Інтеграція Google Analytics відповідно до GDPR

Google Analytics 4 встановлює cookie або зчитує ідентифікатори з пристрою й передає дані про використання до Google (США). Це не технічно необхідний процес.

На практиці це означає: тег Google Analytics можна виконати лише після активної згоди відвідувачів. Банер, який лише показується, поки GA вже завантажується у фоні, не відповідає вимозі § 25 ч. 1 TDDDG — вирішальним є те, що до згоди не завантажується жоден скрипт з googletagmanager.com чи google-analytics.com і не встановлюється жоден ідентифікатор.

Навіть із дієвою згодою передача до США залишається окремою контрольною точкою: від рамкової угоди ЄС–США про захист даних (рішення про адекватність від 10 липня 2023 р.) передача до Google LLC у принципі покрита, доки Google сертифікована в рамках угоди. У політиці конфіденційності все ж слід зазначити одержувача, мету, правову підставу (згода), строк зберігання та підставу передачі.

Хто використовує Google Consent Mode v2, має знати різницю між «basic» та «advanced»: у режимі advanced GA вже до згоди надсилає анонімні пінги без файлів cookie. Чи сумісне це з § 25 TDDDG, фахівці оцінюють по-різному — режим basic (жодної комунікації до згоди) є обережнішим вибором.

Це ризик?

Доступ до пристрою для цілей аналітики за § 25 ч. 1 TDDDG дозволений лише за попередньою згодою; подальша обробка спирається на ст. 6 ч. 1 п. a GDPR. Без дієвої згоди (інструмент завантажується попри відмову або немає банера) бракує правової підстави. Наглядові органи неодноразово заперечували проти інтеграцій Analytics без згоди.

Що ви можете зробити

• Використовуйте інструмент згоди, який виконує тег Analytics лише після активної згоди (а не просто показує банер).
• Запускайте GA4 з анонімізацією IP і без Google Signals, установіть зберігання даних на мінімум.
• У політиці конфіденційності зазначте Google як одержувача, мету (вимірювання охоплення), правову підставу (згода), строк зберігання і передавання до США.
• Перевірте, чи завантажується GA до натискання «Прийняти» — інструменти розробника, вкладка «Мережа», у приватному вікні.

Поширені запитання

Чи достатньо Google Analytics з анонімізацією IP без банера cookie?

Ні. GA4 хоч і анонімізує IP-адреси за замовчуванням, але все ще встановлює або зчитує ідентифікатори на пристрої. Це вимагає згоди відповідно до § 25 ч. 1 TDDDG незалежно від скорочення IP.

Чи став Google Analytics 4 знову безпроблемним завдяки Data Privacy Framework?

Передача до США у принципі покрита DPF, доки Google залишається сертифікованою. Обов'язок згоди на доступ до пристрою існує незалежно від цього.

Як перевірити, чи завантажується GA до згоди?

Відкрийте сторінку в приватному вікні, в інструментах розробника на вкладці «Мережа» відфільтруйте за «google» і завантажте сторінку без підтвердження банера. Якщо з'являються запити до google-analytics.com або googletagmanager.com, тег спрацьовує зарано.

Що відбувається у разі порушення?

Наглядові органи можуть заборонити обробку та накласти штрафи; суб'єкти даних можуть вимагати відшкодування збитків відповідно до ст. 82 GDPR. На практиці спочатку на першому плані скарги та приписи органів.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.