Mener Google anonymiserer nok

Skattedirektoratet har svart Datatilsynet om Google Analytics. De mener anonymiseringen er god nok.

Publisert Sist oppdatert

Datatilsynet gjennomførte et tilsyn hos Skattedirektoratet den 27. september i forbindelse med direktorates bruk av Google Analytics til analyse av brukeradferd.

En tidligere kontroll utført i august i år, hadde resultert i en foreløpig kontrollrapport, og selv om Datatilsynet var tilfreds med direktorates risikovurdering, penetrasjonstest og avvik hadde de spørsmål rundt bruken av innsamlede ip-adresser.

Datatilsynet var bekymret for at innsamlet informasjon skulle misbrukes, og at personopplysninger om de som besøker nettstedet kunne brukes til å identifisere brukere.

Datatilsynet varslet derfor om fire vedtak om pålegg, som Skattedirektoratet nå har besvart i et brev (PDF) til Datatilsynet.

Anonymiseringsprosessen

I det første vedtaket fra Datatilsynet bes Skattedirektoratet om å dokumentere at ip-adressene som samles inn ved hjelp av Google Analytics anonymiseres, med krav om fullstendig beskrivelse av prosessen.

Skattedirektoratet har samarbeidet med Google om å dokumentere hvordan anonymiseringen foregår, og mottok dokumentasjon via Googles nordiske juridiske avdeling.

I dokumentasjonen kommer det frem at ip-adressen som samles inn på skatteetaten.no anonymiseres "så snart det er teknisk mulig" etter oversending til Google Analytics. Ip-adressen lagres aldri på disk, bare i internminnet, helt til anonymisering er gjennomført. Først da lagres ip-adressen.

Skattedirektoratet selv lagrer ikke besøkendes ip-adresser lokalt, heter det i brevet.

Selve anonymiseringen skjer ved at siste oktett i IPv4-adresser og eventuelt de siste 80 bits i IPv6-adresser blir fjernet. For eksempel adressen 192.168.1.42 vil bli lagres som 192.168.1.

Da er det ikke lenger mulig å knytte adressen mot en enkeltperson eller bestemt maskin, og anonymiserte ip-adresser vil derfor klart falle utenfor personopplysningslovens definisjon av en personopplysning, mener Skattedirektoratet, og ber derfor om at det første vedtaket lukkes.

Bruk av innsamlet informasjon

Vedtak nummer to tar for seg bruk av innsamlet informasjon etter at det er oversendt Google Analytics, og Datatilsynet ber om at Skattedirektoratet dokumenterer at informasjonen ikke brukes til andre formål enn analyse av brukeradferd.

Google har, igjen via sin juridiske avdeling i Norden, bekreftet at oversendt informasjon hverken før eller etter anonymiseringsprosessen brukes til noe annet enn analyse.

Skattedirektoratet ber derfor om at vedtak nummer to lukkes.

Det tredje vedtaket tar for seg formålet med innsamlet informasjon, og Datatilsynet ber Skattedirektoratet dokumentere at informasjonen ikke skal brukes til noe annet enn analyse av brukeradferd.

I svaret forklarer Skattedirektoratet at de har valgt bort andre muligheter enn nettopp analyse av brukeradferd i Google Analytics, og mener vedtaket kan lukkes på grunn av dette tiltaket.

Informasjon til besøkende

Det fjerde og siste vedtaket handler om å gjøre besøkende på skatteetaten.no oppmerksomme på og informere om innsamling og anonymisering av ip-adresser.

Informasjon var allerede til stedet under fanen "Personvern", men Datatilsynet mente informasjonen ikke var tilstrekkelig.

Kort tid etter tilsynets kontroll endret Skattedirektoratet innholdet på personvernsiden, og den inneholder nå informasjon om innsamling og anonymisering, og direktoratet mener informasjonen nå er både lett å forstå og ikke minst korrekt.

På den nye siden blir besøkende orientert om hvilket verktøy som benyttes, hvilke opplysninger som samles inn og hvem som mottar informasjonen.

"I tråd med vanlig praksis på internett registreres brukerens ip-adresse av nettstedet Skatteetaten.no. Skatteetaten har imidlertidig valgt å legge inn et script som fjerner de siste sifrene fra din ip-adresse før informasjonen lagres av Google Analytics. Dette gjør at analyseverktøyet kan anslå brukerens geografiske plassering, men adressen kan ikke benyttes for å identifisere den enkelte", heter det på den nye personvernsiden på skatteetaten.no.

I tillegg er det lagt til en del informasjon om Google Analytics, og at Google ikke mottar andre opplysninger enn veldig generell informasjon som språk, nettleser, tidspunkt og hvilken nettside brukeren kom fra.

Skattedirektoratet mener de har oppfylt kravene i vedtak nummer fire, og ber at vedtaket lukkes.

Computerworld har tatt kontakt med Datatilsynet, som bekrefter at de har mottat svaret fra Skattedirektoratet, men ikke rukket å gå igjennom det enda.

Hele brevet fra Skattedirektoratet kan leses her (PDF).

Dette gjør Google Analytics

Når du besøker skatteetaten.no, laster nettleseren inn et javascript fra Google Ananytics.

Dette skriptet samler inn informasjon om nettsiden, hva som eventuelt er lagret i Googles cookies lokalt hos bruker og informasjon som klokkeslett, dato, nettleserversjon, språk og hvilken nettside brukeren kom fra.

Deretter sendes innsamlet informasjon til Google Analytics for anonymisering og analyse.

Skattedirektoratet bekrefter at informasjonen ikke kan brukes til å identifisere besøkende, og at informasjonen bare brukes til analyse av brukeradferd og statistikk.