Google AnalyticsはGDPRに準拠しているか？EUでの答え

Google AnalyticsはGDPRに準拠しているのでしょうか。単純にそうとは言えず、「禁止」という言葉もふさわしくありません。2022年以降、複数のEUデータ保護当局が、標準的なGoogle Analyticsの実装は、米国の監視法の下でアクセス可能な米国へEU訪問者データを送信することでGDPRに違反していると判断しました。その後、2023年のEU-US Data Privacy Frameworkが合法的な転送の仕組みを復活させたため、今日のGAは、確立したEU域内保持の土台ではなく、他の米国製ツールと同じ「転送を介した準拠」という立場で動いています。

このニュアンスは重要なので、本稿は正直なバージョンをお届けします。規制当局が実際に何を判断したのか、Data Privacy Frameworkが何を解決し何を解決しなかったのか、そしてこの問題を消し去りたいならどのEUホスティングの代替策があるのか。これはコンプライアンスクラスターの記事であるため、判断内容を出典付きで引用します。米国製ツールから離れるより広い動きについては米国SaaSに代わるEUの選択肢: 主権ガイドが併せて読む記事です。

規制当局が実際に何を判断したのか

この論争は現実のものであり、現行の枠組みより前から続いています。

2022年以降、オーストリア、フランス、イタリア、デンマークなどのデータ保護当局は、標準的なGoogle Analyticsの設定がGDPRに違反すると判断しました。最も分かりやすいのはフランスCNILのガイダンスです。問題はEU訪問者データを米国へ転送することでした。米国では、特にFISA第702条をはじめとする監視法により、GDPR第5章の国際転送に関する規定が求める十分な保護措置なしにはアクセスできないはずのデータへのアクセスが可能になっています。当時、その保護措置はSchrems II判決によってちょうど崩壊したばかりで、GAは無防備な状態に置かれていました。

はっきりさせておくべき点が2つあります。これらの判断が対象としたのはデータ転送であり、アナリティクスそのものではありません。そして命じられたのは是正であり、製品の禁止ではありませんでした。この区別こそ、「GAは違法」という見出しが見落としていた点です。

Data Privacy Frameworkはこれを解決したのか

大部分は、問題を取り除いたというより移動させただけでした。

2023年に採択されたEU-US Data Privacy Frameworkは、認証を受けた米国企業にEUから米国への転送に対する新たな法的根拠を与え、Googleはこの枠組みの下で認証を受けています。これは2022年の判断における核心的な異議に直接応えるものです。今や再び転送の仕組みが存在するのです。したがって、「GAによる転送はすべて違法」という厳格な立場は弱まりました。

留保事項は、BitlyのGDPR対応姿勢について指摘したものと同じです。この枠組みは、Safe HarbourとPrivacy Shieldがいずれも無効化された後の3度目の試みであり、プライバシー擁護派はすでに異議申し立てを示唆しているため、3度目のSchrems判決は現実的なリスクです。そして転送の根拠は義務の一つに過ぎず、同意はもう一つの義務であり、消えてなくなるものではありません。

見落とされがちな同意の層

たとえ転送の問題が完全に決着していたとしても、GAはEUにおいてそのままでは準拠になりません。

Google Analyticsはクッキーを設定し個人データを処理するため、動作する前に有効かつ事前のインフォームド・コンセントが必要であり、さらに同意が拒否された際に正しく振る舞うための機能するConsent Modeの設定も必要です。この義務は、データがどこへ行くかとは独立したものです。だからこそ多くのEUサイトは、訪問者の多くが拒否する同意バナーの裏でGAを動かし、それでも静かにデータを台無しにしているのです。クッキーフリーでEUホスティングのアナリティクスツールなら、転送の問題と同意バナーの両方を回避できます。これがチームが移行する大きな理由です。

リンクとクリックのトラッキングにとって何を意味するか

これはウェブサイトのアナリティクスだけの問題ではありません。リンクトラッキングも同じ構造を持っているからです。

ショートナーを経由するすべてのリダイレクトは、IPアドレスとユーザーエージェントを記録します。これはGAのヒットとまったく同様に、識別可能な個人に関する個人データです。したがって米国拠点のショートナーは、GAと同じ転送の問題を引き起こします。GDPR対応のためにアナリティクススタックを見直しているなら、リンクとキャンペーンのトラッキングも同じレビューの対象に含めるべきです。クリックデータをEU内に留めることが、これに相当する対策です。Elidoのアナリティクスはクリックデータを転送せずEUリージョンに保持しており、EUのDPAを含む無料プランで始めることもできます。より詳しい内容はURLショートナーのGDPRにあります。

ここで、GA4の2026年のアップデートについて一つ留保が必要です。Googleは計測面の改善を続けており、直近ではChatGPTやGeminiのトラフィックをReferralから切り出す新しいAI Assistantチャネルを追加しました。これは分類として有用な変更ですが、データがどこで処理されるかについては何も語っていません。米国への転送の上に成り立つクリーンなレポートは、それでも米国への転送であることに変わりありません。

EUホスティングの代替策

転送の問題そのものを扱いたくないなら、欧州のアナリティクス市場は今やGAを完全に置き換えられるほど成熟しています。

• PlausibleとSimple Analytics: 軽量でクッキーフリー、EUホスティング。基本的な統計には同意バナーが不要です。
• Matomo: GA4に最も近い機能を持ち、データを完全に自社所有できる自社ホスティングのオプションがあります。
• Piwik PRO: エンタープライズグレードでEUホスティング、同意管理とタグ管理が組み込まれています。
• Pirsch: 小規模チーム向けにシンプルで予算に優しい選択肢です。

いずれもデータをEU内に留めるという性質を持っており、これは転送の問題を管理するのではなく取り除くものです。サイトアナリティクスにはこれらのいずれか、リンクアナリティクスにはEUホスティングのショートナーを組み合わせれば、計測スタック全体がEUの管轄下に収まります。ツールごとのより広い視点については、2026年版 EUのベストURLショートナー（そしてそれが重要な理由）とマーケティングツールのEUデータ所在地：DPOが実際に問うことがスタックの残りをカバーしています。

今すぐすべきこと

今日の午後にGAを引き剥がす必要はありませんが、この問題を決着済みとして扱うのはやめるべきです。

実践的なステップは3つです。第一に、有効な同意と機能するConsent Modeの設定を実際に持っているか確認してください。この義務は転送の根拠にかかわらず存在し、最も間違えやすい部分です。第二に、ウェブサイトのタグだけでなく、リンクとキャンペーンのトラッキングも対象に含めたデータ保護レビューを実施してください。両者は同じ転送リスクを抱えています。第三に、自社の業界や取引先の契約がEU限定の処理を求めている場合は、次の裁判所の判断で強制されるのを待つのではなく、今のうちにEUホスティングのツールへの移行を計画してください。この問題をうまく扱っているチームは、現行の枠組みを恒久的な解決策としてではなく、その下で移行するための猶予期間として扱っています。

コーナーストーンを読む

本稿はコンプライアンスクラスターに属します。コーナーストーンはURLショートナーのGDPRです。調達担当者向けの要約としては、solutions/complianceとtrustページの2つをブックマークしておくとよいでしょう。

ブログの関連記事

• 米国SaaSに代わるEUの選択肢: 主権ガイド
• BitlyはGDPRに準拠しているか? DPOによる本音の回答
• GA4のAI Assistantチャネル：何を追跡し、何を見逃すのか
• URL ショートナーの GDPR：DPO が本当に確認したいこと
• マーケティングツールのEUデータ所在地：DPOが実際に問うこと