Indlejr Google Analytics GDPR-overholdende

Google Analytics 4 sætter cookies eller læser identifikatorer fra enheden og overfører brugsdata til Google (USA). Det er ikke en teknisk nødvendig proces.

I praksis betyder det: Google Analytics-tagget må først udføres, efter at de besøgende aktivt har samtykket. Et banner, der blot vises, mens GA allerede indlæses i baggrunden, opfylder ikke kravet i § 25, stk. 1 TDDDG — det afgørende er, at der før samtykket ikke indlæses noget script fra googletagmanager.com eller google-analytics.com, og at der ikke sættes nogen identifikator.

Selv med et fungerende samtykke er overførslen til USA fortsat et selvstændigt kontrolpunkt: siden EU-US Data Privacy Framework (tilstrækkelighedsafgørelse af 10. juli 2023) er overførslen til Google LLC i princippet sikret, så længe Google er certificeret under rammen. Privatlivspolitikken bør alligevel nævne modtageren, formålet, retsgrundlaget (samtykke), opbevaringsperioden og overførselsgrundlaget.

Den, der bruger Google Consent Mode v2, bør kende forskellen mellem «basic» og «advanced»: i advanced-tilstand sender GA anonyme, cookiefri pings allerede før samtykket. Om det er foreneligt med § 25 TDDDG, vurderes forskelligt blandt databeskyttelseseksperter — basic-tilstand (ingen kommunikation overhovedet før samtykke) er det mere forsigtige valg.

To GA4-indstillinger er særligt relevante for databeskyttelsen og er som standard sat uhensigtsmæssigt: «Google-signaler» (Administration → Dataindstillinger → Dataindsamling) knytter adfærd til Google-konti, der er logget ind, til tracking på tværs af enheder og annoncemålgrupper — til en ren rækkeviddemåling bør den forblive slået fra. Og «Opbevaring af hændelsesdata» (Dataindstillinger → Dataopbevaring) står på 2 måneder som datasparsommelig værdi; 14 måneder er maksimum og kun forsvarligt med en dokumenteret begrundelse. Muligheden «Nulstil ved ny aktivitet» forlænger reelt opbevaringen ubegrænset og bør deaktiveres.

Server-side tagging (GA4 via en egen Google Tag Manager-servercontainer) er ikke en vej uden om samtykket. Målehittet sendes ganske vist via ens eget domæne, men klient-id'et sættes eller læses stadig i browseren, og dataene ender alligevel til sidst hos Google. Fordelen ligger i bedre datakvalitet og kontrol over, hvad der videregives — servercontaineren skal håndhæve samtykkekontrollen på samme måde som det klientside-tag.

Er dette en risiko?

Adgang til enheden med analyseformål er efter § 25 stk. 1 TDDDG kun tilladt med forudgående samtykke; den efterfølgende behandling støtter sig på art. 6, stk. 1, litra a, GDPR. Uden fungerende samtykke (værktøjet indlæses trods afslag, eller intet banner) mangler retsgrundlaget. Tilsynsmyndigheder har gentagne gange gjort indsigelse mod Analytics-integrationer uden samtykke.

Hvad du kan gøre

• Brug et samtykkeværktøj, der først kører Analytics-tagget efter aktivt samtykke (ikke bare viser banneret).
• Kør GA4 med IP-anonymisering og uden Google-signaler, sæt dataopbevaringen til minimum.
• I privatlivspolitikken, angiv Google som modtager, formålet (rækkeviddemåling), retsgrundlaget (samtykke), opbevaringstid og overførslen til USA.
• Tjek, om GA indlæses før klikket på „Accepter“ — udviklerværktøjer, fanen „Netværk“, i privat vindue.

Ofte stillede spørgsmål

Er Google Analytics med IP-anonymisering nok uden cookiebanner?

Nej. GA4 anonymiserer ganske vist IP-adresser som standard, men sætter fortsat identifikatorer på enheden eller læser dem. Det er samtykkepligtigt efter § 25, stk. 1 TDDDG, uanset IP-forkortelsen.

Er Google Analytics 4 uproblematisk igen efter Data Privacy Framework?

USA-overførslen er i princippet sikret via DPF'en, så længe Google forbliver certificeret. Samtykkepligten for adgangen til enheden består uafhængigt heraf.

Hvordan tjekker jeg, om GA indlæses før samtykket?

Åbn siden i et privat vindue, filtrer udviklerværktøjernes «Netværk»-fane på «google», og indlæs siden uden at bekræfte banneret. Vises der anmodninger til google-analytics.com eller googletagmanager.com, udløses tagget for tidligt.

Hvad sker der ved en overtrædelse?

Tilsynsmyndighederne kan forbyde behandlingen og pålægge bøder; berørte personer kan kræve erstatning efter artikel 82 i GDPR. I praksis kommer klager og myndighedspåbud først.

Skal jeg indgå en databehandleraftale med Google?

Ja. For Google Analytics fungerer «Google Ads Data Processing Terms» og de Analytics-specifikke tillægsbetingelser som databehandleraftale efter artikel 28 i GDPR. De skal accepteres i Google-kontoen og dokumenteres i fortegnelsen over behandlingsaktiviteter.

Hvor længe må jeg opbevare Google Analytics-data?

De data, der opbevares på bruger- og hændelsesniveau, bør sættes til den korteste fornuftige frist — i GA4 er det 2 måneder, højst 14 måneder med en begrundelse. Aggregerede standardrapporter berøres ikke og forbliver tilgængelige.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.