数据跨境流动 | 欧盟数国强化对谷歌分析Cookie跨境数据传输行为的审查

译者按：

近日，法国、奥地利等欧盟数据保护监管机构对谷歌的Analytics Cookie在网站中的使用和跨境传输做出决定。公号君编译相关情况供大家参考。首先是CNIL官方公告的翻译。

使用谷歌分析和向美国转移数据：

CNIL命令网站管理者/经营者遵守规定

2022年2月10日

谷歌分析提供网站流量的统计数据。在收到NOYB协会的投诉后，CNIL与欧洲同行合作，分析了通过该服务收集的数据被转移到美国的条件。CNIL认为这些转移是非法的，并命令一家法国网站经理遵守GDPR的规定，如果有必要，在目前的条件下停止使用这项服务。

谷歌分析是一项可由在线销售网站等网站整合的服务，以衡量互联网用户的访问数量。在这种情况下，会给每个访问者分配一个独特的标识符。该标识符（构成个人数据）和相关数据由谷歌传输到美国。

CNIL收到了来自NOYB协会的一些投诉，涉及使用谷歌分析器访问网站时收集的数据被转移到美国。NOYB在27个欧盟成员国和其他三个欧洲经济区（EEA）国家总共提出了101项投诉，指控101个数据控制者将个人数据转移到美国。

欧洲层面的分析

CNIL与欧洲同行合作，分析了通过使用Google Analytics收集的数据被转移到美国的条件以及对相关个人产生的风险。其目的是一同适用欧盟法院2020年7月16日 "Schrems II "判决的后果，该判决使隐私盾牌无效。欧盟法院强调，如果转移没有得到适当的监管，美国情报部门会获取转移到美国的个人数据的风险。

在法国的后果

CNIL的结论是，目前向美国的转移没有得到充分的监管。事实上，在没有关于向美国转移的适当性决定（这将确定这个国家在GDPR方面提供了充分的数据保护水平）的情况下，只有在特别为这种流动提供适当保障的情况下才能进行数据转移。

然而，CNIL发现，情况并非如此。事实上，尽管谷歌在谷歌分析功能的背景下采取了额外的措施来规范数据转移，但这些措施不足以排除美国情报部门对这些数据的访问。

因此，对于使用该服务的法国网站用户来说，他们的数据被跨境传输至美国是有风险的。

CNIL指出，互联网用户的数据因此被转移到美国，违反了GDPR第44条及以下条款。因此，CNIL命令网站管理者使这种处理方式符合GDPR的规定，必要时可停止使用谷歌分析功能（在目前的条件下）或使用不涉及向欧盟以外转移的工具。有关的网站经营者有一个月的时间来遵守。

关于网站受众测量和分析服务，CNIL建议，这些工具应仅用于产生匿名统计数据，如此的话，能够豁免用户同意，如果数据控制者确保没有非法转移。CNIL已经启动了一项评估计划，以确定哪些解决方案可以免于同意。

CNIL已经向使用谷歌分析的网站运营商发出了其他遵守命令。

CNIL及其同行机构的调查还扩展到网站使用的其他工具，这些工具导致欧洲互联网用户的数据被转移到美国。这方面的纠正措施可能会在不久的将来被采纳。

相关情况

事实上，为了处理NOYB协会的投诉，EDPB在2021年9月就宣布成立了一个特别工作组，以协调其向许多欧盟数据保护机构（"DPA"）一同提出的与cookie banner有关的投诉的回应。

法国CNIL的决定就是这个特别工作机制的产物之一，而在CNIL的决定之前，奥地利DPA曾在2021年12月做出类似的决定。

在其决定中，奥地利DPA得出结论，一家奥地利网站使用Google Analytics cookies涉及收集个人数据并随后将其转移到美国的Google，包括独特的用户识别号码、IP地址和浏览器参数。

奥地利DPA认为，网站运营商和谷歌之间签订的标准合同条款（"SCCs"）没有提供GDPR规定的足够保护，因为：(1) 谷歌符合电子通信服务提供商的条件，因此根据美国监控法（即FISA 702）受到美国情报机构的监控；(2) 谷歌的额外保障措施未能有效弥补Schrems II判决中确定的法律保护漏洞。

奥地利DPA的决定的主要内容包括以下内容：

奥地利DPA认为，除了SCC之外，谷歌实施的技术措施并不有效，因为它们不能消除美国情报机构监视和获取个人数据的可能性。根据奥地利DPA的说法，只要谷歌有可能访问纯文本数据，那么静态数据的加密就不足以防止政府当局访问个人数据。此外，奥地利DPA强调，谷歌实施的组织和合同措施【包括：(i)通知数据主体有关政府访问请求的义务，(ii)发布透明度报告，(iii)保持处理政府当局请求的政策，以及(iv)仔细评估每个政府当局的请求】，通常不足以确保对转移到美国的个人数据进行适当的保护，也没有效果。

奥地利DPA拒绝了通过cookies收集并随后转移到美国的个人数据不涉及或直接识别特定个人的说法。奥地利DPA认为，IP地址和在线标识符有资格成为个人数据，因为它们可以识别个人。根据奥地利DPA的说法，实际和即时的识别并不是数据被视为可识别的必要条件。根据奥地利DPA的说法，即是能够识别个人的信息由不同的利益相关者，而不是一方所持有，但这样的情况与数据是否具有可识别性无关。

奥地利DPA还拒绝了谷歌提出的GDPR第五章和SCC遵循基于风险的方法的论点，且在本案中，数据主体的风险很低，因为美国政府获取相关数据的可能性很小。

然而，奥地利DPA确实认为，GDPR第五章关于数据转移的规则只适用于欧盟出口实体，而不适用于美国进口商。这与最近EDPB关于什么构成GDPR下的跨境数据转移的指南观点一致。因此，奥地利DPA认为，违法行为应归咎于网站运营商，而不是谷歌。

奥地利DPA的结论是，由于网站运营商无法使用GDPR第五章规定的其他数据传输机制将个人数据传输给美国的谷歌，因此通过谷歌分析cookies收集并传输给美国谷歌的个人数据没有得到足够的保护，构成对GDPR第44条的违反。

此外，最近，荷兰DPA发布了一份关于如何配置Google Analytics cookies的更新指南。在更新中，荷兰DPA提到了奥地利DPA在2021年12月的决定，并表示荷兰DPA目前正在调查两起关于在荷兰使用谷歌分析的类似投诉。荷兰DPA表示，这些调查预计将在2022年初完成，将有助于确定谷歌分析的使用在荷兰是否被允许。

---

本公号发表过的关于数据执法跨境调取的相关文章：

除了数据跨境执法调取之外，公号君还一直非常关注业务场景中的数据跨境流动。对此议题，本公号曾发表的文章如下：

数字贸易专题的系列文章有：

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于保护网络和信息系统安全的相关文章包括：

中国个人信息保护立法的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

个性化广告系列文章包括：

《数据安全法》的相关文章包括：

赴美上市的中国公司在网络、数据安全的文章如下：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于数据要素治理的相关文章包括：