Το Google Analytics 4 θέτει cookies ή διαβάζει αναγνωριστικά από τη συσκευή και διαβιβάζει δεδομένα χρήσης στην Google (ΗΠΑ). Αυτό δεν είναι τεχνικά αναγκαία διαδικασία.
Στην πράξη αυτό σημαίνει: η ετικέτα του Google Analytics μπορεί να εκτελεστεί μόνο αφού οι επισκέπτες έχουν συγκατατεθεί ενεργά. Ένα banner που απλώς εμφανίζεται ενώ το GA φορτώνεται ήδη στο παρασκήνιο δεν πληροί την απαίτηση του άρθρου 25 παρ. 1 TDDDG — αυτό που έχει σημασία είναι ότι πριν από τη συγκατάθεση δεν φορτώνεται κανένα σενάριο από το googletagmanager.com ή το google-analytics.com και δεν τίθεται κανένα αναγνωριστικό.
Ακόμη και με λειτουργική συγκατάθεση, η διαβίβαση στις ΗΠΑ παραμένει ένα ξεχωριστό σημείο ελέγχου: από το EU-US Data Privacy Framework (απόφαση επάρκειας της 10ης Ιουλίου 2023), η διαβίβαση προς την Google LLC είναι κατ' αρχήν διασφαλισμένη, εφόσον η Google είναι πιστοποιημένη στο πλαίσιο. Η πολιτική απορρήτου θα πρέπει παρ' όλα αυτά να αναφέρει τον αποδέκτη, τον σκοπό, τη νομική βάση (συγκατάθεση), τον χρόνο διατήρησης και τη βάση της διαβίβασης.
Όποιος χρησιμοποιεί το Google Consent Mode v2 θα πρέπει να γνωρίζει τη διαφορά μεταξύ «basic» και «advanced»: στη λειτουργία advanced, το GA στέλνει ανώνυμα ping χωρίς cookie ήδη πριν από τη συγκατάθεση. Το αν αυτό είναι συμβατό με το άρθρο 25 TDDDG αξιολογείται διαφορετικά μεταξύ των ειδικών προστασίας δεδομένων — η λειτουργία basic (καμία επικοινωνία πριν από τη συγκατάθεση) είναι η πιο συντηρητική επιλογή.
Δύο ρυθμίσεις του GA4 είναι ιδιαίτερα σημαντικές για την προστασία δεδομένων και είναι από προεπιλογή ρυθμισμένες δυσμενώς: τα «Google Signals» (Διαχείριση → Ρυθμίσεις δεδομένων → Συλλογή δεδομένων) συνδέουν τη συμπεριφορά με συνδεδεμένους λογαριασμούς Google για παρακολούθηση μεταξύ συσκευών και διαφημιστικά κοινά — για μια απλή μέτρηση εμβέλειας θα πρέπει να παραμείνουν απενεργοποιημένα. Και η «Διατήρηση δεδομένων συμβάντων» (Ρυθμίσεις δεδομένων → Διατήρηση δεδομένων) είναι ρυθμισμένη στους 2 μήνες ως φειδωλή τιμή· οι 14 μήνες είναι το μέγιστο και δικαιολογούνται μόνο με τεκμηριωμένο λόγο. Η επιλογή «Επαναφορά σε νέα δραστηριότητα» παρατείνει ουσιαστικά τη διατήρηση επ' αόριστον και θα πρέπει να απενεργοποιηθεί.
Η προσθήκη ετικετών από την πλευρά του διακομιστή (GA4 μέσω δικού σας διακομιστή-container του Google Tag Manager) δεν είναι τρόπος παράκαμψης της συγκατάθεσης. Το hit μέτρησης αποστέλλεται μεν μέσω του δικού σας τομέα, αλλά το Client ID εξακολουθεί να τίθεται ή να διαβάζεται στο πρόγραμμα περιήγησης, και τα δεδομένα καταλήγουν τελικά ούτως ή άλλως στην Google. Το όφελος βρίσκεται στην καλύτερη ποιότητα δεδομένων και στον έλεγχο του τι διαβιβάζεται — ο διακομιστής-container πρέπει να επιβάλλει τον έλεγχο συγκατάθεσης ακριβώς όπως η ετικέτα από την πλευρά του πελάτη.
Η πρόσβαση στη συσκευή για σκοπούς ανάλυσης επιτρέπεται κατά § 25 παρ. 1 TDDDG μόνο με προηγούμενη συγκατάθεση· η περαιτέρω επεξεργασία στηρίζεται στο άρθρο 6 παρ. 1 στ. α GDPR. Χωρίς λειτουργική συγκατάθεση (το εργαλείο φορτώνει παρά την άρνηση ή δεν υπάρχει μπάρα) λείπει η νομική βάση. Οι εποπτικές αρχές έχουν επανειλημμένα αντιταχθεί σε ενσωματώσεις Analytics χωρίς συγκατάθεση.
Ο δωρεάν έλεγχος αναλύει το παραδοθέν HTML και δείχνει ποιες υπηρεσίες είναι ενσωματωμένες, αν έχει εντοπιστεί η μπάρα cookies και αν υπάρχουν οι σύνδεσμοι προς απόρρητο και στοιχεία επικοινωνίας — με κατάταξη σε κάθε εύρημα. Δεν αντικαθιστά νομική συμβουλή.
Αυτό το κείμενο είναι γενική πληροφορία κατά το βέλτιστο των γνώσεών μας, όχι νομική συμβουλή. Για τη μεμονωμένη περίπτωση απευθυνθείτε σε δικηγορικό γραφείο εξειδικευμένο στο δίκαιο πληροφορικής.