Czy Google Analytics jest zgodny z RODO? Odpowiedź dla UE

Czy Google Analytics jest zgodny z RODO? Nie wprost, a "zakazany" to złe słowo. Od 2022 roku kilka unijnych organów ochrony danych orzekło, że standardowe wdrożenia Google Analytics naruszały RODO, wysyłając dane odwiedzających z UE do USA, gdzie są dostępne na mocy amerykańskiego prawa nadzoru. Data Privacy Framework UE-USA z 2023 roku przywrócił następnie legalny mechanizm transferu, więc dziś GA działa na tej samej zasadzie zgodności-przez-transfer co dowolne narzędzie z USA, a nie na ugruntowanym gruncie rezydencji danych w UE.

Ten niuans ma znaczenie, więc ten artykuł to uczciwa wersja: co regulatorzy faktycznie orzekli, co Data Privacy Framework naprawił, a czego nie, oraz jakie są hostowane w UE alternatywy, jeśli chcesz, żeby ten problem zniknął. To tekst z klastra compliance, więc decyzje są cytowane. Dla szerszego spojrzenia na odejście od narzędzi z USA towarzyszy mu artykuł Europejskie alternatywy dla amerykańskiego SaaS: przewodnik po suwerenności.

Co faktycznie orzekli regulatorzy

Kontrowersja jest prawdziwa i poprzedza obecne ramy prawne.

Począwszy od 2022 roku, organy ochrony danych Austrii, Francji, Włoch, Danii i innych krajów uznały, że standardowe konfiguracje Google Analytics naruszały RODO. Wytyczne francuskiego CNIL czyta się najjaśniej: problemem był transfer danych odwiedzających z UE do USA, gdzie prawo nadzoru (w szczególności FISA Section 702) czyni je dostępnymi w sposób, na jaki Rozdział V RODO dotyczący transferów międzynarodowych nie zezwala bez odpowiednich zabezpieczeń. W tamtym czasie te zabezpieczenia właśnie upadły wraz z orzeczeniem Schrems II, więc GA został wystawiony na ryzyko.

Dwie rzeczy warto rozdzielić. Orzeczenia dotyczyły transferu danych, a nie samej analityki, i nakazywały doprowadzenie do zgodności, a nie zakaz produktu. To rozróżnienie pominęły nagłówki w stylu "GA jest nielegalny".

Czy Data Privacy Framework to naprawił?

Głównie przesunął problem, zamiast go usunąć.

Data Privacy Framework UE-USA, przyjęty w 2023 roku, dał certyfikowanym firmom z USA nową podstawę prawną dla transferów UE-USA, a Google jest w jego ramach certyfikowany. To bezpośrednio odpowiada na główny zarzut z orzeczeń z 2022 roku: znów istnieje mechanizm transferu. Ścisłe stanowisko "każdy transfer GA jest niezgodny z prawem" osłabło więc.

Zastrzeżenia są takie same, jakie zaznaczyliśmy przy okazji postawy Bitly wobec RODO. Te ramy to trzecia próba po tym, jak zarówno Safe Harbour, jak i Privacy Shield zostały obalone, a obrońcy prywatności zasygnalizowali wyzwanie prawne, więc trzeci wyrok w stylu Schrems to realne ryzyko. A podstawa transferu to tylko jeden z Twoich obowiązków; zgoda to drugi i nie znika.

Warstwa zgody, o której ludzie zapominają

Nawet gdyby kwestia transferu była w pełni rozstrzygnięta, GA nie byłby zgodny z RODO w UE od razu po podłączeniu.

Google Analytics ustawia pliki cookie i przetwarza dane osobowe, więc potrzebuje ważnej, uprzedniej, świadomej zgody, zanim zacznie działać, plus działającej konfiguracji Consent Mode, żeby zachowywać się poprawnie, gdy zgoda zostanie odrzucona. Ten obowiązek jest niezależny od tego, dokąd trafiają dane. Dlatego tak wiele stron w UE uruchamia GA za bannerem zgody, który spora część odwiedzających odrzuca, co i tak po cichu wypacza dane. Hostowane w UE narzędzie analityczne bez cookies omija zarówno kwestię transferu, jak i banner zgody, co w dużej mierze tłumaczy, dlaczego zespoły się przełączają.

Co to oznacza dla śledzenia linków i kliknięć

To nie jest wyłącznie problem analityki strony internetowej, bo śledzenie linków ma ten sam kształt.

Każde przekierowanie przez skracacz rejestruje adres IP i user-agent, oba będące danymi osobowymi możliwych do zidentyfikowania osób, dokładnie tak jak trafienie GA. Skracacz z siedzibą w USA rodzi więc dokładnie to samo pytanie o transfer co GA. Jeśli zaostrzasz swój stos analityczny pod kątem RODO, śledzenie linków i kampanii należy do tego samego przeglądu. Zatrzymanie danych o kliknięciach w UE to równoważna poprawka: analityka Elido przechowuje dane o kliknięciach w regionie UE zamiast je przekazywać, a Ty możesz zacząć na darmowym planie z dołączoną unijną DPA. Pełniejsze omówienie znajduje się w artykule RODO dla skracaczy URL: czego naprawdę chce Twój DPO.

Aktualizacje GA4 z 2026 roku zasługują tutaj na jedno zastrzeżenie. Google wciąż ulepsza stronę pomiarową, ostatnio przez nowy kanał AI Assistant, który wydziela ruch z ChatGPT i Gemini z kategorii Referral. To użyteczna zmiana klasyfikacji, ale nic nie mówi o tym, gdzie przetwarzane są dane. Czystszy raport zbudowany na transferze do USA to nadal transfer do USA.

Alternatywy hostowane w UE

Jeśli wolisz w ogóle nie zarządzać kwestią transferu, europejski rynek analityczny jest już na tyle rozwinięty, żeby całkowicie zastąpić GA.

• Plausible i Simple Analytics: lekkie, bez cookies, hostowane w UE; brak banneru zgody potrzebnego dla podstawowych statystyk.
• Matomo: najbliżej parytetu funkcji z GA4, z opcją self-hostingu dla pełnej własności danych.
• Piwik PRO: klasy enterprise, hostowane w UE, z wbudowanym zarządzaniem zgodą i tagami.
• Pirsch: proste i przyjazne budżetowi dla mniejszych zespołów.

Każde z nich zatrzymuje dane w UE, a to właśnie ta właściwość usuwa analizę transferu, zamiast nią zarządzać. Zestaw jedno z nich dla analityki strony z hostowanym w UE skracaczem do analityki linków, a cały Twój stos pomiarowy znajdzie się pod jurysdykcją UE. Dla szerszego spojrzenia narzędzie po narzędziu, najlepsze skracacze URL w UE i rezydencja danych UE dla marketingu opisują resztę stosu.

Co zrobić już teraz

Nie musisz wyrywać GA jeszcze dziś po południu, ale powinieneś przestać traktować tę kwestię jako zamkniętą.

Trzy praktyczne kroki. Po pierwsze, potwierdź, że faktycznie masz ważną zgodę i działającą konfigurację Consent Mode, bo ten obowiązek obowiązuje niezależnie od podstawy transferu i najłatwiej go zepsuć. Po drugie, przeprowadź przegląd ochrony danych obejmujący śledzenie Twoich linków i kampanii, nie tylko tag na stronie, bo niosą one to samo ryzyko transferowe. Po trzecie, jeśli Twoja branża albo umowa z klientem wymaga przetwarzania wyłącznie w UE, zaplanuj teraz przejście na narzędzie hostowane w UE, zamiast czekać, aż wymusi to kolejne orzeczenie sądu. Zespoły, które radzą sobie z tym dobrze, traktują obecne ramy jako okres przejściowy na migrację, a nie stałe rozwiązanie.

Przeczytaj artykuł-podstawę

Ten tekst należy do klastra compliance. Artykułem-podstawą jest RODO dla skracaczy URL: czego naprawdę chce Twój DPO. Dla podsumowania zorientowanego na zakupy, solutions/compliance i strona zaufania to dwa artefakty warte zapisania w zakładkach.

Powiązane na blogu

• Europejskie alternatywy dla amerykańskiego SaaS: przewodnik po suwerenności
• Czy Bitly jest zgodny z RODO? Szczera odpowiedź DPO
• Kanał AI Assistant w GA4: co śledzi, a czego nie widzi
• RODO dla skracaczy URL: czego naprawdę chce Twój DPO
• Rezydencja danych UE dla narzędzi marketingowych: co naprawdę pyta twój IOD