Tele2 Zweden moet wegens het gebruik van Google Analytics een AVG-boete van omgekeerd 1 miljoen euro betalen, zo heeft het Zweedse hof van beroep bepaald. De boete werd in 2023 door de Zweedse privacytoezichthouder IMY aan het telecombedrijf opgelegd. Tele2 verloor het eerste beroep bij een Zweedse rechtbank. Nu heeft het ook bij het Zweedse hof van beroep aan het kortste eind getrokken. Naar aanleiding van een klacht van privacyorganisatie noyb besloot de Zweedse privacytoezichthouder een onderzoek in te stellen naar hoe Tele2 Zweden van Google Analytics gebruikmaakt.

Op basis van het onderzoek stelde IMY dat de data die via de statistiekentool naar Google in de Verenigde Staten werd verstuurd persoonlijk data is, omdat het aan andere verstuurde, unieke data is te koppelen. Daarnaast waren de technische beveiligingsmaatregelen die het telecombedrijf had getroffen onvoldoende om een beschermingsniveau te garanderen zoals dat in de EU/EEA moet worden geboden. Voor het uitwisselen van de data maakte Tele2 gebruik van een modelcontract (SCC) en dat was volgens de Zweedse privacytoezichthouder onvoldoende.

Modelcontracten mogen voor het uitwisselen van persoonsgegevens met landen buiten de EU worden gebruikt, maar alleen wanneer er sprake is van een gelijkwaardig beschermingsniveau als binnen de EU. Wanneer dit niet het geval is moeten bedrijven nog steeds aanvullende maatregelen nemen. IMY stelde vast dat de aanvullende maatregelen die Tele2 had genomen onvoldoende waren.