Google Analytics a RODO: jak ustawić GA4 zgodnie z prawem

Czy Google Analytics jest zgodny z RODO?

Google Analytics 4 (GA4) możesz używać zgodnie z RODO, jeśli zadbasz o kilka rzeczy: zgodę użytkownika przed zapisaniem plików cookies, zaakceptowane warunki przetwarzania danych Google, oszczędne ustawienia GA4 i rzetelną informację w polityce prywatności. Samo wklejenie kodu GA4 na stronę tego nie zapewnia.

RODO to polska nazwa unijnego rozporządzenia o ochronie danych osobowych. Obok niego obowiązuje art. 399 Prawa komunikacji elektronicznej, który mówi, kiedy wolno zapisać plik cookie w urządzeniu użytkownika. Pliki cookies GA4 nie są niezbędne do świadczenia usługi, o którą prosi użytkownik, dlatego wymagają zgody. Urząd Ochrony Danych Osobowych (UODO) w swoim biuletynie wskazuje, że użytkownik musi wyrazić świadomą i jednoznaczną zgodę w szczególności na pliki cookies wykorzystywane w celach marketingowych i analitycznych. Ten artykuł nie stanowi porady prawnej.

Krok 1: umowa powierzenia z Google

Umowa powierzenia przetwarzania danych określa, że dostawca przetwarza dane osobowe tylko na Twoje polecenie. W przypadku Google Analytics nie musisz jej przygotowywać sam. Google udostępnia standardowe warunki przetwarzania danych, które przeglądasz i akceptujesz w ustawieniach konta Google Analytics. Sprawdź przy okazji, czy dane kontaktowe firmy na koncie są aktualne.

Jeśli kontem GA4 zarządza agencja lub freelancer, to także on przetwarza dane w Twoim imieniu. Zawrzyj z nim osobną umowę powierzenia i nadaj dostęp przez zarządzanie użytkownikami w Google Analytics, a nie przez udostępnienie hasła. Każdej osobie nadawaj tylko takie uprawnienia, jakich potrzebuje do pracy, i usuwaj dostęp, gdy współpraca się kończy. Lista użytkowników w panelu administracyjnym pokazuje, kto ma dziś dostęp do danych, a przy kontroli łatwo ją przedstawić.

→ Baner cookie z trybem Consent Mode v2: zgodny z prawem, bez miesięcznej licencji

Krok 2: oszczędne ustawienia GA4

Kilka ustawień w panelu administracyjnym GA4 decyduje o tym, ile danych zbierasz i komu je udostępniasz. Przejrzyj je na poziomie konta i usługi:

W sprawie adresów IP Google podaje, że GA4 ich nie rejestruje ani nie przechowuje. Osobne ustawienie anonimizacji IP, znane ze starego Universal Analytics, w GA4 nie istnieje. Pilnuj za to, abyś sam nie wysyłał danych osobowych, na przykład adresu e-mail w adresie URL strony podziękowania.

Krok 3: zgoda przez Consent Mode v2

Google Consent Mode v2 (tryb zgody Google) przekazuje decyzję z banera do GA4 i pozostałych tagów Google. Ustaw domyślną wartość analytics_storage na „denied” i pozwól, aby baner zmieniał ją na „granted” dopiero po zgodzie. Jeśli korzystasz z Google Ads, zrób to samo dla ad_storage, ad_user_data i ad_personalization.

Bez zgody GA4 nie zapisuje wtedy plików cookies. W wariancie zaawansowanym tagi mogą wysyłać sygnały bez plików cookies, na podstawie których Google modeluje brakujące dane. To, czy chcesz korzystać z tego wariantu, warto ustalić z osobą odpowiedzialną za ochronę danych w firmie. Zachowanie GA4 w obu sytuacjach sprawdź w trybie podglądu Google Tag Managera.

→ Konfiguracja Google Consent Mode v2: brak ostrzeżeń w Tag Assistant

Krok 4: przekazywanie danych do USA

Google jest firmą amerykańską i dane z GA4 mogą trafiać do Stanów Zjednoczonych. Od 10 lipca 2023 r. obowiązuje decyzja Komisji Europejskiej stwierdzająca odpowiedni poziom ochrony w ramach EU-US Data Privacy Framework, dla firm amerykańskich, które przystąpiły do tych ram. Na oficjalnej liście Data Privacy Framework sprawdzisz, czy Google LLC w nich uczestniczy. Wspomnij o tym transferze w polityce prywatności.

Krok 5: polityka prywatności i Google Analytics

Polityka prywatności musi wyjaśniać, co dzieje się z danymi odwiedzających. W części o Google Analytics powinny się znaleźć co najmniej:

• informacja, że korzystasz z Google Analytics 4 i w jakim celu, na przykład do ulepszania strony i kampanii;
• jakie dane są przetwarzane i jak długo są przechowywane;
• informacja, że Google działa jako podmiot przetwarzający i że dane mogą trafiać do USA;
• podstawa prawna przetwarzania, zwykle zgoda;
• sposób wycofania zgody, na przykład stały link do ustawień cookies.

Oprócz polityki prywatności wiele firm prowadzi osobną politykę cookies z tabelą plików: nazwa, dostawca, cel i czas przechowywania. Dla GA4 będą to przede wszystkim pliki _ga oraz _ga_ z identyfikatorem usługi. Pamiętaj, aby tabelę aktualizować po każdej zmianie narzędzi. Jeśli dodasz Google Ads, Meta Pixel albo nową wtyczkę, w przeglądarce pojawią się nowe pliki, a polityka, która ich nie wymienia, przestaje odpowiadać rzeczywistości. Porównanie tabeli z tym, co przeglądarka pokazuje po akceptacji, szybko ujawnia takie różnice.

Jak sprawdzić, czy GA4 ładuje się dopiero po zgodzie?

Dobre ustawienia w panelu nie gwarantują jeszcze, że strona działa tak, jak powinna. Otwórz ją w oknie prywatnym i w narzędziach dla programistów, w zakładce Application lub Pamięć, sprawdź pliki cookies przed jakimkolwiek wyborem w banerze. Pliki zaczynające się od _ga należą do Google Analytics i na tym etapie nie powinno ich być.

Kliknij „Odrzucam” i odśwież stronę: pliki _ga nadal nie powinny się pojawić. Po kliknięciu „Akceptuję” powinny pojawić się od razu, na tej samej stronie, bez dodatkowego klikania. W zakładce Sieć zobaczysz, czy przeglądarka wysyła zapytania do Google Analytics. Bez zgody mogą to być wyłącznie sygnały bez plików cookies, i tylko wtedy, gdy świadomie wybrałeś zaawansowany wariant Consent Mode. Na koniec w raporcie DebugView w GA4 sprawdź, czy Twoja testowa wizyta po akceptacji rzeczywiście dociera do usługi.

Ten test warto powtarzać po każdej aktualizacji szablonu, wtyczek albo banera. Właśnie przy takich zmianach najczęściej zdarza się, że kod GA4 zostaje dodany drugi raz, z pominięciem Google Tag Managera, i ładuje się bez zgody.

Przykład: biuro rachunkowe z formularzem kontaktowym

Biuro rachunkowe z Krakowa korzysta z GA4, aby sprawdzić, które usługi przynoszą najwięcej zapytań. Podczas kontroli okazuje się, że strona podziękowania dopisuje imię i adres e-mail nadawcy do adresu URL, przez co dane trafiają do GA4. Po poprawce formularz wysyła tylko zdarzenie generate_lead bez danych osobowych, okres przechowywania wynosi 2 miesiące, a GA4 ładuje się dopiero po zgodzie. Biuro widzi teraz w GA4 mniej odwiedzin niż wcześniej, ale proporcje między usługami są nadal widoczne, a o to chodziło.

Trackum konfiguruje to za stałą cenę: wdrożenie za 150 € netto (plus VAT) obejmuje Google Tag Managera, GA4, Consent Mode v2 i do 15 zdarzeń, przetestowane ze zgodą i bez niej, z uruchomieniem w ciągu jednego dnia roboczego. Dostęp odbywa się przez zarządzanie użytkownikami w Google Tag Managerze, bez przekazywania haseł.