- Have you considered other analytics systems?
- If so, what does Google Analytics have that's important enough to send all user traffic to Google?
Google's understanding of what is and isn't okay has been challenged repeatedly by data protection authorities. If I understand your plan correctly, you do not intend to ask for any consent before transferring traffic and usage data to Google.
2020-03-11: The Swedish Data Protection Authority imposes administrative fine on Google:
The Swedish Data Protection Authority imposes a fine of 75 million Swedish kronor (approximately 7 million euro) on Google for failure to comply with the GDPR. Google as a search engine operator has not fulfilled its obligations in respect of the right to request delisting. […] Google does not have a legal basis for informing site-owners when search result listings are removed and furthermore gives individuals misleading information by the statement in the request form. That is why the DPA orders Google to cease and desist from this practice.
2022-01-12: Austrian DSB: EU-US data transfers to Google Analytics illegal:
[…] die Standarddatenschutzklauseln, die die Erstbeschwerdegegnerin mit dem Zweitbeschwerdegegner abgeschlossen hat, kein angemessenes Schutzniveau gemäß Art. 44 DSGVO bieten, […] die Maßnahmen, die zusätzlich zu den in Spruchpunkt 2. b) genannten Standarddatenschutzklauseln getroffenen wurden, nicht effektiv sind, da diese die Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste nicht beseitigen,
Es ist nämlich nicht erforderlich, dass die Beschwerdegegner jeweils alleine einen Personenbezug herstellen können, dass also alle für die Identifizierung erforderlichen Informationen bei diesen sind (vgl. die Urteile des EuGH vom 20. Dezember 2017, C-434/16, Rz 31, sowie vom 19. Oktober 2016, C 582/14, Rz 43). Vielmehr ist ausreichend, dass irgendjemand – mit rechtlich zulässigen Mitteln und vertretbarem Aufwand – diesen Personenbezug herstellen kann (vgl. Bergauer in Jahnel, DSGVO Kommentar Art. 4 Z 1 Rz 20 mVa Albrecht/Jotzo, Das neue Datenschutzrecht der EU 58).
The 10 February 2022, the CNIL, which was cooperating with its European counterparts, has issued and order to comply to several organizations using Google Analytics because of illegal transfers of data to the United States. […] A simple change in the tool's settings is not enough
2022-04-22: Austrian DPA rejects “risk based approach” for data transfers to third countries:
In seiner Stellungnahme vom 9. April 2021 im Parallelverfahren zur GZ: DSB- D155.027 hat der Zweitbeschwerdegegner bei Frage 9 zwar vorgebracht, dass er eine derartige Information nur bekommt, wenn gewisse Voraussetzungen erfüllt sind, wie etwa die Aktivierung von spezifischen Einstellungen im Google-Account. Nach Auffassung der Datenschutzbehörde vermag dieses Vorbringen nicht zu überzeugen. […] Dabei kann das Vorbringen der Beschwerdegegner rund um die „Anonymisierungsfunktion der IPAdresse“ dahingestellt bleiben, da die vollständige IP-Adresse jedenfalls für einen gewissen – wenn auch sehr kurzen – Zeitraum am Server von Google LLC verarbeitet wird. Dieser kurze Datenverarbeitungszeitraum ist ausreichend, damit der Tatbestand des Art. 4 Z 2 DSGVO erfüllt wird.
The Italian SA found that the website operators using GA collected, via cookies, information on user interactions with the respective websites, visited pages and services on offer. The multifarious set of data collected in this connection included the user device IP address along with information on browser, operating system, screen resolution, selected language, date and time of page viewing. […] In determining that the processing was unlawful, the Italian SA reiterated that an IP address is a personal data and would not be anonymised even if it were truncated – given Google’s capabilities to enrich such data through additional information it holds.
If you go ahead with this plan, will you at least consider respecting the Do Not Track header?