Google Analytics iegulšana atbilstoši GDPR

Google Analytics 4 iestata sīkdatnes vai nolasa identifikatorus no ierīces un nodod lietošanas datus Google (ASV). Tas nav tehniski nepieciešams process.

Praksē tas nozīmē: Google Analytics tagu drīkst izpildīt tikai pēc apmeklētāju aktīvas piekrišanas. Baneris, kas tikai tiek parādīts, kamēr GA jau ielādējas fonā, neatbilst § 25 1. d. TDDDG prasībai — izšķiroši ir tas, ka pirms piekrišanas netiek ielādēts neviens skripts no googletagmanager.com vai google-analytics.com un netiek iestatīts neviens identifikators.

Pat ar funkcionējošu piekrišanu nodošana uz ASV paliek atsevišķs kontroles punkts: kopš ES–ASV datu aizsardzības regulējuma (lēmums par aizsardzības līmeņa pietiekamību 2023. gada 10. jūlijā) nodošana Google LLC principā ir segta, kamēr Google ir sertificēts regulējumā. Privātuma politikā tomēr jānorāda saņēmējs, mērķis, juridiskais pamats (piekrišana), glabāšanas periods un nodošanas pamats.

Tam, kurš izmanto Google Consent Mode v2, jāzina atšķirība starp „basic“ un „advanced“: režīmā advanced GA jau pirms piekrišanas sūta anonīmus ping bez sīkdatnēm. Vai tas ir saderīgs ar § 25 TDDDG, speciālisti vērtē atšķirīgi — režīms basic (nekādas saziņas pirms piekrišanas) ir piesardzīgāka izvēle.

Vai tas ir risks?

Piekļuve ierīcei analīzes nolūkos saskaņā ar TDDDG § 25 1. daļu ir atļauta tikai ar iepriekšēju piekrišanu; turpmākā apstrāde balstās uz GDPR 6. panta 1. daļas a) apakšpunktu. Bez funkcionējošas piekrišanas (rīks ielādējas neskatoties uz atteikumu vai nav joslas) trūkst juridiskā pamata. Uzraudzības iestādes vairākkārt iebildušas pret Analytics integrācijām bez piekrišanas.

Ko jūs varat darīt

• Izmantojiet piekrišanas rīku, kas izpilda Analytics tagu tikai pēc aktīvas piekrišanas (nevis tikai parāda joslu).
• Palaidiet GA4 ar IP anonimizāciju un bez Google Signals, iestatiet datu glabāšanu uz minimumu.
• Privātuma politikā norādiet Google kā saņēmēju, mērķi (sasniedzamības mērīšana), juridisko pamatu (piekrišana), glabāšanas ilgumu un nodošanu uz ASV.
• Pārbaudiet, vai GA ielādējas pirms klikšķa uz „Piekrītu“ — izstrādātāja rīki, cilne „Tīkls“, privātā logā.

Biežāk uzdotie jautājumi

Vai Google Analytics ar IP anonimizāciju pietiek bez sīkdatņu banera?

Nē. GA4 gan pēc noklusējuma anonimizē IP adreses, bet joprojām iestata vai nolasa identifikatorus ierīcē. Tas prasa piekrišanu saskaņā ar § 25 1. d. TDDDG neatkarīgi no IP saīsināšanas.

Vai Google Analytics 4 Data Privacy Framework dēļ atkal ir bez problēmām?

Nodošana uz ASV principā ir segta ar DPF, kamēr Google paliek sertificēts. Piekrišanas pienākums piekļuvei ierīcei pastāv neatkarīgi no tā.

Kā pārbaudīt, vai GA ielādējas pirms piekrišanas?

Atveriet lapu privātā logā, izstrādātāja rīkos cilnē „Tīkls“ filtrējiet pēc „google“ un ielādējiet lapu, neapstiprinot baneri. Ja parādās pieprasījumi uz google-analytics.com vai googletagmanager.com, tags aktivizējas pārāk agri.

Kas notiek pārkāpuma gadījumā?

Uzraudzības iestādes var aizliegt apstrādi un uzlikt naudas sodus; datu subjekti var pieprasīt atlīdzību saskaņā ar VDAR 82. pantu. Praksē vispirms priekšplānā ir sūdzības un iestāžu brīdinājumi.

Kā palīdz consentglass

Bezmaksas pārbaude analizē piegādāto HTML un parāda, kuri pakalpojumi ir iegulti, vai ir atpazīta sīkdatņu josla un vai ir saites uz privātumu un kontaktinformāciju — ar klasifikāciju pie katra atklājuma. Neaizstāj juridisku konsultāciju.