Losse wetten en liefdadigheidsdeals behoren tot het verleden voor grote technologiebedrijven, vooral in Europa, waar een reeks uitspraken een grote bedreiging vormt voor een van de vlaggenschipproducten van Google.

Meer dan de helft van de websites ter wereld gebruikt Google Analytics om hun eigenaren inzicht te geven in het gedrag van gebruikers.

De software, die cookies gebruikt om gebruikersgedrag te volgen, kost niets in contanten, hoewel de enorme hoeveelheid gegevens helpt om de enorme winsten van Google te stimuleren.

In 2020 werd het kader dat toeziet op de overdracht van persoonsgegevens van de EU naar de VS echter door EU-rechters geschrapt vanwege zorgen over snuffelen door Amerikaanse spionagebureaus.

Activisten hebben sindsdien tientallen zaken ingediend bij regelgevers in Europa met het argument dat het instrument de grondrechten van EU-onderdanen schendt.

Regelgevers in verschillende landen hebben in het voordeel van de activisten geoordeeld en Google Analytics onverenigbaar verklaard met de Europese verordening gegevensbescherming (AVG).

De uitspraken laten veel Europese bedrijven in een lastig parket.

Ze kunnen Google dumpen en overstappen op een privacy-conforme optie die geld kost, of het afwachten en hopen op een oplossing van Google, de regelgevers of de politici.

Vrijdag maakten de VS en de EU bekend dat ze in principe overeenstemming hadden bereikt over een nieuw kader om gegevensoverdracht mogelijk te maken, maar gaven geen verdere details.

De Oostenrijkse advocaat Max Schrems, die de campagne leidde om de eerdere overeenkomsten ongeldig te verklaren, schreef op Twitter dat het leek op een nieuwe "lappendeken"-aanpak zonder substantiële hervorming van de Amerikaanse snuffelregels.

"Laten we wachten op een sms, maar mijn eerste gok is dat het weer zal mislukken", schreef hij.

Potentiële oplossingen

Vorige week zei Google dat het een nieuwe versie van zijn software zou uitbrengen die geen IP-adressen zou opslaan, de unieke code die individuele computers kan identificeren.

Het Amerikaanse bedrijf heeft ook datacenters gebouwd in Europa.

De impact van deze mogelijke oplossingen is echter onduidelijk. Regelgevers hebben nog niet gereageerd.

"Gegevensbeschermingsautoriteiten hebben de oplossing niet", zegt Florence Raynal van de Franse toezichthouder CNIL, die tegen Google heeft beslist.

"Die oplossing moet worden geboden door regeringen op politiek niveau."

Amerikaanse bedrijven zijn onderworpen aan een wet die bekend staat als de Cloud Act en die Amerikaanse beveiligingsinstanties toegang geeft tot de gegevens van buitenlandse burgers, ongeacht waar deze zijn opgeslagen.

Hoewel Google heeft betoogd dat het risico van de Cloud Act theoretisch is, maakt het het toch moeilijk voor Amerikaanse bedrijven om aan de AVG te voldoen.

'Op een kruispunt'

Marie-Laure Denis, hoofd van CNIL, dat wordt gezien als een leider wiens uitspraken worden gevolgd door andere regelgevers, vatte het dilemma samen op een conferentie van de International Association of Privacy Professionals (IAPP) in Parijs vorige week.

Ze zei over Amerikaanse bedrijven dat "hun bedrijfsmodel zou moeten evolueren, of dat het Amerikaanse juridische kader zou moeten evolueren".

Maar ze accepteerde dat de situatie voor Europese bedrijven die Google Analytics gebruiken "gecompliceerd" was.

Pascal Thisse, die een bureau runt dat bedrijven adviseert over de naleving van de AVG, zegt dat bedrijven zich op een "kruispunt" bevinden zonder duidelijk idee van de te volgen weg.

"Als je een klant vertelt die Google Ads gebruikt om Google Analytics te verwijderen, stort alles in omdat dit de basis van het systeem is", zegt hij.

Maar om te voldoen aan Europese uitspraken, zouden bedrijven moeten bewijzen dat Amerikaanse inlichtingendiensten niet geïnteresseerd zijn in de verzamelde gegevens - een onderneming die veel verder gaat dan de middelen van kleine bedrijven.

Advocaat Schrems erkent ook dat er geen gemakkelijke oplossing is.

"Het is moeilijk voor ons, omdat we meestal proberen te procederen waar er een oplossing is en in dit geval hebben we een politiek probleem", vertelde hij vorige week op een virtueel evenement voor de aankondiging van de VS en de EU.

Hij zei dat de Amerikaanse wet massaal toezicht op niet-Amerikaanse burgers toestond, wat in strijd was met het EU-handvest inzake grondrechten.

"Of de VS verandert zijn wetten of de Europese Unie verandert zijn fundamentele grondbeginselen", zei hij.