Innbygging av Google Analytics i samsvar med GDPR

Google Analytics 4 setter informasjonskapsler eller leser identifikatorer fra enheten og overfører bruksdata til Google (USA). Dette er ikke en teknisk nødvendig prosess.

I praksis betyr det: Google Analytics-taggen kan først kjøres etter besøkendes aktive samtykke. En banner som bare vises mens GA allerede lastes i bakgrunnen, oppfyller ikke kravet i § 25 første ledd TDDDG — det avgjørende er at det før samtykket ikke lastes noe skript fra googletagmanager.com eller google-analytics.com og ikke settes noen identifikator.

Selv med fungerende samtykke er overføringen til USA et eget kontrollpunkt: siden EU–USA-datavernrammen (tilstrekkelighetsbeslutning av 10. juli 2023) er overføringen til Google LLC i prinsippet dekket så lenge Google er sertifisert under rammen. I personvernerklæringen skal mottaker, formål, rettsgrunnlag (samtykke), lagringstid og overføringsgrunnlaget likevel nevnes.

Den som bruker Google Consent Mode v2, bør kjenne forskjellen mellom «basic» og «advanced»: i advanced-modus sender GA allerede før samtykket anonyme, informasjonskapselfrie ping. Om det er forenlig med § 25 TDDDG, vurderes ulikt blant eksperter — basic-modus (ingen kommunikasjon før samtykket) er det mer forsiktige valget.

Er dette en risiko?

Tilgang til enheten for analyseformål er kun tillatt med forhåndssamtykke i henhold til § 25 stk. 1 TDDDG; den videre behandlingen bygger på art. 6 stk. 1 bokstav a GDPR. Uten et fungerende samtykke (verktøyet laster til tross for avslag, eller det finnes ingen banner) mangler det rettslig grunnlag. Tilsynsmyndighetene har flere ganger innvendinger mot Analytics-integrasjoner uten samtykke.

Hva du kan gjøre

• Bruk et samtykkeverktøy som først kjører Analytics-taggen etter aktivt samtykke (ikke bare viser en banner).
• Kjør GA4 med IP-anonymisering og uten Google Signals, sett datalagring til minimum.
• I personvernerklæringen, oppgi Google som mottaker, formålet (rekkeviddemåling), rettslig grunnlag (samtykke), lagringstid og overføring til USA.
• Sjekk om GA lastes før klikk på «Godta» — utviklerverktøy, fanen «Nettverk», i et privat vindu.

Vanlige spørsmål

Holder Google Analytics med IP-anonymisering uten informasjonskapselbanner?

Nei. GA4 anonymiserer riktignok IP-adresser som standard, men setter eller leser fortsatt identifikatorer på enheten. Det er samtykkepliktig etter § 25 første ledd TDDDG, uavhengig av IP-forkortingen.

Er Google Analytics 4 igjen uproblematisk takket være Data Privacy Framework?

Overføringen til USA er i prinsippet dekket av DPF så lenge Google forblir sertifisert. Samtykkeplikten for tilgang til enheten består uavhengig av dette.

Hvordan kontrollerer jeg om GA lastes før samtykket?

Åpne siden i et privat vindu, filtrer utviklerverktøyene på «google» i fanen «Nettverk», og last siden uten å bekrefte banneret. Hvis det dukker opp forespørsler til google-analytics.com eller googletagmanager.com, utløses taggen for tidlig.

Hva skjer ved et brudd?

Tilsynsmyndigheter kan forby behandlingen og ilegge bøter; registrerte kan kreve erstatning etter art. 82 GDPR. I praksis står klager og pålegg fra myndigheter først i forgrunnen.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.