Вграждане на Google Analytics в съответствие с GDPR

Google Analytics 4 задава бисквитки или чете идентификатори от устройството и предава данни за използване на Google (САЩ). Това не е технически необходим процес.

На практика това означава: маркерът на Google Analytics може да се изпълни едва след активното съгласие на посетителите. Банер, който само се показва, докато GA вече се зарежда на заден план, не отговаря на изискването на § 25, ал. 1 TDDDG — решаващо е преди съгласието да не се зарежда никакъв скрипт от googletagmanager.com или google-analytics.com и да не се задава никакъв идентификатор.

Дори при работещо съгласие прехвърлянето в САЩ остава отделна контролна точка: от рамката ЕС–САЩ за защита на данните (решение за адекватност от 10 юли 2023 г.) прехвърлянето към Google LLC по принцип е покрито, докато Google е сертифициран в рамката. В политиката за поверителност все пак трябва да се посочат получателят, целта, правното основание (съгласие), срокът на съхранение и основанието за прехвърляне.

Който използва Google Consent Mode v2, трябва да познава разликата между „basic“ и „advanced“: в режим advanced GA изпраща още преди съгласието анонимни пингове без бисквитки. Дали това е съвместимо с § 25 TDDDG, се оценява различно сред специалистите — режим basic (никаква комуникация преди съгласието) е по-предпазливият избор.

Това риск ли е?

Достъпът до устройството за целите на анализа е разрешен съгласно § 25, ал. 1 TDDDG само с предварително съгласие; последващата обработка се опира на чл. 6, ал. 1, буква а GDPR. Без функциониращо съгласие (инструментът се зарежда въпреки отказа или няма лента) липсва правно основание. Надзорните органи многократно са възразявали срещу интеграции на Analytics без съгласие.

Какво можете да направите

• Използвайте инструмент за съгласие, който изпълнява тага на Analytics едва след активно съгласие (не само показва лента).
• Пускайте GA4 с анонимизиране на IP и без Google Signals, задайте съхранението на данни на минимум.
• В политиката за поверителност посочете Google като получател, целта (измерване на обхвата), правното основание (съгласие), срока на съхранение и трансфера към САЩ.
• Проверете дали GA се зарежда преди кликване върху „Приемам“ — инструменти за разработчици, раздел „Мрежа“, в частен прозорец.

Често задавани въпроси

Достатъчен ли е Google Analytics с анонимизиране на IP без банер за бисквитки?

Не. GA4 по подразбиране анонимизира IP адресите, но все пак задава или чете идентификатори в устройството. Това изисква съгласие съгласно § 25, ал. 1 TDDDG, независимо от съкращаването на IP.

Google Analytics 4 отново ли е безпроблемен благодарение на Data Privacy Framework?

Прехвърлянето в САЩ по принцип е покрито от DPF, докато Google остава сертифициран. Задължението за съгласие за достъп до устройството съществува независимо от това.

Как да проверя дали GA се зарежда преди съгласието?

Отворете страницата в частен прозорец, във инструментите за разработчици в раздела „Мрежа“ филтрирайте по „google“ и заредете страницата, без да потвърждавате банера. Ако се появят заявки към google-analytics.com или googletagmanager.com, маркерът се задейства твърде рано.

Какво се случва при нарушение?

Надзорните органи могат да забранят обработването и да наложат глоби; субектите на данни могат да претендират за обезщетение съгласно чл. 82 от ОРЗД. На практика на преден план са първо жалбите и административните покани.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.