Google Analytics 4はCookieを設定するか、デバイスから識別子を読み取り、利用データをGoogle（米国）に送信します。これは技術的に必要な処理ではありません。
実務上これは次のことを意味します。Google Analytics のタグは、訪問者が能動的に同意した後にのみ実行できます。GA がすでにバックグラウンドで読み込まれている間に表示されるだけのバナーは、TDDDG 第25条1項の要件を満たしません。決定的なのは、同意の前に googletagmanager.com や google-analytics.com からスクリプトが読み込まれず、識別子が設定されないことです。
機能する同意があっても、米国への移転は独立した確認事項として残ります。EU-US Data Privacy Framework（2023年7月10日の十分性認定）以降、Google LLC への移転は Google がフレームワークの下で認証されている限り原則として保護されます。それでもプライバシーポリシーには、受領者、目的、法的根拠（同意）、保存期間、移転の根拠を記載すべきです。
Google Consent Mode v2 を使う場合は、「basic」と「advanced」の違いを知っておくべきです。advanced モードでは、GA は同意の前でも匿名の Cookie なしの ping を送信します。これが TDDDG 第25条と両立するかは、データ保護の専門家の間で評価が分かれます。basic モード（同意前は一切通信しない）がより保守的な選択です。
GA4 の 2 つの設定はデータ保護上とくに重要で、既定では不利に設定されています。「Google シグナル」（管理 → データ設定 → データ収集）は、クロスデバイス トラッキングと広告オーディエンスのために、ログイン済みの Google アカウントと行動を結び付けます。単なるリーチ測定にはオフのままにすべきです。そして「イベントデータの保持」（データ設定 → データ保持）はデータ節約的な値として 2 か月に設定されています。14 か月が上限で、文書化された理由がある場合にのみ許容されます。「新しいアクティビティでリセット」オプションは事実上保存を無期限に延長するため、無効にすべきです。
サーバーサイドタグ設定（自前の Google タグ マネージャー サーバーコンテナ経由の GA4）は、同意を回避する方法ではありません。測定ヒットは自ドメイン経由で送信されますが、Client ID は依然としてブラウザで設定・読み取りされ、データは最終的にやはり Google に届きます。利点はデータ品質の向上と、何が渡されるかの制御にあります。サーバーコンテナは、クライアント側のタグと同じように同意チェックを実施しなければなりません。
分析目的でのデバイスへのアクセスは、TDDDG第25条第1項により事前の同意がある場合にのみ許可されます。その後の処理はGDPR第6条第1項a号に基づきます。機能している同意（拒否にもかかわらずツールが読み込まれる、バナーがないなど）がない場合、法的根拠を欠いています。監督機関は同意なしのAnalytics統合について繰り返し異議を唱えています。
無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。
この文章は当社の知る限りの一般的な情報であり、法的助言ではありません。個別のケースについてはIT法を専門とする法律事務所にご相談ください。