Vloženie Google Analytics v súlade s GDPR

Google Analytics 4 nastavuje cookies alebo číta identifikátory zo zariadenia a prenáša údaje o používaní ku Google (USA). Nie je to technicky nevyhnutný proces.

V praxi to znamená: značka Google Analytics sa smie spustiť až po aktívnom súhlase návštevníkov. Lišta, ktorá sa iba zobrazí, kým sa GA už načítava na pozadí, nespĺňa požiadavku § 25 ods. 1 TDDDG — rozhodujúce je, že sa pred súhlasom nenačíta žiadny skript z googletagmanager.com ani google-analytics.com a nenastaví sa žiadny identifikátor.

Aj s fungujúcim súhlasom zostáva prenos do USA samostatným kontrolným bodom: od rámca EÚ–USA na ochranu údajov (rozhodnutie o primeranosti z 10. júla 2023) je prenos do Google LLC v zásade zabezpečený, kým je Google v rámci certifikované. V zásadách ochrany osobných údajov treba napriek tomu uviesť príjemcu, účel, právny základ (súhlas), dobu uchovávania a základ prenosu.

Kto používa Google Consent Mode v2, mal by poznať rozdiel medzi „basic“ a „advanced“: v režime advanced GA odosiela už pred súhlasom anonymné pingy bez súborov cookie. Či je to zlučiteľné s § 25 TDDDG, je medzi odborníkmi hodnotené rôzne — režim basic (žiadna komunikácia pred súhlasom) je opatrnejšia voľba.

Je to riziko?

Prístup k zariadeniu na analytické účely je podľa § 25 ods. 1 TDDDG prípustný iba s predchádzajúcim súhlasom; následné spracúvanie sa opiera o čl. 6 ods. 1 písm. a GDPR. Bez funkčného súhlasu (nástroj sa načíta napriek odmietnutiu alebo bez lišty) chýba právny základ. Dozorné orgány opakovane kritizovali integrácie Analytics bez súhlasu.

Čo môžete urobiť

• Použite nástroj súhlasu, ktorý spustí značku Analytics až po aktívnom súhlase (nielen zobrazí lištu).
• Provádzkujte GA4 s anonymizáciou IP a bez signálov Google, nastavte uchovávanie údajov na minimum.
• V zásadách ochrany osobných údajov uveďte Google ako príjemcu, účel (meranie dosahu), právny základ (súhlas), dobu uloženia a prenos do USA.
• Skontrolujte, či sa GA načíta pred kliknutím na „Prijať“ — vývojárske nástroje, karta „Sieť“, v anonymnom okne.

Časté otázky

Stačí Google Analytics s anonymizáciou IP bez cookie lišty?

Nie. GA4 síce štandardne anonymizuje IP adresy, ale stále nastavuje alebo číta identifikátory v zariadení. To si vyžaduje súhlas podľa § 25 ods. 1 TDDDG, nezávisle od skrátenia IP.

Je Google Analytics 4 vďaka Data Privacy Framework opäť bez problémov?

Prenos do USA je v zásade zabezpečený rámcom DPF, kým Google zostáva certifikované. Povinnosť súhlasu s prístupom k zariadeniu trvá nezávisle od toho.

Ako skontrolujem, či sa GA načítava pred súhlasom?

Otvoriť stránku v anonymnom okne, vo vývojárskych nástrojoch na karte „Sieť“ filtrovať podľa „google“ a načítať stránku bez potvrdenia lišty. Ak sa objavia požiadavky na google-analytics.com alebo googletagmanager.com, značka sa spúšťa príliš skoro.

Čo sa stane pri porušení?

Dozorné orgány môžu spracúvanie zakázať a uložiť pokuty; dotknuté osoby si môžu uplatniť náhradu škody podľa čl. 82 GDPR. V praxi sú najprv v popredí sťažnosti a úradné výzvy.

Ako pomáha consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, ktoré služby sú vložené, či je rozpoznaná cookie lišta a či sú odkazy na súkromie a tiráž — so zaradením pri každom zistení. Nenahrádza právne poradenstvo.