Соответствует ли Google Analytics требованиям GDPR? Ответ для ЕС

Соответствует ли Google Analytics требованиям GDPR? Не напрямую, и слово «запрещён» здесь неверное. С 2022 года несколько органов защиты данных ЕС постановили, что стандартные внедрения Google Analytics нарушали GDPR, отправляя данные посетителей из ЕС в США, где они доступны в рамках американского законодательства о слежке. Затем Data Privacy Framework между ЕС и США 2023 года восстановил законный механизм передачи, так что сегодня GA работает на той же основе «соответствие через передачу», что и любой американский инструмент, а не на устоявшейся почве резидентности данных в ЕС.

Этот нюанс важен, поэтому этот материал - честная версия: что на самом деле постановили регуляторы, что Data Privacy Framework исправил, а что нет, и какие есть альтернативы в ЕС, если вы хотите, чтобы вопрос отпал сам собой. Это материал из compliance-кластера, поэтому решения регуляторов процитированы. О более широком переходе с американских инструментов рассказывает статья Европейские альтернативы американскому SaaS: руководство по суверенитету.

Что на самом деле постановили регуляторы

Спор реален, и он возник раньше нынешнего фреймворка.

Начиная с 2022 года органы защиты данных Австрии, Франции, Италии, Дании и других стран установили, что стандартные настройки Google Analytics нарушали GDPR. Разъяснение французского CNIL читается яснее всего: проблема заключалась в передаче данных посетителей из ЕС в США, где законодательство о слежке (в частности, раздел 702 FISA) делает их доступными способом, который Глава V GDPR о международных передачах данных не допускает без адекватных гарантий. В тот момент эти гарантии как раз рухнули после решения по делу Schrems II, поэтому GA остался незащищённым.

Здесь важно не путать два момента. Решения были направлены против передачи данных, а не против самой аналитики, и предписывали привести всё в соответствие, а не запрещали продукт. Именно это различие пропустили заголовки в духе «GA незаконен».

Исправил ли это Data Privacy Framework?

По большей части он сдвинул проблему, а не устранил её.

Data Privacy Framework между ЕС и США, принятый в 2023 году, дал сертифицированным американским компаниям новое законное основание для передачи данных из ЕС в США, и Google сертифицирован в его рамках. Это напрямую снимает основное возражение решений 2022 года: механизм передачи снова существует. Поэтому жёсткая позиция «любая передача GA незаконна» ослабла.

Оговорки те же, что мы отмечали для позиции Bitly по GDPR. Фреймворк - это третья попытка после того, как Safe Harbour и Privacy Shield оба были отменены, а защитники приватности уже дали понять, что будут оспаривать и его, так что третье решение по делу Schrems - реальный риск. И основание для передачи - лишь одно из ваших обязательств; согласие - другое, и оно никуда не девается.

Слой согласия, о котором все забывают

Даже если бы вопрос передачи данных был полностью закрыт, GA не был бы автоматически соответствующим требованиям в ЕС «из коробки».

Google Analytics устанавливает cookie и обрабатывает персональные данные, поэтому ему требуется действительное, предварительное, информированное согласие до запуска, а также рабочая настройка Consent Mode на случай отказа в согласии. Это обязательство не зависит от того, куда уходят данные. Именно поэтому на стольких сайтах в ЕС GA работает за баннером согласия, который значительная доля посетителей отклоняет, что и так незаметно опустошает данные. Аналитический инструмент без cookie, размещённый в ЕС, обходит и вопрос передачи, и баннер согласия, и это большая часть причины, по которой команды переходят на него.

Что это значит для отслеживания ссылок и кликов

Это не только проблема веб-аналитики, потому что отслеживание ссылок устроено точно так же.

Каждый редирект через сокращатель фиксирует IP-адрес и user-agent - и то, и другое персональные данные идентифицируемых людей, точно так же, как хит GA. Поэтому сокращатель, размещённый в США, поднимает тот же вопрос передачи данных, что и GA. Если вы наводите порядок в своём аналитическом стеке ради GDPR, отслеживание ссылок и кампаний должно попасть в тот же обзор. Хранение данных о кликах внутри ЕС - эквивалентное решение: аналитика Elido хранит данные о кликах в регионе ЕС, а не передаёт их, и начать можно с бесплатного тарифа с включённым DPA для ЕС. Более подробный разбор - в статье GDPR для сокращателей ссылок: что на самом деле хочет видеть ваш DPO.

Обновления GA4 2026 года заслуживают здесь одной оговорки. Google продолжает улучшать сторону измерений, последним примером стал новый канал AI Assistant, который выделяет трафик из ChatGPT и Gemini из Referral в отдельную категорию. Это полезное изменение классификации, но оно ничего не говорит о том, где обрабатываются данные. Более чистый отчёт поверх передачи данных в США - это всё равно передача данных в США.

Альтернативы, размещённые в ЕС

Если вы предпочитаете вообще не разбираться с вопросом передачи данных, европейский рынок аналитики уже достаточно развит, чтобы полностью заменить GA.

• Plausible и Simple Analytics: лёгкие, без cookie, размещены в ЕС; баннер согласия не нужен для базовой статистики.
• Matomo: ближе всего к паритету функций с GA4, с опцией самостоятельного хостинга для полного владения данными.
• Piwik PRO: уровень для крупного бизнеса, размещён в ЕС, со встроенным управлением согласием и тегами.
• Pirsch: простой и бюджетный вариант для небольших команд.

Каждый из них хранит данные внутри ЕС - именно это свойство снимает анализ передачи данных, а не просто управляет им. Сочетайте один из них для аналитики сайта с сокращателем, размещённым в ЕС, для аналитики ссылок - и весь ваш измерительный стек окажется под юрисдикцией ЕС. Более широкий обзор инструмент за инструментом - в статьях Лучшие сокращатели ссылок в ЕС в 2026 году (и почему это важно) и Резидентность данных в ЕС для маркетинговых инструментов: что на самом деле спрашивает ваш DPO.

Что делать прямо сейчас

Вам не нужно вырывать GA сегодня же днём, но стоит перестать считать этот вопрос закрытым.

Три практических шага. Во-первых, убедитесь, что у вас действительно есть действительное согласие и рабочая настройка Consent Mode, потому что это обязательство существует независимо от основания передачи и его легче всего нарушить по ошибке. Во-вторых, проведите обзор защиты данных, который охватывает отслеживание ссылок и кампаний, а не только тег на сайте, поскольку они несут тот же риск передачи. В-третьих, если ваша отрасль или контракт с клиентом требуют обработки только внутри ЕС, спланируйте переход на инструмент, размещённый в ЕС, уже сейчас, а не ждите, пока это заставит сделать следующее судебное решение. Команды, которые справляются с этим хорошо, относятся к нынешнему фреймворку как к отсрочке для миграции, а не как к постоянному решению.

Прочитайте опорную статью

Этот материал входит в compliance-кластер. Опорная статья - GDPR для сокращателей ссылок: что на самом деле хочет видеть ваш DPO. Для сводки, ориентированной на закупки, стоит сохранить solutions/compliance и страницу доверия.

Другие статьи в блоге

• Европейские альтернативы американскому SaaS: руководство по суверенитету
• Соответствует ли Bitly требованиям GDPR? Честный ответ DPO
• Канал AI Assistant в GA4: что он отслеживает и что упускает
• GDPR для сокращателей ссылок: что на самом деле хочет видеть ваш DPO
• Резидентность данных в ЕС для маркетинговых инструментов: что на самом деле спрашивает ваш DPO