Bädda in Google Analytics GDPR-förenligt

Google Analytics 4 sätter cookies eller läser identifierare från enheten och överför användningsdata till Google (USA). Det är inte en tekniskt nödvändig process.

I praktiken betyder det: Google Analytics-taggen får först köras efter besökarnas aktiva samtycke. En banner som bara visas medan GA redan laddas i bakgrunden uppfyller inte kravet i § 25.1 TDDDG — det avgörande är att inget skript från googletagmanager.com eller google-analytics.com laddas och ingen identifierare sätts före samtycket.

Även med fungerande samtycke är överföringen till USA en egen kontrollpunkt: sedan EU–USA:s dataskyddsram (beslut om adekvat skyddsnivå den 10 juli 2023) är överföringen till Google LLC i princip täckt så länge Google är certifierat inom ramen. I integritetspolicyn ska ändå mottagare, ändamål, rättslig grund (samtycke), lagringstid och överföringsgrunden anges.

Den som använder Google Consent Mode v2 bör känna till skillnaden mellan ”basic” och ”advanced”: i advanced-läget skickar GA redan före samtycket anonyma pingar utan cookies. Om det är förenligt med § 25 TDDDG bedöms olika bland experter — basic-läget (ingen kommunikation alls före samtycket) är det mer försiktiga valet.

Är detta en risk?

Åtkomst till enheten för analysändamål är enligt § 25 st. 1 TDDDG endast tillåten med föregående samtycke; den efterföljande behandlingen stödjer sig på art. 6.1 a GDPR. Utan fungerande samtycke (verktyget laddas trots avslag, eller ingen banner) saknas den rättsliga grunden. Tillsynsmyndigheter har upprepade gånger invänt mot Analytics-integrationer utan samtycke.

Vad du kan göra

• Använd ett samtyckesverktyg som kör Analytics-taggen först efter aktivt samtycke (inte bara visar bannern).
• Kör GA4 med IP-anonymisering och utan Google-signaler, ställ datalagringen på minimum.
• I integritetspolicyn, ange Google som mottagare, ändamålet (räckviddsmätning), rättslig grund (samtycke), lagringstid och överföringen till USA.
• Kontrollera om GA laddas före klicket på ”Acceptera” — utvecklarverktyg, fliken ”Nätverk”, i privat fönster.

Vanliga frågor

Räcker Google Analytics med IP-anonymisering utan cookiebanner?

Nej. GA4 anonymiserar visserligen IP-adresser som standard men sätter eller läser fortfarande identifierare på enheten. Det är samtyckespliktigt enligt § 25.1 TDDDG, oberoende av IP-förkortningen.

Är Google Analytics 4 återigen oproblematiskt tack vare Data Privacy Framework?

Överföringen till USA är i princip täckt av DPF så länge Google förblir certifierat. Samtyckesplikten för åtkomst till enheten består oberoende av detta.

Hur kontrollerar jag om GA laddas före samtycket?

Öppna sidan i ett privat fönster, filtrera utvecklarverktygen på ”google” i fliken ”Nätverk” och ladda sidan utan att bekräfta bannern. Om förfrågningar till google-analytics.com eller googletagmanager.com dyker upp utlöses taggen för tidigt.

Vad händer vid en överträdelse?

Tillsynsmyndigheter kan förbjuda behandlingen och utfärda böter; registrerade kan kräva skadestånd enligt art. 82 GDPR. I praktiken står först klagomål och myndighetsförelägganden i förgrunden.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.