De Finse privacytoezichthouder heeft verschillende bibliotheken in het land berispt voor het gebruik van Google Analytics. Volgens de databeschermingsautoriteit zijn bij het gebruik van de statistiekensoftware persoonlijke gegevens onrechtmatig naar de Verenigde Staten gegaan. Daarbij wordt gewezen naar de Schrems II-uitspraak over de doorgifte van persoonsgegevens naar derde landen.

Doorgifte van persoonlijke data mag niet plaatsvinden als de datacontroller geen voldoende aanvullende waarborgen kan implementeren om de bescherming van de persoonlijke data te garanderen. De Finse privacytoezichthouder stelt dat persoonlijke data die op de websites van de bibliotheken werd verzameld, maar ook zaken als opgezochte boektitels, zonder voldoende aanvullende waarborgen met de Verenigde Staten is uitgewisseld. Daarnaast werden gebruikers niet op de juiste wijze geïnformeerd over de uitwisseling van hun persoonlijke data.

De Finse bibliotheken hebben aangegeven dat ze Google Analytics van hun websites zullen verwijderen. Daarnaast moeten ze van de toezichthouder alle persoonlijke informatie die via Google Analytics of Google Tag Manager werd verzameld verwijderen en gebruikers hierover inlichten. Verder waarschuwt de toezichthouder dat websites goed moeten nadenken over wat voor soort trackingtechnologieën ze toepassen en of ze alleen met het gebruik van essentiële cookies hun diensten kunnen aanbieden.