Интеграция Google Analytics в соответствии с GDPR

Google Analytics 4 устанавливает cookie или считывает идентификаторы с устройства и передаёт данные об использовании в Google (США). Это не технически необходимый процесс.

На практике это означает: тег Google Analytics может быть выполнен только после активного согласия посетителей. Баннер, который лишь отображается, пока GA уже загружается в фоне, не отвечает требованию § 25 абз. 1 TDDDG — решающим является то, что до согласия не загружается никакой скрипт с googletagmanager.com или google-analytics.com и не устанавливается никакой идентификатор.

Даже при работающем согласии передача в США остаётся отдельной контрольной точкой: со времени рамочного соглашения ЕС–США о защите данных (решение об адекватности от 10 июля 2023 г.) передача в Google LLC в принципе покрыта, пока Google сертифицирована в рамках соглашения. В политике конфиденциальности тем не менее следует указать получателя, цель, правовое основание (согласие), срок хранения и основание передачи.

Тот, кто использует Google Consent Mode v2, должен знать разницу между «basic» и «advanced»: в режиме advanced GA уже до согласия отправляет анонимные пинги без файлов cookie. Совместимо ли это с § 25 TDDDG, специалисты оценивают по-разному — режим basic (никакой коммуникации до согласия) является более осторожным выбором.

Это риск?

Доступ к устройству для целей аналитики согласно § 25 ч. 1 TDDDG разрешён только с предварительным согласием; последующая обработка опирается на ст. 6 ч. 1 п. a GDPR. Без действующего согласия (инструмент загружается несмотря на отказ или нет баннера) отсутствует правовое основание. Надзорные органы неоднократно возражали против интеграций Analytics без согласия.

Что вы можете сделать

• Используйте инструмент согласия, который выполняет тег Analytics только после активного согласия (а не просто показывает баннер).
• Запускайте GA4 с анонимизацией IP и без Google Signals, установите хранение данных на минимум.
• В политике конфиденциальности укажите Google как получателя, цель (измерение охвата), правовое основание (согласие), срок хранения и передачу в США.
• Проверьте, загружается ли GA до нажатия «Принять» — инструменты разработчика, вкладка «Сеть», в приватном окне.

Частые вопросы

Достаточно ли Google Analytics с анонимизацией IP без баннера cookie?

Нет. GA4 хотя и анонимизирует IP-адреса по умолчанию, но по-прежнему устанавливает или считывает идентификаторы в устройстве. Это требует согласия согласно § 25 абз. 1 TDDDG независимо от сокращения IP.

Стал ли Google Analytics 4 снова беспроблемным благодаря Data Privacy Framework?

Передача в США в принципе покрыта DPF, пока Google остаётся сертифицированной. Обязанность получения согласия на доступ к устройству существует независимо от этого.

Как проверить, загружается ли GA до согласия?

Открыть страницу в приватном окне, в инструментах разработчика на вкладке «Сеть» отфильтровать по «google» и загрузить страницу, не подтверждая баннер. Если появляются запросы к google-analytics.com или googletagmanager.com, тег срабатывает слишком рано.

Что происходит при нарушении?

Надзорные органы могут запретить обработку и наложить штрафы; субъекты данных могут требовать возмещения ущерба согласно ст. 82 GDPR. На практике на первый план сначала выходят жалобы и предписания органов.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.