符合 GDPR 要求嵌入 Google Analytics

Google Analytics 4 会设置 Cookie 或从设备读取标识符，并将使用数据传输给 Google（美国）。这不是技术上必要的操作。

在实践中这意味着：Google Analytics 标签只能在访问者主动同意后才能执行。仅在 GA 已在后台加载时显示横幅，并不满足 TDDDG 第 25 条第 1 款的要求——关键在于同意前不加载任何来自 googletagmanager.com 或 google-analytics.com 的脚本，也不设置任何标识符。

即使有正常运作的同意，向美国的传输仍是一个单独的检查点：自欧盟–美国数据隐私框架（2023 年 7 月 10 日充分性决定）以来，只要 Google 在该框架下获得认证，向 Google LLC 的传输原则上即受保护。隐私政策中仍应说明接收方、目的、法律依据（同意）、存储期限和传输依据。

使用 Google Consent Mode v2 的人应了解“basic”和“advanced”之间的区别：在 advanced 模式下，GA 在同意前就已发送匿名的无 Cookie ping。这是否与 TDDDG 第 25 条相容，专家评价不一——basic 模式（同意前完全不通信）是更谨慎的选择。

这是风险吗？

根据《德国电信数字服务数据保护法》第 25 条第 1 款，仅在事先获得同意的情况下才允许出于分析目的访问设备；后续处理依据《GDPR》第 6 条第 1 款 a 项。如果没有真正生效的同意机制（即使拒绝了工具仍会加载，或根本没有横幅），则缺乏法律依据。监管机构多次对未经同意即集成 Analytics 的做法提出异议。

您可以怎么做

• 使用一种同意管理工具，使 Analytics 标签仅在获得主动同意后才执行（而不仅仅是显示一个横幅）。
• 运行 GA4 时启用 IP 匿名化并关闭 Google 信号，并将数据保留时间设置为最短。
• 在隐私政策中说明 Google 为数据接收方、目的（覆盖率测量）、法律依据（同意）、存储期限以及向美国的数据传输。
• 请在隐私窗口中，通过开发者工具的「网络」标签检查 GA 是否在点击「同意」之前就已加载。

常见问题

带 IP 匿名化的 Google Analytics 在没有 Cookie 横幅的情况下够了吗？

不。GA4 虽然默认匿名化 IP 地址，但仍在设备上设置或读取标识符。无论 IP 是否缩短，这都需要根据 TDDDG 第 25 条第 1 款取得同意。

由于 Data Privacy Framework，Google Analytics 4 是否又没有问题了？

只要 Google 保持认证，向美国的传输原则上即受 DPF 保护。对访问设备的同意义务与此无关，仍然存在。

如何检查 GA 是否在同意前加载？

在隐私窗口中打开页面，在开发者工具的“网络”标签中按“google”筛选，在不确认横幅的情况下加载页面。如果出现对 google-analytics.com 或 googletagmanager.com 的请求，说明标签触发得太早。

违规会怎样？

监管机构可以禁止处理并处以罚款；数据主体可根据 GDPR 第 82 条主张损害赔偿。实践中首先是投诉和当局的要求。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。