Google Analyticsi manustamine GDPR-iga kooskõlas

Google Analytics 4 seab küpsiseid või loeb identifikaatoreid seadmelt ja edastab kasutusandmeid Google'ile (USA). See ei ole tehniliselt vajalik protsess.

Praktikas tähendab see: Google Analyticsi silti tohib käivitada alles pärast külastajate aktiivset nõusolekut. Bänner, mida ainult näidatakse, samal ajal kui GA juba taustal laadib, ei täida § 25 lg 1 TDDDG nõuet — otsustav on, et enne nõusolekut ei laadita ühtegi skripti aadressilt googletagmanager.com ega google-analytics.com ega seata ühtegi identifikaatorit.

Ka toimiva nõusoleku korral jääb ülekanne USA-sse eraldi kontrollpunktiks: alates ELi ja USA andmekaitseraamistikust (kaitse piisavuse otsus 10. juulist 2023) on ülekanne Google LLC-le põhimõtteliselt kaetud seni, kuni Google on raamistikus sertifitseeritud. Privaatsuspoliitikas tuleb siiski nimetada vastuvõtja, eesmärk, õiguslik alus (nõusolek), säilitusaeg ja ülekande alus.

Kes kasutab Google Consent Mode v2, peaks teadma erinevust „basic“ ja „advanced“ vahel: advanced-režiimis saadab GA juba enne nõusolekut anonüümseid küpsisevabu pinge. Kas see on kooskõlas § 25 TDDDG-ga, hindavad eksperdid erinevalt — basic-režiim (mingit suhtlust enne nõusolekut) on ettevaatlikum valik.

Kas see on risk?

Juurdepääs seadmele analüüsi eesmärgil on TDDDG § 25 lg 1 järgi lubatud ainult eelneva nõusolekuga; edasine töötlemine tugineb GDPR art 6 lg 1 p a-le. Ilma toimiva nõusolekuta (tööriist laadib keeldumisest hoolimata või riba puudub) puudub õiguslik alus. Järelevalveasutused on korduvalt vaidlustanud nõusolekuta Analyticsi integratsioone.

Mida saate teha

• Kasutage nõusolekutööriista, mis käivitab Analyticsi sildi alles pärast aktiivset nõusolekut (mitte ei kuva lihtsalt riba).
• Käitage GA4 IP anonüümimisega ja ilma Google Signalsita, seadke andmete säilitamine miinimumini.
• Privaatsuspoliitikas nimetage Google vastuvõtjana, eesmärk (ulatuse mõõtmine), õiguslik alus (nõusolek), säilitamisaeg ja USA-sse edastamine.
• Kontrollige, kas GA laadib enne klõpsu „Nõustun“ — arendajatööriistad, vahekaart „Võrk“, privaatses aknas.

Korduma kippuvad küsimused

Kas Google Analytics IP anonüümimisega piisab ilma küpsisebännerita?

Ei. GA4 anonüümib IP-aadresse küll vaikimisi, kuid seab või loeb endiselt seadmes identifikaatoreid. See vajab nõusolekut § 25 lg 1 TDDDG järgi, sõltumata IP lühendamisest.

Kas Google Analytics 4 on Data Privacy Frameworki tõttu jälle probleemitu?

Ülekanne USA-sse on põhimõtteliselt DPF-iga kaetud seni, kuni Google jääb sertifitseerituks. Nõusoleku kohustus seadmele juurdepääsuks kehtib sellest sõltumata.

Kuidas kontrollida, kas GA laadib enne nõusolekut?

Avage leht privaatses aknas, filtreerige arendaja tööriistades vahekaardil „Võrk“ sõna „google“ järgi ja laadige leht bännerit kinnitamata. Kui ilmuvad päringud aadressidele google-analytics.com või googletagmanager.com, käivitub silt liiga vara.

Mis juhtub rikkumise korral?

Järelevalveasutused võivad töötlemise keelata ja määrata trahve; andmesubjektid võivad nõuda hüvitist isikuandmete kaitse üldmääruse art 82 alusel. Praktikas on esiplaanil kõigepealt kaebused ja ametlikud nõuded.

Kuidas consentglass aitab

Tasuta kontroll analüüsib edastatud HTML-i ja näitab, millised teenused on manustatud, kas küpsiseriba on tuvastatud ning kas lingid privaatsusele ja kontaktandmetele on olemas — klassifikatsiooniga iga leiu juures. Ei asenda õigusnõustamist.