Vgradnja Google Analytics skladno z GDPR

Google Analytics 4 nastavi piškotke ali bere identifikatorje z naprave in prenaša podatke o uporabi Googlu (ZDA). To ni tehnično nujen postopek.

V praksi to pomeni: oznaka Google Analytics se sme izvesti šele po aktivni privolitvi obiskovalcev. Pasica, ki se le prikaže, medtem ko se GA že nalaga v ozadju, ne izpolnjuje zahteve § 25 odst. 1 TDDDG — odločilno je, da se pred privolitvijo ne naloži noben skript z googletagmanager.com ali google-analytics.com in ne nastavi noben identifikator.

Tudi z delujočo privolitvijo ostaja prenos v ZDA lastna kontrolna točka: od okvira EU–ZDA za varstvo podatkov (sklep o ustreznosti z dne 10. julija 2023) je prenos k Google LLC načeloma pokrit, dokler je Google certificiran v okviru. V politiki zasebnosti je kljub temu treba navesti prejemnika, namen, pravno podlago (privolitev), obdobje hrambe in podlago za prenos.

Kdor uporablja Google Consent Mode v2, bi moral poznati razliko med „basic“ in „advanced“: v načinu advanced GA že pred privolitvijo pošilja anonimne pinge brez piškotkov. Ali je to združljivo s § 25 TDDDG, strokovnjaki ocenjujejo različno — način basic (nobene komunikacije pred privolitvijo) je previdnejša izbira.

Je to tveganje?

Dostop do naprave za namene analize je po § 25 odst. 1 TDDDG dopusten le s predhodno privolitvijo; nadaljnja obdelava se opira na čl. 6 odst. 1 tč. a GDPR. Brez delujoče privolitve (orodje se naloži kljub zavrnitvi ali brez pasice) manjka pravna podlaga. Nadzorni organi so večkrat grajali vgradnje Analytics brez privolitve.

Kaj lahko storite

• Uporabite orodje za privolitev, ki izvede oznako Analytics šele po aktivni privolitvi (ne le prikaže pasico).
• Upravljajte GA4 z anonimizacijo IP in brez signalov Google, nastavite hrambo podatkov na minimum.
• V politiki zasebnosti navedite Google kot prejemnika, namen (merjenje dosega), pravno podlago (privolitev), obdobje hrambe in prenos v ZDA.
• Preverite, ali se GA naloži pred klikom na „Sprejmi“ — razvijalska orodja, zavihek „Omrežje“, v zasebnem oknu.

Pogosta vprašanja

Ali Google Analytics z anonimizacijo IP zadostuje brez pasice za piškotke?

Ne. GA4 sicer privzeto anonimizira naslove IP, a še vedno nastavlja ali bere identifikatorje na napravi. To zahteva privolitev po § 25 odst. 1 TDDDG, ne glede na skrajšanje IP.

Ali je Google Analytics 4 zaradi Data Privacy Framework spet nesporen?

Prenos v ZDA je načeloma pokrit z okvirom DPF, dokler Google ostaja certificiran. Obveznost privolitve za dostop do naprave obstaja neodvisno od tega.

Kako preverim, ali se GA naloži pred privolitvijo?

Odprite stran v zasebnem oknu, v razvijalskih orodjih na zavihku „Omrežje“ filtrirajte po „google“ in naložite stran brez potrditve pasice. Če se pojavijo zahteve na google-analytics.com ali googletagmanager.com, se oznaka sproži prezgodaj.

Kaj se zgodi ob kršitvi?

Nadzorni organi lahko obdelavo prepovejo in naložijo globe; posamezniki lahko uveljavljajo odškodnino po čl. 82 GDPR. V praksi so najprej v ospredju pritožbe in uradni pozivi.

Kako pomaga consentglass

Brezplačno skeniranje preveri dostavljeni HTML in prikaže, katere storitve so vgrajene, ali je zaznana pasica za piškotke ter ali sta povezavi na zasebnost in kolofon prisotni — z umestitvijo pri vsaki ugotovitvi. Ne nadomešča pravnega svetovanja.