Google Analytics på skolens nettside: har dere lov?

Spørsmål 1: data til USA

Dette har vært det store spørsmålet siden 2020, da EU-domstolen kjente det forrige rammeverket ugyldig. I 2022 kom det vedtak mot Google Analytics fra tilsynene i Østerrike, Frankrike og Italia. I Norge fikk Telenor i juli 2023 irettesettelse fra Datatilsynet for bruk av Google Analytics i en periode etter 2020.

I juli 2023 vedtok EU-kommisjonen en ny adekvansbeslutning, EU-US Data Privacy Framework. Den gjør overføring til USA lovlig, forutsatt at mottakeren er sertifisert under ordningen. Google oppgir at selskapet er det.

Den beslutningen står fortsatt. Men den står svakere enn før:

• En sak mot beslutningen ble avvist av Underretten i september 2025, og dommen er anket til EU-domstolen. Anken er ikke avgjort.
• Personvernrådet EDPB sendte 31. juli 2026 brev til EU-kommisjonen og ba den vurdere om beslutningen fortsatt holder, etter endringer i tilsynsapparatet i USA.
• Datatilsynet har påpekt at faller en adekvansbeslutning, kommer det mest sannsynlig ingen overgangsperiode.

For en skole betyr det ikke at man må slutte. Det betyr at man bør vite at grunnlaget kan endre seg, og ikke bygge noe man ikke kan skru av.

Spørsmål 2: samtykke

Dette er det som faktisk feller folk, og det berøres ikke av rammeverket i det hele tatt.

Ekomloven § 3-15, i kraft 1. januar 2025, krever samtykke før noe lagres på eller hentes fra brukerens utstyr. Unntaket gjelder det som er strengt nødvendig for å levere tjenesten brukeren uttrykkelig har bedt om.

Besøksstatistikk er ikke det. Nyttig for skolen, ja. Ikke nødvendig for at en forelder skal få lest når skolestart er.

Så: Google Analytics krever samtykke, gitt ved en aktiv handling, før skriptet lastes. Et banner som spør pent mens sporingen allerede har startet, er ikke samtykke. Det er den feilen jeg finner på flertallet av skolesidene jeg sjekker.

Hva som må være på plass

Punkt 1 er det som mangler. De øvrige fire er papirarbeid som gjøres én gang.

Hvem er ansvarlig? Ikke skolen

Dette er en detalj som får praktiske følger for hva som skal stå i personvernerklæringen.

Datatilsynet er tydelig: for offentlige grunnskoler er kommunen behandlingsansvarlig, for videregående er det fylkeskommunen, og for private skoler er det daglig leder eller rektor på vegne av skolen som juridisk enhet.

Står det «Østmarka skole er behandlingsansvarlig» på en kommunal skoles nettside, er det feil, og det er en av de tingene tilsynet faktisk ser etter.

Finnes det et alternativ uten samtykkebanner?

Delvis, og her skal man være presis.

Ekomloven § 3-15 knytter seg til å lagre i eller hente fra brukerens utstyr. Analyse som bare leser serverloggene, og som verken skriver eller leser noe på enheten, faller derfor utenfor bestemmelsen og krever ikke samtykke etter ekomloven.

Men:

• Personvernforordningen gjelder fortsatt, fordi IP-adresse er en personopplysning. Det kreves et behandlingsgrunnlag.
• Og her er en felle for offentlige skoler: offentlige myndigheter kan ikke bruke berettiget interesse som grunnlag for behandling som skjer i utøvelsen av deres oppgaver. En kommunal skole må da bygge på et annet grunnlag, eller be om samtykke likevel.
• Såkalt sporing uten informasjonskapsler, som i stedet leser egenskaper ved enheten, er ikke utenfor § 3-15. Bestemmelsen er teknologinøytral.

Jeg navngir ikke produkter her, av en grunn: Datatilsynet godkjenner ikke verktøy. Enhver leverandør som markedsfører seg som «godkjent av Datatilsynet», sier noe som ikke finnes.

Hva jeg ville gjort på en skoleside

1. Slå på blokkeringen i samtykkeløsningen dere allerede har, og kontroller at den virker. Dette er den viktigste, og den tar under en time.
2. Bestem hva dere faktisk trenger å vite. For de fleste skoler er svaret: hvor mange som besøker søknadssiden, og hva folk søker etter. Det krever mindre enn full Analytics.
3. Vurder et serverloggbasert alternativ hvis behovet er lite. Da slipper dere hele diskusjonen.
4. Skriv det som faktisk skjer inn i personvernerklæringen, med riktig behandlingsansvarlig.

Kort oppsummert

• To spørsmål: overføring til USA, og samtykke. Rammeverket løser bare det første
• Samtykke må gis før skriptet lastes, og statistikk er ikke «strengt nødvendig»
• Adekvansbeslutningen står, men er under press og kan falle uten overgangsperiode
• Behandlingsansvarlig er kommunen eller fylkeskommunen, ikke den enkelte skolen
• Serverloggbasert analyse er utenfor ekomloven, men ikke utenfor personvernforordningen

Vil dere vite om deres egen samtykkeløsning faktisk blokkerer, måler jeg det og sender svaret. Det koster ingenting, og det følger ingen forpliktelser med.