Är Google Analytics lagligt? IMY:s besked

Det korta svaret

Vi sätter upp båda i vårt arbete med mätning och analys. Det här är inte juridisk rådgivning; det är vad vi säger till kunder innan de väljer.

Vad IMY beslutade och varför

Besluten följde på klagomål som lämnats in i hela Europa efter EU-domstolens Schrems II-dom 2020, som ogiltigförklarade det tidigare överföringsarrangemanget mellan EU och USA. IMY granskade fyra företag som använde Google Analytics och fann att datan som skickades till Google i USA, inklusive identifierare som kunde kombineras med annan data för att peka ut en person, var personuppgifter, och att standardavtalsklausulerna och de tekniska åtgärder företagen lagt till inte skyddade den tillräckligt mot amerikansk övervakningslagstiftning. Två företag fick sanktionsavgifter; alla förelades att sluta använda verktyget som det var inställt. Kärnan i beslutet gällde överföringen, inte webbanalys som sådan.

Ramverket för dataöverföring EU–USA

I juli 2023 antog EU-kommissionen ett beslut om adekvat skyddsnivå för dataskyddsramverket mellan EU och USA. Företag i USA som certifierar sig under det anses erbjuda tillräckligt skydd, och överföringar till dem behöver inte de standardavtalsklausuler och kompletterande åtgärder som IMY fann otillräckliga. Google LLC är certifierat. I praktiken gäller det specifika skäl IMY angav inte längre för en överföring som omfattas av ramverket. Förbehållet varje försiktig rådgivare lägger till: de två tidigare arrangemangen underkändes av domstolen, det nuvarande har ifrågasatts, och ett företag som bygger hela sin mätning på det bör veta att marken kan röra sig igen.

Samtycke och inställningar

Överföringsfrågan var aldrig den enda. Google Analytics sätter kakor, som enligt lagen om elektronisk kommunikation kräver samtycke i förväg, och det behandlar personuppgifter, vilket enligt GDPR kräver rättslig grund, biträdesavtal och öppenhet. En GA4-uppsättning som skulle klara en noggrann granskning ser ut så här:

• Samtyckesbanner där avböj är lika enkelt som godkänn, och samtyckesläge inställt så att inget GA4-anrop skickas före samtycke.
• Googles villkor för personuppgiftsbehandling godkända i egendomens admin, och Google angivet som biträde i er integritetspolicy med USA-överföringen förklarad.
• Google Signals avstängt om ni inte har ett specifikt behov, så att data inte kopplas till inloggade Google-konton för annonsering.
• Lagringstid satt bara så länge ni behöver, begäranden om radering på användarnivå hanterade, och inga personuppgifter som mejladresser skickade i adresser eller händelser.
• Helst taggning på serversidan i en EU-region, så att IP-adresser och identifierare kan klippas innan något når Google.

Vår guide till GA4 går igenom konfigurationssidan av den listan steg för steg.

Alternativ med lagring i EU

Det enklaste sättet att slippa hela diskussionen är att mäta utan att överföra personuppgifter till USA och, helst, utan kakor. Verktyg som Plausible, Matomo, Fathom och Umami kan hostas i EU eller på egen server, räknar besök utan kaka och ger rapporter som täcker det de flesta småföretag faktiskt tittar på: besök, sidor, källor, länder och en handfull mål. Det ni avstår är Googles demografiska målgruppsdata, den djupa integrationen med Google Ads och gratispriset. Vi jämför dem i vår guide om webbanalys utan kakor.

Ett riskbaserat beslut

När ni inte behöver hjälp med det här: en sajt som redan har en korrekt banner och ingen annonsering kan byta till ett kakfritt verktyg på en eftermiddag med verktygets egen guide. När ni behöver det: annonserar ni i Google Ads och behöver attribution som tillfredsställer både marknadsföringen och integritetsgranskningen är konfigurationen pillig och värd att göra en gång, ordentligt. Boka ett samtal med er nuvarande uppsättning så säger vi vilket av de fyra fallen ni befinner er i; det fasta priset för en komplett mätuppsättning finns på prissidan.

Vanliga frågor