Använda Google Tag Manager GDPR-förenligt

Google Tag Manager (googletagmanager.com) laddar inte spårare själv, den hanterar dem. Det egentliga dataskyddsproblemet är de taggar den spelar ut.

Det vanligaste felet med Tag Manager är att anta att ett blockerat samtyckesverktyg i containern räcker. Så länge container-snippeten ligger i <head> upprättas vid sidladdning en anslutning till googletagmanager.com och IP-adressen överförs till Google — innan någon tagg avfyras. För själva containern kan det bara undvikas genom att ladda den efter samtycke eller leverera den på serversidan.

Google Consent Mode v2 är sedan mars 2024 praktiskt taget obligatoriskt för annonsfunktioner i EES om konverteringsdata ska flöda till Google Ads. Men det ersätter inte ett samtyckesverktyg: Consent Mode anpassar bara Google-taggarnas beteende till samtyckesstatusen — statusen i sig måste fångas av en banner som uppfyller kraven på ett samtycke.

Vid taggning på serversidan flyttas tagg-utförandet till en egen endpoint (ofta en subdomän). Det förbättrar laddtid och datakontroll men flyttar inte samtyckesplikten: serverside-utlösta taggar som når klientside-satta identifierare kräver också ett i förväg lämnat samtycke.

Är detta en risk?

Om Tag Manager laddar taggar som kräver samtycke (Analytics, Ads, pixel) före eller trots ett avslag saknas den rättsliga grunden för dessa enligt § 25 st. 1 TDDDG. Själva containeranropet överför redan IP:n till Google (USA).

Vad du kan göra

• Använd Consent Mode eller ett utlösningsvillkor så att taggar utlöses först efter samtycke.
• Tilldela varje tagg i containern en kategori och kontrollera den mot samtyckesstatusen.
• Överväg tagghantering serverside, men överta samtyckeslogiken konsekvent.
• Kontrollera efter installationen i fliken ”Nätverk” vad som laddas före det första klicket.

Vanliga frågor

Kräver Google Tag Manager i sig samtycke?

Container-anropet laddar inga spårare men överför IP-adressen till Google (USA) vid sidladdning. Strikt sett är det redan en åtkomst utan teknisk nödvändighet — konservativt laddas containern därför först efter samtycke.

Räcker Consent Mode v2 i stället för en cookiebanner?

Nej. Consent Mode styr bara hur Google-taggar reagerar på samtyckesstatusen. Statusen måste fångas av ett separat samtyckesverktyg som erbjuder ett verkligt val mellan att godta och avvisa.

Hur säkerställer jag att taggar bara avfyras efter samtycke?

Ge varje tagg i containern ett triggerundantag eller ett samtyckesvillkor som kontrollerar samtyckesstatusen för den aktuella kategorin. Kontrollera sedan i förhandsgranskningsläget och Nätverk-fliken vad som laddas före första klicket.

Hjälper taggning på serversidan med samtycket?

Det förbättrar prestanda och datakontroll men ersätter inte samtycket. Serverside-taggar som behandlar personuppgifter behöver samma rättsliga grund som klientside-taggar.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.