Google Analytics beágyazása GDPR-kompatibilisen

A Google Analytics 4 sütiket állít be vagy azonosítókat olvas ki az eszközről, és használati adatokat továbbít a Google-nak (USA). Ez nem technikailag szükséges folyamat.

A gyakorlatban ez azt jelenti: a Google Analytics címke csak a látogatók aktív hozzájárulása után futtatható. Egy sáv, amelyet csak megjelenítenek, miközben a GA már a háttérben betöltődik, nem felel meg a § 25 (1) TDDDG követelményének — a döntő az, hogy a hozzájárulás előtt ne töltődjön be semmilyen szkript a googletagmanager.com vagy a google-analytics.com címről, és ne kerüljön beállításra azonosító.

Működő hozzájárulás mellett is az USA-ba történő továbbítás önálló ellenőrzési pont: az EU–USA adatvédelmi keret (2023. július 10-i megfelelőségi határozat) óta a Google LLC felé történő továbbítás elvben fedezett, amíg a Google a keretben tanúsított. Az adatvédelmi tájékoztatóban ennek ellenére meg kell nevezni a címzettet, a célt, a jogalapot (hozzájárulás), a megőrzési időt és a továbbítás alapját.

Aki a Google Consent Mode v2-t használja, ismerje a „basic” és az „advanced” közötti különbséget: advanced módban a GA már a hozzájárulás előtt anonim, süti nélküli pingeket küld. Hogy ez összeegyeztethető-e a § 25 TDDDG-vel, a szakértők körében eltérően ítélik meg — a basic mód (semmilyen kommunikáció a hozzájárulás előtt) az óvatosabb választás.

Kockázat ez?

Az eszközhozzáférés analitikai célból a német TDDDG 25. § (1) bek. szerint csak előzetes hozzájárulással megengedett; a további feldolgozás a GDPR 6. cikk (1) a) pontjára támaszkodik. Működő hozzájárulás nélkül (az eszköz elutasítás ellenére betölt, vagy nincs sáv) hiányzik a jogalap. A felügyeleti hatóságok többször kifogásolták a hozzájárulás nélküli Analytics-integrációkat.

Mit tehet

• Használjon olyan hozzájárulási eszközt, amely az Analytics-címkét csak aktív hozzájárulás után futtatja (nem csak megjelenít egy sávot).
• Vezesse a GA4-et IP-anonimizálással és Google-jelek nélkül, állítsa minimumra az adatmegőrzést.
• Az adatvédelmi tájékoztatóban nevezze meg a Google-t címzettként, a célt (elérésmérés), a jogalapot (hozzájárulás), a tárolási időt és az USA-továbbítást.
• Ellenőrizze, betölt-e a GA az „Elfogadom” kattintás előtt — fejlesztői eszközök, „Hálózat” fül, privát ablakban.

Gyakori kérdések

Elegendő a Google Analytics IP-anonimizálással süti sáv nélkül?

Nem. A GA4 alapértelmezés szerint anonimizálja az IP-címeket, de továbbra is beállít vagy olvas azonosítókat az eszközön. Ez a § 25 (1) TDDDG szerint hozzájáruláshoz kötött, függetlenül az IP rövidítésétől.

A Google Analytics 4 a Data Privacy Framework révén ismét problémamentes?

Az USA-ba történő továbbítást a DPF elvben fedezi, amíg a Google tanúsított marad. Az eszközhöz való hozzáférés hozzájárulási kötelezettsége ettől függetlenül fennáll.

Hogyan ellenőrzöm, hogy a GA a hozzájárulás előtt töltődik-e be?

Nyissa meg az oldalt privát ablakban, a fejlesztői eszközökben a „Hálózat” lapon szűrjön a „google” kifejezésre, és töltse be az oldalt a sáv megerősítése nélkül. Ha megjelennek a google-analytics.com vagy a googletagmanager.com felé irányuló kérések, a címke túl korán aktiválódik.

Mi történik jogsértés esetén?

A felügyeleti hatóságok megtilthatják az adatkezelést és bírságot szabhatnak ki; az érintettek a GDPR 82. cikke alapján kártérítést követelhetnek. A gyakorlatban először a panaszok és a hatósági felszólítások állnak előtérben.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.