Vložení Google Analytics v souladu s GDPR

Google Analytics 4 nastavuje cookies nebo čte identifikátory ze zařízení a přenáší údaje o užívání k Google (USA). Není to technicky nezbytný proces.

V praxi to znamená: značka Google Analytics smí být spuštěna až po aktivním souhlasu návštěvníků. Lišta, která se pouze zobrazí, zatímco se GA již načítá na pozadí, nesplňuje požadavek § 25 odst. 1 TDDDG — rozhodující je, že se před souhlasem nenačte žádný skript z googletagmanager.com ani google-analytics.com a nenastaví se žádný identifikátor.

I s fungujícím souhlasem zůstává přenos do USA samostatným kontrolním bodem: od rámce EU–USA pro ochranu údajů (rozhodnutí o odpovídající ochraně z 10. července 2023) je přenos do Google LLC v zásadě zajištěn, dokud je Google v rámci certifikováno. V zásadách ochrany osobních údajů je přesto třeba uvést příjemce, účel, právní základ (souhlas), dobu uchovávání a základ přenosu.

Kdo používá Google Consent Mode v2, měl by znát rozdíl mezi „basic“ a „advanced“: v režimu advanced GA odesílá už před souhlasem anonymní pingy bez cookies. Zda je to slučitelné s § 25 TDDDG, je mezi odborníky hodnoceno různě — režim basic (žádná komunikace před souhlasem) je konzervativnější volba.

Je to riziko?

Přístup k zařízení pro analytické účely je podle § 25 odst. 1 TDDDG přípustný pouze s předchozím souhlasem; následné zpracování se opírá o čl. 6 odst. 1 písm. a GDPR. Bez funkčního souhlasu (nástroj se načte navzdory odmítnutí nebo bez lišty) chybí právní základ. Dozorové úřady opakovaně kritizovaly integrace Analytics bez souhlasu.

Co můžete udělat

• Použijte nástroj souhlasu, který spustí značku Analytics až po aktivním souhlasu (nejen zobrazí lištu).
• Provozujte GA4 s anonymizací IP a bez signálů Google, nastavte uchování dat na minimum.
• V zásadách ochrany osobních údajů uveďte Google jako příjemce, účel (měření dosahu), právní základ (souhlas), dobu uložení a přenos do USA.
• Zkontrolujte, zda se GA načítá před kliknutím na „Přijmout“ — vývojářské nástroje, karta „Síť“, v anonymním okně.

Časté dotazy

Stačí Google Analytics s anonymizací IP bez cookie lišty?

Ne. GA4 sice ve výchozím nastavení anonymizuje IP adresy, ale stále nastavuje nebo čte identifikátory v zařízení. To vyžaduje souhlas podle § 25 odst. 1 TDDDG, nezávisle na zkrácení IP.

Je Google Analytics 4 díky Data Privacy Framework opět bez problémů?

Přenos do USA je v zásadě zajištěn rámcem DPF, dokud Google zůstává certifikováno. Povinnost souhlasu s přístupem k zařízení trvá nezávisle na tom.

Jak zkontroluji, zda se GA načítá před souhlasem?

Otevřít stránku v anonymním okně, ve vývojářských nástrojích na kartě „Síť“ filtrovat podle „google“ a načíst stránku bez potvrzení lišty. Pokud se objeví požadavky na google-analytics.com nebo googletagmanager.com, značka se spouští příliš brzy.

Co se stane při porušení?

Dozorové úřady mohou zpracování zakázat a uložit pokuty; subjekty údajů mohou uplatnit náhradu škody podle čl. 82 GDPR. V praxi jsou nejprve v popředí stížnosti a úřední výzvy.

Jak pomáhá consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, které služby jsou vložené, zda je rozpoznána cookie lišta a zda jsou odkazy na soukromí a tiráž — se zařazením u každého zjištění. Nenahrazuje právní poradenství.