O Google Analytics 4 define cookies ou lê identificadores do dispositivo e transmite dados de utilização ao Google (EUA). Não é um processo tecnicamente necessário.
Na prática, isto significa: a etiqueta do Google Analytics só pode ser executada depois de os visitantes terem consentido ativamente. Um banner que apenas é exibido enquanto o GA já carrega em segundo plano não cumpre o requisito do § 25.º, n.º 1 do TDDDG — o decisivo é que antes do consentimento não seja carregado nenhum script de googletagmanager.com ou google-analytics.com e não seja definido nenhum identificador.
Mesmo com um consentimento que funciona, a transferência para os EUA continua a ser um ponto de verificação à parte: desde o EU-US Data Privacy Framework (decisão de adequação de 10 de julho de 2023), a transferência para a Google LLC está, em princípio, salvaguardada enquanto a Google estiver certificada ao abrigo do framework. Ainda assim, a política de privacidade deve nomear o destinatário, a finalidade, a base legal (consentimento), o prazo de conservação e a base da transferência.
Quem usa o Google Consent Mode v2 deve conhecer a diferença entre «basic» e «advanced»: no modo advanced, o GA envia pings anónimos e sem cookies mesmo antes do consentimento. Se isso é compatível com o § 25.º do TDDDG é avaliado de forma diferente entre os especialistas em proteção de dados — o modo basic (nenhuma comunicação antes do consentimento) é a escolha mais conservadora.
Duas definições do GA4 são particularmente relevantes para a proteção de dados e estão mal configuradas por predefinição: os «Sinais do Google» (Administração → Definições de dados → Recolha de dados) associam o comportamento a contas Google com sessão iniciada para o rastreio entre dispositivos e os públicos publicitários — para uma simples medição de alcance devem ficar desativados. E a «Retenção de dados de eventos» (Definições de dados → Retenção de dados) está em 2 meses como valor parcimonioso; 14 meses são o máximo e só se justificam com um motivo documentado. A opção «Repor a cada nova atividade» prolonga de facto a conservação indefinidamente e deve estar desativada.
A marcação do lado do servidor (GA4 através de um contentor de servidor próprio do Google Tag Manager) não é uma forma de contornar o consentimento. O hit de medição é enviado através do domínio próprio, mas o Client ID continua a ser definido ou lido no navegador, e os dados acabam, ainda assim, na Google. O benefício está numa melhor qualidade dos dados e no controlo sobre o que é transmitido — o contentor de servidor tem de aplicar a verificação do consentimento tal como a etiqueta do lado do cliente.
O acesso ao dispositivo para fins de análise só é permitido, nos termos do § 25 n.º 1 TDDDG, com consentimento prévio; o tratamento subsequente assenta no art. 6.º n.º 1 al. a RGPD. Sem consentimento funcional (a ferramenta carrega apesar da recusa, ou não há banner) falta o fundamento jurídico. As autoridades de controlo contestaram repetidamente integrações do Analytics sem consentimento.
A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.
Este texto é informação geral em boa-fé, não aconselhamento jurídico. Para o caso concreto, consulte um escritório especializado em direito das TI.