Ersätta Google Maps: dataskyddsförenliga kartalternativ

En inbäddad Google Maps-karta kan skicka data till Google när sidan laddas. Behovet av samtycke i förväg beror bland annat på den konkreta åtkomsten till enheten och dess nödvändighet. GDPR:s rättsliga grund och eventuell internationell överföring måste bedömas separat.

Kärnan i problemet är att varje standardinbäddning av Google Maps — vare sig via iframe, JavaScript-API eller „bädda in karta“-koden — vid laddning av sidan upprättar en anslutning till Google-servrar. Då överförs IP-adressen och webbläsaregenskaper, och beroende på inbäddning kan cookies eller LocalStorage-poster sättas. För de flesta webbplatser är en interaktiv karta inte „absolut nödvändig“ i TDDDG:s mening, alltså skulle det behövas ett förhandssamtycke.

Den enklaste lösningen är ofta att utelämna interaktiviteten helt. Den som bara vill visa en plats klarar sig med en statisk bild (skärmdump av kartan, sparad lokalt) och en länk „Öppna i Google Maps“ eller „Planera rutt“. Länken överför data först vid klick — och då till en tjänst som användaren aktivt anropar. En lokalt lagrad kartbild undviker extern bildhämtning. Användningsrättigheter, obligatorisk källangivelse och en tillgänglig beskrivning måste ändå kontrolleras; lösningen är inte automatiskt laglig.

Den som behöver äkta interaktivitet hittar i OpenStreetMap-baserade lösningar ett datasnålt alternativ. Bibliotek som Leaflet eller MapLibre GL renderar kartan i webbläsaren; kartrutorna kommer från en tileserver. Avgörande är valet av denna server: det finns leverantörer med servrar i EU och utan spårning. En självhostad tileserver är det mest dataskyddsvänliga men mest arbetskrävande alternativet. Under alla omständigheter bör det kontrolleras i fliken Nätverk vart rutförfrågningarna faktiskt går.

Är detta en risk?

Även den „begränsade“ Google Maps-inbäddningen via Embed API laddar resurser från google.com vid sidöppning. Den som vill visa kartor utan samtycke måste gå över till antingen en tvåklickslösning, en statisk kartbild eller en datasnål karttjänst med EU-hosting.

Vad du kan göra

• För ren adressvisning: en självgjord statisk kartbild plus en textlänk „Planera rutt“ (öppnar användarens kartapp).
• För interaktiva kartor utan USA-överföring: OpenStreetMap via en datasnål leverantör (t.ex. MapLibre GL med EU-tileserver, uMap eller en självhostad Leaflet-uppsättning).
• Om Google Maps ska bli kvar: tvåkliicksinbäddning — fram till klicket bara en lokal förhandsvisning, först därefter laddas den riktiga kartan.
• Nämn den valda karttjänsten i integritetspolicyn (leverantör, ändamål, rättslig grund, ev. tredjelandsöverföring).

Vanliga frågor

Är Googles „karta i säkert läge“ GDPR-förenlig?

En inbäddad Google Maps-karta kan skicka data till Google när sidan laddas. Behovet av samtycke i förväg beror bland annat på den konkreta åtkomsten till enheten och dess nödvändighet. GDPR:s rättsliga grund och eventuell internationell överföring måste bedömas separat.

Räcker en statisk kartbild?

En lokalt lagrad kartbild undviker extern bildhämtning. Användningsrättigheter, obligatorisk källangivelse och en tillgänglig beskrivning måste ändå kontrolleras; lösningen är inte automatiskt laglig.

Överför OpenStreetMap data till USA?

Det beror på tileservern. De officiella OSM-tileservrarna står i Europa; kommersiella OSM-leverantörer och CDN:er kan ligga någon annanstans. Före användning bör den konkreta rutvärden kontrolleras i fliken Nätverk.

Måste jag ändå skriva OSM-kartan i integritetspolicyn?

Ja. Även om det inte sker någon tredjelandsöverföring överförs IP-adresser till tileserveroperatören när rutorna laddas. Leverantör, ändamål och rättslig grund hör hemma i policyn.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.