Menyematkan Google Analytics sesuai GDPR

Google Analytics 4 menetapkan cookie atau membaca pengenal dari perangkat dan mengirimkan data penggunaan ke Google (AS). Ini bukan proses yang secara teknis diperlukan.

Dalam praktik berarti: tag Google Analytics baru boleh dijalankan setelah persetujuan aktif pengunjung. Banner yang hanya ditampilkan sementara GA sudah dimuat di latar belakang tidak memenuhi persyaratan § 25 ayat 1 TDDDG — yang menentukan adalah bahwa sebelum persetujuan tidak ada skrip dari googletagmanager.com atau google-analytics.com yang dimuat dan tidak ada pengenal yang disetel.

Bahkan dengan persetujuan yang berfungsi, transfer ke AS tetap menjadi titik pemeriksaan tersendiri: sejak kerangka perlindungan data UE–AS (keputusan kecukupan 10 Juli 2023), transfer ke Google LLC pada prinsipnya tercakup selama Google tersertifikasi dalam kerangka tersebut. Dalam kebijakan privasi tetap harus disebutkan penerima, tujuan, dasar hukum (persetujuan), jangka waktu penyimpanan, dan dasar transfer.

Siapa yang menggunakan Google Consent Mode v2 sebaiknya mengetahui perbedaan antara “basic” dan “advanced”: dalam mode advanced, GA sudah mengirim ping anonim tanpa cookie sebelum persetujuan. Apakah itu sesuai dengan § 25 TDDDG dinilai berbeda-beda di kalangan ahli — mode basic (tidak ada komunikasi sama sekali sebelum persetujuan) adalah pilihan yang lebih hati-hati.

Apakah ini risiko?

Akses ke perangkat untuk tujuan analisis diizinkan menurut § 25 ayat 1 TDDDG hanya dengan persetujuan sebelumnya; pemrosesan lanjutan berdasar Pasal 6 ayat 1 huruf a GDPR. Tanpa persetujuan yang berfungsi (alat dimuat meskipun ditolak atau tidak ada banner), dasar hukum tidak ada. Otoritas pengawas berulang kali berkeberatan terhadap integrasi Analytics tanpa persetujuan.

Apa yang dapat Anda lakukan

• Gunakan alat persetujuan yang menjalankan tag Analytics hanya setelah persetujuan aktif (bukan hanya menampilkan banner).
• Jalankan GA4 dengan anonimisasi IP dan tanpa Google Signals, setel penyimpanan data ke minimum.
• Dalam kebijakan privasi, sebutkan Google sebagai penerima, tujuan (pengukuran jangkauan), dasar hukum (persetujuan), jangka waktu penyimpanan, dan transfer ke AS.
• Periksa apakah GA dimuat sebelum klik «Setuju» — alat pengembang, tab «Jaringan», di jendela pribadi.

Pertanyaan yang sering diajukan

Apakah Google Analytics dengan anonimisasi IP cukup tanpa banner cookie?

Tidak. GA4 memang menganonimkan alamat IP secara default, tetapi masih menyetel atau membaca pengenal di perangkat. Ini memerlukan persetujuan menurut § 25 ayat 1 TDDDG, terlepas dari pemendekan IP.

Apakah Google Analytics 4 kembali tanpa masalah berkat Data Privacy Framework?

Transfer ke AS pada prinsipnya tercakup oleh DPF selama Google tetap tersertifikasi. Kewajiban persetujuan untuk akses ke perangkat tetap ada terlepas dari itu.

Bagaimana memeriksa apakah GA dimuat sebelum persetujuan?

Buka halaman di jendela pribadi, di alat pengembang pada tab “Jaringan” filter dengan “google”, dan muat halaman tanpa mengonfirmasi banner. Jika muncul permintaan ke google-analytics.com atau googletagmanager.com, tag terpicu terlalu dini.

Apa yang terjadi jika terjadi pelanggaran?

Otoritas pengawas dapat melarang pemrosesan dan menjatuhkan denda; subjek data dapat menuntut ganti rugi menurut Pasal 82 GDPR. Dalam praktik, keluhan dan teguran otoritas lebih dulu mengemuka.

Bagaimana consentglass membantu

Pemeriksaan gratis menganalisis HTML yang disajikan dan menunjukkan layanan apa yang tersemat, apakah banner cookie terdeteksi, dan apakah ada tautan ke privasi dan informasi kontak — dengan klasifikasi untuk setiap temuan. Tidak menggantikan nasihat hukum.