Ugradnja Google Analyticsa u skladu s GDPR-om

Google Analytics 4 postavlja kolačiće ili čita identifikatore s uređaja i prenosi podatke o korištenju Googleu (SAD). To nije tehnički nužan postupak.

U praksi to znači: oznaka Google Analytics smije se pokrenuti tek nakon aktivne privole posjetitelja. Traka koja se samo prikazuje dok se GA već učitava u pozadini ne ispunjava zahtjev § 25 st. 1 TDDDG — presudno je da se prije privole ne učita nijedna skripta s googletagmanager.com ili google-analytics.com i ne postavi nijedan identifikator.

I s funkcionalnom privolom prijenos u SAD ostaje zasebna kontrolna točka: od okvira EU–SAD za zaštitu podataka (odluka o primjerenosti od 10. srpnja 2023.) prijenos prema Google LLC načelno je pokriven dok je Google certificiran unutar okvira. U pravilima privatnosti ipak treba navesti primatelja, svrhu, pravnu osnovu (privola), razdoblje pohrane i osnovu prijenosa.

Tko koristi Google Consent Mode v2 trebao bi poznavati razliku između „basic“ i „advanced“: u načinu advanced GA već prije privole šalje anonimne pingove bez kolačića. Je li to spojivo s § 25 TDDDG, stručnjaci ocjenjuju različito — način basic (nikakva komunikacija prije privole) konzervativniji je izbor.

Je li ovo rizik?

Pristup uređaju u analitičke svrhe prema § 25 st. 1 TDDDG dopušten je samo uz prethodnu privolu; naknadna obrada oslanja se na čl. 6 st. 1 t. a GDPR-a. Bez funkcionalne privole (alat se učitava unatoč odbijanju ili nema trake) nedostaje pravna osnova. Nadzorna tijela više su puta prigovarala integracijama Analyticsa bez privole.

Što možete učiniti

• Upotrijebite alat za privolu koji oznaku Analyticsa izvršava tek nakon aktivne privole (ne samo prikaže traku).
• Vodite GA4 s anonimizacijom IP-a i bez Google signala, postavite pohranu podataka na minimum.
• U politici privatnosti navedite Google kao primatelja, svrhu (mjerenje dosega), pravnu osnovu (privola), razdoblje pohrane i prijenos u SAD.
• Provjerite učitava li se GA prije klika na „Prihvati“ — razvojni alati, kartica „Mreža“, u privatnom prozoru.

Česta pitanja

Je li Google Analytics s anonimizacijom IP-a dovoljan bez trake za kolačiće?

Ne. GA4 doduše standardno anonimizira IP adrese, ali i dalje postavlja ili čita identifikatore na uređaju. To zahtijeva privolu prema § 25 st. 1 TDDDG, neovisno o skraćivanju IP-a.

Je li Google Analytics 4 zahvaljujući Data Privacy Frameworku opet bezopasan?

Prijenos u SAD načelno je pokriven okvirom DPF dok Google ostaje certificiran. Obveza privole za pristup uređaju postoji neovisno o tome.

Kako provjeriti učitava li se GA prije privole?

Otvorite stranicu u privatnom prozoru, u alatima za razvojne programere na kartici „Mreža“ filtrirajte prema „google“ i učitajte stranicu bez potvrde trake. Ako se pojave zahtjevi prema google-analytics.com ili googletagmanager.com, oznaka se pokreće prerano.

Što se događa kod povrede?

Nadzorna tijela mogu zabraniti obradu i izreći kazne; ispitanici mogu tražiti naknadu štete prema čl. 82 GDPR-a. U praksi su najprije u prvom planu pritužbe i službene opomene.

Kako pomaže consentglass

Besplatno skeniranje provjerava isporučeni HTML i pokazuje koje su usluge ugrađene, je li otkrivena traka za kolačiće te jesu li poveznice na privatnost i impresum prisutne — s razvrstavanjem uz svako otkriće. Ne zamjenjuje pravni savjet.