依 GDPR 要求嵌入 Google Analytics

Google Analytics 4 會設定 Cookie 或從裝置讀取識別碼，並將使用資料傳送給 Google（美國）。這不是技術上必要的處理程序。

在實務上這意味著：Google Analytics 標籤只能在訪客主動同意後才能執行。僅在 GA 已在背景載入時顯示橫幅，並不滿足 TDDDG 第 25 條第 1 項的要求——關鍵在於同意前不載入任何來自 googletagmanager.com 或 google-analytics.com 的指令碼，也不設定任何識別碼。

即使有正常運作的同意，向美國的傳輸仍是一個單獨的檢查點：自歐盟–美國資料隱私框架（2023 年 7 月 10 日充分性決定）以來，只要 Google 在該框架下獲得認證，向 Google LLC 的傳輸原則上即受保護。隱私權政策中仍應說明接收方、目的、法律依據（同意）、儲存期限和傳輸依據。

使用 Google Consent Mode v2 的人應瞭解「basic」和「advanced」之間的區別：在 advanced 模式下，GA 在同意前就已傳送匿名的無 Cookie ping。這是否與 TDDDG 第 25 條相容，專家評價不一——basic 模式（同意前完全不通訊）是較謹慎的選擇。

這是風險嗎？

依《德國電信數位服務資料保護法》第 25 條第 1 項，僅在事先取得同意的情況下才允許為分析目的存取裝置；後續處理依《GDPR》第 6 條第 1 項第 a 款。若沒有真正生效的同意機制（即使拒絕，工具仍會載入，或根本沒有橫幅），則缺乏法律依據。監管機關曾多次對未經同意即整合 Analytics 的做法提出異議。

您可以怎麼做

• 使用一種同意管理工具，使 Analytics 標籤僅在取得主動同意後才執行（而不僅是顯示一個橫幅）。
• 執行 GA4 時啟用 IP 匿名化並關閉 Google 信號，並將資料保留時間設為最短。
• 在隱私權政策中說明 Google 為資料接收方、目的（觸及率測量）、法律依據（同意）、儲存期限以及向美國的資料傳輸。
• 請在無痕視窗中，透過開發者工具的「網路」分頁檢查 GA 是否在點擊「同意」之前就已載入。

常見問題

帶 IP 匿名化的 Google Analytics 在沒有 Cookie 橫幅的情況下夠了嗎？

不。GA4 雖然預設匿名化 IP 位址，但仍在裝置上設定或讀取識別碼。無論 IP 是否縮短，這都需要根據 TDDDG 第 25 條第 1 項取得同意。

由於 Data Privacy Framework，Google Analytics 4 是否又沒有問題了？

只要 Google 保持認證，向美國的傳輸原則上即受 DPF 保護。對存取裝置的同意義務與此無關，仍然存在。

如何檢查 GA 是否在同意前載入？

在隱私視窗中開啟頁面，在開發者工具的「網路」標籤中按「google」篩選，在不確認橫幅的情況下載入頁面。如果出現對 google-analytics.com 或 googletagmanager.com 的請求，說明標籤觸發得太早。

違規會怎樣？

監理機關可以禁止處理並處以罰款；資料主體可根據 GDPR 第 82 條主張損害賠償。實務中首先是投訴和當局的要求。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。