以及歐盟和美國之間的資料傳輸

[nurnobi40]

個關鍵合規問題是它將用戶資料（包括歐盟居民的個人資訊）儲存在美國的伺服器上。由於Google是一家美國公司，其收集的資料受美國監控法的約束，這可能會與歐盟的隱私權產生衝突。

2020 年，歐盟-美國隱私權護盾因 Schrems II 裁決而失效，直到 2021 年 9 月實施新的 SCC 之前，歐盟向美國的資料傳輸均沒有製定框架或標準合約條款 (SCC)。如果有加密或匿名化等額外措施使美國當局無法存取數據，這些措施將被視為相當充分的保障措施。

隱私護盾失效後，谷歌分析面臨一系列裁決
Schrems II 裁決引發了一系列法律問題，歐洲資料保護機構 (DPA) 也做出了相應決定，宣布 Google Analytics 的使用不符合 GDPR 規定。

奧地利： 奧地利資料保護機構 (DSB) 裁定 Google Analytics 違反了 Schrems II 裁決。
法國：國家資訊與自由委員會 (CNIL) 發現 Google Analytics 的使用 加拿大數據 不符合第 6 條的規定。 44 GDPR由於國際資料傳輸缺乏足夠的保護；各組織有一個月的時間來更新其使用。
義大利：Garante裁定，透過Google Analytics向美國傳輸資料違反了GDPR，需要有法律依據和合理的保護。
荷蘭：荷蘭資料保護機構 AP 宣布對兩起針對 Google Analytics 的投訴展開調查，這些投訴與其他歐盟國家提出的問題類似。
英國：英國脫歐後實施了英國版《GDPR》，在奧地利裁決後，英國資料保護機構從其網站上刪除了 Google Analytics。
挪威：Datatilsynet 表示將遵守奧地利對 Google Analytics 的決定，並公開建議挪威公司尋求該服務的替代方案。
丹麥： Datatilsynet 表示合法使用 Google Analytics「需要在 Google 提供的設定之外實施補充措施」。建議無法實施額外措施的公司停止使用 Google Analytics。
瑞典： IMY下令四家公司停止使用Google Analytics，理由是這些公司的額外安全措施不足以保護個人資料。
歐洲議會：歐洲資料保護監督機構 (EDPS) 因資料保護不足而對歐洲議會在其 COVID 檢測網站上使用 Google Analytics 進行了製裁。
在奧地利裁決出台前一周，歐洲資料保護監督機構 (EDPS) 因資料保護不足而對歐洲議會進行了製裁，原因是歐洲議會在其 COVID 檢測網站上使用 Google Analytics。這被視為施雷姆斯二號案後最早的裁決之一，為更多的法律訴訟定下了基調。

歐盟-美國資料隱私框架
2023 年 7 月 10 日，歐盟委員會通過了《歐盟-美國資料隱私框架》的充分性決定，涵蓋符合 GDPR 的歐盟、歐洲經濟區 (EEA) 和美國之間的資料傳輸。

該框架受到了一些專家和利益相關者的批評。包括歐洲資料保護委員會（EDPB）在內的一些隱私監督機構指出，新協議與先前的協議有驚人的相似之處，令人對其保護歐盟居民資料的有效性產生懷疑。

截至 2025 年初，歐盟-美國資料隱私框架以及歐盟-美國資料傳輸的充分性將面臨危險。川普總統解雇了隱私和公民自由監督委員會（PCLOB）的所有民主黨成員。因此，PCLPB 董事會成員的數量低於使 PCLOB 能夠作為歐盟-美國資料隱私框架監督機構運作的門檻。

這項措施可能會損害該框架對歐盟當局，特別是法院的法律效力。歐盟委員會可能會撤回針對歐盟-美國資料隱私框架的充分性決定，這將使其無效。在法律挑戰之後，歐盟法院（CJEU）也可能推翻委員會的充分性決定。最後一種選擇是如何廢除框架先前的協議，例如 Schrems II。

如果歐盟-美國資料隱私框架被廢除，可能會對資料傳輸、雲端儲存以及歐盟以外平台（如Google平台，包括 Analytics）的功能產生重大影響。至少，Google可能需要對 Google Analytics 等工具的功能以及相關資料儲存進行進一步改變，以滿足歐洲隱私標準。

Google Analytics（分析）是否符合 GDPR 要求？
與 Universal Analytics 相比，Google Analytics 4 有幾個重大變化。新版本採用基於事件的測量模型，與Universal Analytics基於會話的資料模型形成對比。這項轉變使 Google Analytics 4 能夠捕捉更細緻的用戶交互，更好地捕捉跨裝置和平台的客戶旅程。網站所有者可以關閉此功能以阻止其收集城市、緯度或經度等資料。網站所有者還可以根據要求選擇刪除用戶資料。

另一個值得注意的特點是 Google Analytics 4 不會記錄或儲存歐盟用戶的 IP 位址。據谷歌稱，這是 Google Analytics 4 針對歐盟的數據和隱私措施的一部分。這可能解決了資料保護機構提出的關鍵隱私問題，該機構發現匿名化 IP 位址並不足以提供足夠的保護。

僅靠歐盟-美國資料隱私框架並不能使 Google Analytics 4 符合 GDPR 標準。如果資料是透過經過認證的美國公司傳輸的，該框架可以使資料傳輸到美國符合規定，但網站所有者有責任確保資料收集首先符合 GDPR 的法律要求。

如何使 Google Analytics 符合 GDPR 規定
1. 啟用明確或選擇同意
所有 Google Analytics cookie 都應進行設定和控制，以便僅在使用者明確同意後才啟動。使用者也應該擁有精細的控制權，以便他們可以選擇允許用於某一目的的 cookie，同時拒絕用於其他目的的 cookie。

像 Usercentric 這樣的同意管理平台(CMP)可以阻止服務激活，直到獲得用戶同意。 Google Analytics 無法傳輸用戶數據，因為它永遠不會收集這些數據。