用戶個人數(shù)據(jù)轉(zhuǎn)移到美國谷歌公司（Google）的服務(wù)器上的行為違反了《通用數(shù)據(jù)保護條例》的有關(guān)規(guī)定。根據(jù)歐盟最高法院在2020年做出的一項權(quán)威裁決，在無法保證數(shù)據(jù)不會被美國情報機構(gòu)獲取的情況下，相關(guān)公司向美國公司發(fā)送個人數(shù)據(jù)屬于非法行為。而根據(jù)美國的《外國情報監(jiān)視法》（Foreign Intelligence Surveillance Act），沒有一家美國公司可以提供這樣的保證。
這項規(guī)定或?qū)a(chǎn)生廣泛影響。除了前述涉及到網(wǎng)站發(fā)布者的案件，?！岸！笨萍季揞^的“牛虻”馬克斯·施雷姆斯還帶領(lǐng)隱私保護組織NOYB（“不關(guān)你的事”）發(fā)起了其他100起訴訟。在這種大規(guī)模攻勢的影響之下，歐盟的數(shù)據(jù)保護部門或?qū)?yīng)對措施進行整合，也就是說，其他100起訴訟非?？赡芤矊⑹盏较嗨频奶幚斫Y(jié)果。
如果此事成真，那么在如此強烈的抑制因素刺激之下，那些在歐洲運營的網(wǎng)站將很可能停止使用Google Analytics和其他美國公司的云服務(wù)。
“多米諾骨牌”
施雷姆斯于1月13日在接受《財富》雜志采訪時表示：“我們在幾乎所有（歐盟）成員國發(fā)起了這101項訴訟。有關(guān)部門成立了特別工作組，因此我們預(yù)計其他數(shù)據(jù)保護機構(gòu)也將做出類似裁決。相關(guān)裁決或?qū)⑾穸嗝字Z骨牌一樣在一個個國家逐個落地?！?/p>
奧地利監(jiān)管機構(gòu)的該項裁決并未支持NOYB的全部訴求。盡管這家未具名網(wǎng)站發(fā)布者（據(jù)《財富》雜志了解，該出版商目前為一家德國媒體公司所有）被判敗訴，但NOYB針對谷歌的部分訴訟也被監(jiān)管機構(gòu)駁回，理由是《通用數(shù)據(jù)保護條例》的相關(guān)規(guī)定僅對數(shù)據(jù)輸出公司所需承擔(dān)的法律義務(wù)做出了規(guī)定。
由于完整的裁決尚未公布，目前尚不清楚該網(wǎng)站發(fā)布者是否受到了罰款或任何其他處罰。
雖然奧地利是首個就上述101起訴訟做出裁決的國家，但在此之前，對歐盟頂級機構(gòu)擁有管轄權(quán)的歐洲數(shù)據(jù)保護監(jiān)督機構(gòu)（European Data Protection Supervisor）已經(jīng)于上周早些時候發(fā)布過一項類似裁決。該監(jiān)督機構(gòu)對歐洲議會（European Parliament）在內(nèi)部網(wǎng)站上使用Google Analytics和Stripe支付服務(wù)安排新冠肺炎PCR測試的做法進行了處罰。
其他選項
谷歌在一份聲明中表示，使用Google Analytics的公司和組織“能夠控制該工具的數(shù)據(jù)收集目標(biāo)和使用方式?！?/p>
該聲明稱：“谷歌可以通過提供一系列安全保障、控件和資源幫助客戶滿足合規(guī)要求?！?，同時表示該工具包不會識別個人信息或跟蹤個人用戶在網(wǎng)絡(luò)上的行為。
至于歐洲企業(yè)和組織現(xiàn)在應(yīng)該如何行動，目前有幾個潛在的解決方案。其一，停止使用美國公司提供的云服務(wù)。其二，美國進行實質(zhì)性的監(jiān)控改革，讓美國云服務(wù)提供商能夠保證他國個人用戶的數(shù)據(jù)安全，就目前而言，這種情況幾乎不可能在短期內(nèi)發(fā)生。
其三，美國云服務(wù)提供商與當(dāng)?shù)毓具M行合作，建立歐洲數(shù)據(jù)中心，然后由這些公司控制服務(wù)器上個人數(shù)據(jù)的訪問權(quán)限。谷歌最近便宣布將攜手當(dāng)?shù)豂T巨頭T-Systems為德國的企業(yè)客戶提供此類服務(wù)。（財富中文網(wǎng)）
譯者：梁宇
審校：夏林
Europe's tough General Data Protection Regulation (GDPR) has mainly been seen as a problem for Big Tech, over the nearly four years in which it has been in effect. Now it's becoming a real problem for European customers of U.S. cloud services, from retailers to governments.
On January 13, European privacy campaigners claimed partial victory in an Austrian case involving someone who visited a health-related website that uses Google Analytics, the world's most widely deployed toolkit for website owners to track how people use their site.
According to the Austrian Data Protection Authority, the website's operators violated the GDPR by transferring the user's personal data to Google in the U.S. As established in a bombshell 2020 ruling by the EU's top court, sending personal data to a company in the U.S. is illegal if that company can't guarantee the data's safety from U.S. intelligence services. And thanks to the U.S.'s Foreign Intelligence Surveillance Act (FISA), no American company can provide that guarantee.
The implications could prove wide-reaching. While this complaint involved one website publisher, it was one of 101 complaints lodged at the same time, a year and a half ago, by Big Tech gadfly Max Schrems and his NOYB ("None of your business") privacy-advocacy group. That mass offensive prompted the EU's data protection authorities to coordinate their responses, so there is a strong likelihood that as many as 100 similar decisions are incoming.
If so, the upshot would be that websites operating in Europe have a strong disincentive to stop using Google Analytics and other U.S.-based cloud services.
“Dominoes falling”
"We have filed 101 complaints in basically every [EU] member state," Schrems told Fortune on January 13. "They formed a task force, so we expect the other [data protection authorities] to now come forward with similar decisions. This may be dominoes falling country by country now."
The ruling did not go entirely in NOYB's favor, because while the Austrian regulator decided against the unnamed website publisher—which Fortune understands is now owned by a German media house—it dismissed the part of the complaint targeting Google itself, reasoning that the relevant part of the GDPR placed legal obligations only on the company exporting the data.
It is also still unclear whether the website publisher received a fine or any other sanctions; the full decision has not yet been published.
While the Austrian decision is the first to address one of those 101 complaints, it follows a similar decision released earlier last week by the European Data Protection Supervisor (EDPS), which specifically has jurisdiction over top EU institutions. The watchdog sanctioned the European Parliament for using Google Analytics and the payments service Stripe on an internal website for arranging COVID-19 PCR tests.
Remaining options
Google said in a statement that the companies and organizations using Google Analytics "control what data is collected with these tools, and how it is used."
"Google helps by providing a range of safeguards, controls and resources for compliance," it said, adding that the toolkit does not identify individuals or track them across the web.
As for what European companies and organizations should do now, there are a few potential solutions. One is to stop using U.S. cloud services. Another would be for the U.S. to pass meaningful surveillance reforms that allow American cloud providers to guarantee the safety of foreigners' personal data—there is little sign of this happening anytime soon.
The other option would be for U.S. cloud providers to set up ring-fenced European data centers in partnership with local companies that then control access to the personal data held on the servers. As it happens, Google recently announced such a service for enterprise customers in Germany, with local IT giant T-Systems as its partner.
