Чи відповідає Google Analytics вимогам GDPR? Відповідь для ЄС

Чи відповідає Google Analytics вимогам GDPR? Не однозначно, і слово «заборонений» тут не підходить. Починаючи з 2022 року кілька органів захисту даних ЄС визнали, що стандартні впровадження Google Analytics порушували GDPR, надсилаючи дані відвідувачів з ЄС до США, де вони доступні за американським законодавством про стеження. Data Privacy Framework між ЄС і США 2023 року згодом відновив легальний механізм передачі, тож сьогодні GA працює на тій самій основі «відповідності через передачу», що й будь-який американський інструмент, а не на усталеній основі резидентності в ЄС.

Цей нюанс важливий, тож ця стаття - чесна версія: що насправді постановили регулятори, що Data Privacy Framework виправив, а що ні, і які альтернативи розміщені в ЄС, якщо ви хочете, щоб питання зникло. Це матеріал з кластера комплаєнсу, тож рішення цитуються. Про ширший перехід від американських інструментів розповідає Європейські альтернативи американському SaaS.

Що насправді постановили регулятори

Суперечка справжня, і вона існувала ще до нинішнього механізму.

Починаючи з 2022 року органи захисту даних Австрії, Франції, Італії, Данії та інших країн визнали, що стандартні налаштування Google Analytics порушували GDPR. Роз'яснення французького CNIL читається найзрозуміліше: проблемою була передача даних відвідувачів з ЄС до США, де законодавство про стеження (зокрема стаття 702 FISA) робить їх доступними так, як не дозволяє Розділ V GDPR про міжнародні передачі без належних гарантій. На той момент ці гарантії щойно зникли через рішення Schrems II, тож GA залишився вразливим.

Дві речі варто розрізняти. Рішення були спрямовані на передачу даних, а не на саму аналітику, і вони зобов'язали привести все у відповідність, а не заборонили продукт. Саме цю відмінність пропускали заголовки на кшталт «GA - це незаконно».

Чи виправив ситуацію Data Privacy Framework?

Здебільшого він перемістив проблему, а не усунув її.

Data Privacy Framework між ЄС і США, ухвалений у 2023 році, дав сертифікованим американським компаніям нову законну підставу для передач з ЄС до США, і Google сертифікований за ним. Це безпосередньо усуває основне заперечення з рішень 2022 року: механізм передачі знову існує. Тож жорстка позиція «будь-яка передача GA незаконна» послабшала.

Застереження ті самі, які ми відзначали для позиції Bitly щодо GDPR. Цей механізм - третя спроба після того, як і Safe Harbour, і Privacy Shield були скасовані, а захисники приватності вже сигналізували про оскарження, тож третє рішення на кшталт Schrems - це реальний ризик. І підстава для передачі - лише одне з ваших зобов'язань; згода - інше, і воно нікуди не зникає.

Шар згоди, про який усі забувають

Навіть якби питання передачі було остаточно вирішене, GA не був би автоматично відповідним вимогам у ЄС.

Google Analytics встановлює кукі й обробляє персональні дані, тому йому потрібна дійсна, попередня, поінформована згода перед запуском, а також робоче налаштування Consent Mode, щоб коректно поводитися, коли в згоді відмовлено. Це зобов'язання не залежить від того, куди йдуть дані. Саме тому так багато сайтів у ЄС запускають GA за банером згоди, який велика частка відвідувачів відхиляє, що все одно непомітно спустошує дані. Інструмент аналітики без кукі, розміщений у ЄС, обходить одразу і питання передачі, і банер згоди, що значною мірою пояснює, чому команди переходять на нього.

Що це означає для відстеження посилань і кліків

Це не лише проблема веб-аналітики, бо відстеження посилань має ту саму форму.

Кожен редирект через скорочувач записує IP-адресу і user-agent - і те, і те є персональними даними ідентифікованих людей, точнісінько як хіт GA. Тож скорочувач, розміщений у США, ставить те саме питання передачі, що й GA. Якщо ви наводите лад у своєму стеку аналітики заради GDPR, відстеження посилань і кампаній має входити в той самий перегляд. Тримати дані про кліки в ЄС - еквівалентне рішення: аналітика Elido зберігає дані про кліки в регіоні ЄС, а не передає їх, і ви можете почати з безкоштовного плану, який включає DPA для ЄС. Глибший розгляд - у статті GDPR для сервісів скорочення посилань.

Оновлення GA4 у 2026 році заслуговують на одне застереження тут. Google продовжує покращувати вимірювальну частину, останнім часом - новий канал AI Assistant, який виокремлює трафік ChatGPT і Gemini з Referral. Це корисна зміна класифікації, але вона нічого не каже про те, де обробляються дані. Чистіший звіт поверх передачі до США - це все одно передача до США.

Альтернативи, розміщені в ЄС

Якщо ви взагалі не хочете мати справу з питанням передачі, європейський ринок аналітики вже достатньо розвинений, щоб повністю замінити GA.

• Plausible і Simple Analytics: легкі, без кукі, розміщені в ЄС; банер згоди не потрібен для базової статистики.
• Matomo: найближче до паритету функцій з GA4, із варіантом самостійного розміщення для повного володіння даними.
• Piwik PRO: рівень для великого бізнесу, розміщений в ЄС, із вбудованим керуванням згодою і тегами.
• Pirsch: простий і бюджетний варіант для невеликих команд.

Кожен із них зберігає дані в межах ЄС, а це та властивість, яка усуває аналіз передачі замість того, щоб просто керувати ним. Поєднайте один із них для аналітики сайту зі скорочувачем, розміщеним у ЄС, для аналітики посилань, і весь ваш вимірювальний стек опиниться під юрисдикцією ЄС. Ширший огляд інструмент за інструментом - у статтях найкращі URL-скорочувачі в ЄС і резидентність даних в ЄС для маркетингу.

Що робити прямо зараз

Вам не потрібно вирвати GA сьогодні ж, але варто перестати вважати це питання закритим.

Три практичні кроки. По-перше, переконайтеся, що у вас справді є дійсна згода і робоче налаштування Consent Mode, бо це зобов'язання діє незалежно від підстави передачі й найлегше зробити неправильно. По-друге, проведіть перегляд захисту даних, який охоплює відстеження посилань і кампаній, а не лише тег на сайті, оскільки вони несуть той самий ризик передачі. По-третє, якщо ваша галузь чи контракт із клієнтом вимагає обробки лише в ЄС, плануйте перехід на інструмент, розміщений у ЄС, вже зараз, а не чекайте, поки наступне судове рішення змусить це зробити. Команди, які добре справляються з цим, ставляться до нинішнього механізму як до відстрочки для переходу, а не постійного рішення.

Читайте наріжну статтю

Це матеріал з кластера комплаєнсу. Наріжна стаття - GDPR для сервісів скорочення посилань. Для короткого викладу, орієнтованого на закупівлі, варто зберегти solutions/compliance і сторінку довіри.

Схожі матеріали в блозі

• Європейські альтернативи американському SaaS: гід із суверенітету
• Чи відповідає Bitly вимогам GDPR? Чесна відповідь DPO
• Канал AI Assistant у GA4: що він відстежує, а що пропускає
• GDPR для сервісів скорочення посилань: що насправді хоче бачити ваш DPO
• Резидентність даних в ЄС для маркетингових інструментів: про що насправді запитує ваш DPO