Google Analytics'in GDPR'ye uygun entegrasyonu

Google Analytics 4 çerezler ayarlar veya cihazdan tanımlayıcılar okur ve kullanım verilerini Google'a (ABD) iletir. Bu teknik olarak gerekli bir işlem değildir.

Uygulamada şu anlama gelir: Google Analytics etiketi ancak ziyaretçilerin aktif onayından sonra çalıştırılabilir. GA zaten arka planda yüklenirken yalnızca gösterilen bir banner, § 25 f. 1 TDDDG gereksinimini karşılamaz — belirleyici olan, onaydan önce googletagmanager.com veya google-analytics.com'dan hiçbir betiğin yüklenmemesi ve hiçbir tanımlayıcının ayarlanmamasıdır.

İşleyen bir onayla bile ABD'ye aktarım ayrı bir kontrol noktası olarak kalır: AB–ABD veri koruma çerçevesinden (10 Temmuz 2023 tarihli yeterlilik kararı) bu yana, Google çerçevede sertifikalı olduğu sürece Google LLC'ye aktarım ilke olarak kapsanır. Gizlilik politikasında yine de alıcı, amaç, hukuki dayanak (onay), saklama süresi ve aktarım dayanağı belirtilmelidir.

Google Consent Mode v2 kullanan biri, “basic” ile “advanced” arasındaki farkı bilmelidir: advanced modunda GA onaydan önce bile anonim, çerezsiz ping'ler gönderir. Bunun § 25 TDDDG ile bağdaşıp bağdaşmadığı uzmanlar arasında farklı değerlendirilir — basic modu (onaydan önce hiçbir iletişim yok) daha ihtiyatlı seçimdir.

Bu bir risk mi?

Analiz amacıyla cihaza erişim, TDDDG § 25 fıkra 1 uyarınca yalnızca önceden onayla izinlidir; sonraki işleme GDPR madde 6 fıkra 1 (a) dayanağına dayanır. İşleyen bir onay olmadan (araç reddedilmesine rağmen yüklenir veya banner yoktur) hukuki dayanak eksiktir. Denetim makamları onaysız Analytics entegrasyonlarına birçok kez itiraz etmiştir.

Ne yapabilirsiniz

• Analytics etiketini yalnızca etkin onaydan sonra çalıştıran bir onay aracı kullanın (yalnızca bir banner göstermek yeterli değil).
• GA4'ü IP anonimleştirmeyle ve Google Signals olmadan çalıştırın, veri saklamayı minimuma ayarlayın.
• Gizlilik politikasında Google'ı alıcı olarak, amacı (erişim ölçümü), hukuki dayanağı (onay), saklama süresini ve ABD'ye aktarımı belirtin.
• GA'nın «Kabul et» tıklamasından önce yüklenip yüklenmediğini kontrol edin — geliştirici araçları, «Ağ» sekmesi, özel bir pencerede.

Sık sorulan sorular

IP anonimleştirmeli Google Analytics çerez banner'ı olmadan yeterli mi?

Hayır. GA4 IP adreslerini varsayılan olarak anonimleştirse de cihazda hâlâ tanımlayıcılar ayarlar veya okur. Bu, IP kısaltmasından bağımsız olarak § 25 f. 1 TDDDG uyarınca onay gerektirir.

Data Privacy Framework sayesinde Google Analytics 4 yine sorunsuz mu?

ABD'ye aktarım, Google sertifikalı kaldığı sürece ilke olarak DPF ile kapsanır. Cihaza erişim için onay yükümlülüğü bundan bağımsız olarak devam eder.

GA'nın onaydan önce yüklenip yüklenmediğini nasıl kontrol ederim?

Sayfayı gizli pencerede açın, geliştirici araçlarında “Ağ” sekmesinde “google” ile filtreleyin ve banner'ı onaylamadan sayfayı yükleyin. google-analytics.com veya googletagmanager.com'a istekler görünürse etiket çok erken tetikleniyordur.

Bir ihlalde ne olur?

Denetim makamları işlemeyi yasaklayabilir ve para cezası verebilir; ilgili kişiler GDPR m. 82 uyarınca tazminat talep edebilir. Uygulamada önce şikâyetler ve idari uyarılar ön plandadır.

consentglass nasıl yardımcı olur

Ücretsiz kontrol, sunulan HTML'yi analiz eder ve hangi hizmetlerin gömülü olduğunu, çerez banner'ının tespit edilip edilmediğini ve gizlilik ile iletişim bilgilerine bağlantıların bulunup bulunmadığını her bulgu için bir sınıflandırmayla gösterir. Hukuki danışmanlığın yerini tutmaz.