Mobiljätten Tele2 ska betala 12 miljoner kronor, och webbshoppen CDON 300 000 kronor.
Även matvarukedjan Coop och tidningen Dagens industri har granskats, men klarar sig undan böter. Tele2 uppges redan ha slutat använda verktyget, Google Analytics, på eget initiativ – IMY förelägger övriga tre att göra samma sak.
Enligt dataskyddsförordningen GDPR får personuppgifter endast överföras till länder utanför EU/EES om det råder en adekvat skyddsnivå för personuppgifterna där. Enligt en dom från 2020 når USA, där Google är baserat, inte upp till den nivån.
"Myndigheten anser även att de tekniska skyddsåtgärder som bolagen har vidtagit inte är tillräckliga för att säkerställa en skyddsnivå som i huvudsak motsvarar den som garanteras inom EU/EES", skriver IMY.