Google Analytics er også uden cookies påkrævet til at have samtykke, fordi det indebærer adgang til en enhed

Google og nogle markedsfolk ville gerne have, at Google Analytics er tilladelsefrit, hvis cookies er deaktiveret ved hjælp af konfiguration. Det er rigtigt, at Google Analytics altid tilgår brugerens enhed og derfor allerede i sig selv er tilladelsepligtig. Derved ændrer også Google Consent Mode ikke på dette, hvilket navn det ikke fortjener.

Indledning

Først: Lovgivningen kender ikke begrebet om cookies. De juridiske regler beskæftiger sig med adgang til ditt og mit enhed. Cookies er "bare" den mest populære repræsentant for denne kategori, men ikke den eneste relevante tilfælde.

Med Google samtykningsmodus lover Google, at Google Analytics også kan bruges uden samtykke (da uden cookies) kan blive brugt. At dette er forkert, viser jeg ved et enkelt eksempel. Selv uden Consent Mode binder nogle Google Analytics uden cookies og uden samtykke fast. Det gør det ikke væsentligt bedre. Måske ved nogle ikke, at Consent Mode fra Google går imod en opgaveafleveringsaftale, fordi Google her behandler data til egen brug (se Art. 28 DSGVO). Den dumme eller hovedansvarlige er dog i hvert fald hjemmesiden. Ønsker I at tilhøre de dumme?

Denne artikel viser, at Google Analytics har adgang til brugerens enhed uden samtykke, hvilket er en meget simpel lovgivning.

Bortset fra dette lille problem, som jeg nedenfor vil navne, skal blot nævnes yderligere juridiske problemer med Google Analytics.

Dataoverførsel til USA

Her er allerede meget sagt. Selv Google har sagt noget om overførslen af data til USA:

Find mere detaljer i en tidligere artikel om Google Analytics.

Brugerprofildannelse og personlig tilknytning

Google Analytics regnes for at være meget magtfuld. Det er næsten uigedeligt, at dette uden brugerprofilering ville være muligt. Den Google Client ID, som Analytics følger med, er en persondata værdi. Der er mere tilbage i en undersøgelse af Google Analytics.

Europæiske dataskyddsmyndigheder

I dag holder flere europæiske dataskyddsmyndigheder Google Analytics for generelt ulovligt eller kun tilladt ved samtykke (i idealfald, hvis værktøjet ikke er kompatibelt med GDPR i sig selv). Her kan du læse mere om det:

• Danmark
• Frankrig
• Østrig
• Italien
• Tyskland: Fandes der en tilbageholdende kommentar? Jeg ved ikke om der er nogen, som ligner de ovenstående.

Nu til det egentlige emne i denne artikel:

Grunden til, at Google Analytics altid har behov for en samtykke.

Kiksparagraphen

I TDDSG, det tyske dataskyddsforskrift, der siden 01.12.2021 gælder, findes ordet Cookie ikke en enkelt gang. Siden maj hedder TDDSG nu TDDDG, men er blevet beholdt i sin oprindelige tekst. For alle, der ønsker at vide mere, her er § 25 TDDSG, som også kaldes Cookie-Regel (let beskåret til bedre forståelse):

(1. Lagring af oplysninger i slutbrugerens terminaludstyr eller adgang til oplysninger, der allerede er lagret i terminaludstyret, er kun tilladt, hvis slutbrugeren har givet sit samtykke.
(2) Samtykke i henhold til stk. 1 er ikke påkrævet
1. hvis det eneste formål med at lagre oplysninger i slutbrugerens terminaludstyr eller det eneste formål med at få adgang til oplysninger, der allerede er lagret i slutbrugerens terminaludstyr, er at gennemføre transmission af en kommunikation via et offentligt telenet, eller
2. hvor lagring af oplysninger i slutbrugerens terminaludstyr eller adgang til oplysninger, der allerede er lagret i slutbrugerens terminaludstyr, er strengt nødvendig for at gøre det muligt for udbyderen af en telemedietjeneste at levere en telemedietjeneste, som brugeren udtrykkeligt har anmodet om.

Sammenfattelse i forhold til hjemmesider og Google Analytics:

Tilgængelighed til enheden hos brugeren er kun tilladt uden samtykke, hvis tilgangen er teknisk nødvendig.

§ 25 TTDSG i forhold til Google Analytics

Tillgangen til min enhed er ikke nødvendig for at Google Analytics skal fungere. Det gælder allerede alene derfor, fordi Google Analytics ikke er nødvendigt. Vi vil være præcise: Selv til måling af omfang er et cookie ikke nødvendigt, som jeg kan berette objektivt (da teknisk beviselig) fra egen erfaring.

For at klare op: En samtykke er påkrævet, hvis det ikke er teknisk nødvendigt, at

• Data gemme på brugerens enhed lagres ODER
• Når dataene tilgås på enheden hos brugeren.

Ekstrautsigt: Hvor er forskellen på adgang til Viewport til at nå Referrer, den aktuelle URL eller IP-adressen? Referrer, den aktuelle URL og IP-adressen sendes med hver HTTP-anmodning i HTTP-hoveddata direkte. En eksplizit endgerådsadgang er ikke nødvendig for disse data. Modsat set ved Viewport: Dette skal eksplizit af spørgsmål til besøgende hjemmeside (eller den der er indlæst på Google Analytics) abfrage. Så finder en endgerådsadgang sted, som over § 25 TTDSG legitimere måtte være.
Tilfældigvis skal databehandling, der enten er eksplizit (Viewport) eller implisit (Referrer etc.) læst ud fra brugerens enhed, være i overensstemmelse med artikel 6, stk. 1 af dataskutzordningen legitim.
Den retlige prøving må således foregå:
1. Erfordert ein Zugriff nach § 25 TTDSG eine Einwilligung? Falls ja: Ist diese eine Einwilligungsfreiheit. Es spielt hier keine Rolle, ob die Daten personenbezogen sind oder nicht. Damit es jeder versteht, hat der EuGH den Gesetzestext noch einmal vorgelesen und dies explizit festgestellt.
2. Efter at det foregående testtrin er blevet gennemført med succes, skal efter art. 6 § 1 DSGVO undersøges, om behandlingen af data er tilladelse. Denne lovgivning gælder kun for persondata. Cookies er altid personbezirkede, fordi de altid er knyttet til den potentielt personbezirkede IP-adresse af brugeren eller (udenfor), fordi de indeholder identifierere, der tillader en personbeziehung. Det bliver særligt godt synligt ved Googles værktøjer, som anvender cookie-namnet IDE til at tilknytte brugeren direkte til et Google-konto.

En samtykke er også nødvendig, hvis intet gemmes væk, men der tilgås data på enheden, som allerede var blevet gemt der!

Det onde Google gør det dog alligevel

Her et typisk tracking-event fra Google Analytics. Dette tracking-event er til at sende de data, der er samlet om besøgende på en hjemmeside, til den Google Analytics-database.

GET https://www.google-analytics.com/collect?v=1&_v=j98&aip=1&a=829475794&t=pageview&_s=1&dl=https://www.asctechnologies.com/&ul=de&de=UTF-8&dt=BDX – We are the experts for something&sd=24-bit&sr=1696x954&Resolution 1491x331&je=0&_u=YCgAiAABBAAAAAAAIk~&cid=1201829514.1665683574&tid=UA-476697-1&_gid=553010699.1665683574&gtm=2wgaa0NF2377V&gcs=G100&z=1872566096

Trykt med fokus på de relevante steder:

• URL: Viser til Google Analytics Tjeneste
• Viewport: Størrelsen på browservinduet

Betydningen af parametret navngivet vp beskrives officielt af Google i deres dokumentation til Google Analytics Measurement Protocol: „Angiver visningsområdet på browseren / enheden

Størrelsen på browservinduet gemmes på enheden hos brugeren. Gør selv testen: Sæt vinduet til mindre end fuldskærms størrelse, luk browseren, åbn browseren igen. Hvis vinduet nu er så stort som før lukningen, så gemmer din browser tydeligvis størrelsen af vinduet på din computer op. Hvis du slukker for computeren og åbner den igen næste dag, kommer browseren til at være i samme størrelse som før.

Således ligger en adgang til enheden for. § 25 TTDSG gælder for alle former for data, også dem, der ikke er personbevisende. Der er heller ikke nogen berettiget interesse i denne lovgivning.

Viewport er en dataværdi, der kan ændre sig. Det er dog ikke relevant. Der er intet i loven om dette. Som lille analogi skal dynamiske IP-adresser nævnes. Særligt ved DSL-tilgang ændrer de sig hele tiden. Den europæiske Domstol (EuGH) har afgjort, at dynamiske IP-adresser er persondata. Til forklaring og til forskel fra IP-adresser skal det gentagende nævnes: For § 25 TTDSG er det irrelevant, hvilke data der bliver tilgået! Analogien til IP-adresser var kun til at gøre klart, at også ændrende værdier kan være kritiske eller i henhold til § 25 TTDSG (sikkert altid) være det.

Konklusion: Google Analytics har adgang til brugerens enhed, hvilket altid indebærer en samtykningspligt.

Tilfældigvis blev adgangen til enheden også på IDACON 2022 i München af Professor Weiden diskuteret. Konferencen fandt sted den 17. og 18. oktober 2022. Sammen med Herr Breyer holdt jeg også en forelæsning om emnet Cloud Computing og privatliv. Denne artikel skrev jeg allerede før IDACON, men jeg havde ikke publiceret den endnu, da der allerede var andre artikler i køen.

Eksempler på data, hvor ikke (ekspliktivt) adgang til slutudstyr af brugeren forekommer:

• Nuværende URL: Den bliver nemlig sendt med hoveddata fra HTTP-tilførslen sammen med. Ansvarshavende (= ejeren af besøgt hjemmeside) griber derfor ikke selv tilgang til enheden.
• Besøgende på hjemmesiden: Dito, så implisit en del af HTTP-anmodningens data og ikke et eksplizit enhed tilgang via ansvarlig person
• Skærmbilletsopløsning (stridig): Jeg siger, at denne er ikke gemt i enheden, men overhovedet ikke og hvis sådan, da kun til komfortformens skyld i operativsystemet. En forklaring: Hold mobiltelefonen på højde og sluk den, hold den på bredde og tænd den igen. Nu er skærmbilletsopløsningen tydeligvis en anden end når man slukker (medmindre mobiltelefonen automatisk drejer skærm).

Google samtykningsmode

Som afslutning en sideomdannelse i Google Consent Mode.

Spoiler: Googles Consent Mode er selv ikke til nytte for markedsførere.

Glem Google Consent Mode. Hvad er Google Consent Mode? Kort sagt: Når din hjemmeside bruger Google Consent Mode og indbyder Google Analytics, sker følgende:

1. Hvis brugeren ikke har givet sin samtykke, bliver Google Analytics alligevel lastet og håberfuldt anvendt uden cookies. Dataene får først Google. Til gavn for alle bliver agregerede, altså statistisk forfalsede data også i dit Google Analytics-konto smuglet.
2. Hvis brugeren har givet sin samtykke, bliver Google Analytics også lastet, men derefter afhængigt af konfigurationen også med cookies. Dit analytics-konto bliver som i det klassiske tilfælde (uden at bruge Consent Mode) fyldt op med højkvalitetsdata.

Min mening til det er:

Web-analyses ekspert M. Baersch har delt med mig sin vurdering af Googles Consent Mode til denne artikel:

Selv som "markedsføringsmenneske" skal man i kritisk overveje Consent Mode. For selv om navnet er uskyldigt, har en virksomhed af Google Analytics eller Google Ads Tagging ved mangel på samtykke i Consent Mode ikke noget med at gøre med at opfylde kravene til beskyttelse af persondata eller respekt for samtykke. Data, der indsamles i Consent Mode, adskiller sig fra data med samtykke i væsentligste dele kun ved et enkelt træk: Den klient ID, hvormed besøgende igen genkendes mellem to sideindløsninger, er ikke længere den samme, fordi der ikke sættes cookies til at gemme disse. Det er altså en (dårlig) "TTDSG Mode", men ikke en "Consent Mode". Uden samtykke forventer man i reglen ikke, at tracking stadig sker – med alle dimensioner og andre implikationer; ved hver sideindløsning. Uden at disse data direkte optræder på analyseroverfladen (udenom BigQuery), men teoretisk kun til at modellere conversioner og således fylde tracking-lækken. Hermed kan fx en Single Page Application (SPA) ikke meget maskinintellekt kræve, fordi klient ID'eren her mangler en nyindløsning i reglen altid er konstant, lige som ved det regulære tracking. Selv en Conversion Linker, der ved mangel på samtykke klick IDs fra indgangssejten til conversion-URLen følger med, tillader en direkte overordning af conversioner til kilde uden at maskinintellekt o.s.v. kræves: Alle nødvendige data er i dette tilfælde tilgængelige på hits, som Google betegner som uskyldige "conversion pings".

I virkeligheden bliver dermed ved 100 % af sider tilkaldt for 100 % af alle besøgende, der har nægtet at give tilladelse til tracking, deres beslutning ignoreret og tracking finder alligevel sted. Det er ikke en passende metode. Der må findes andre veje til at generere feedback ved conversion, hvis disse virkelig har fundet sted uden at ignorere de ønsker af hjemmesiden besøgende og på samme tid opfylde deres krav om privatlivsbeskyttelse med en ikke passende metode som Consent Mode.

Citat af M. Baersch.

Selv fra markedsføringsperspektiv er Googles Consent Mode den største bulle. Den blander gode data med dårlige data. Der er kun en vinder, og det hedder Google. Måske lad os bare være ved det med Googles Consent Mode. Måske forstår jeres markedsafdeling hvad der står ovenover.

Som en læser skrev i et kommentar til min artikel:

Google Consent Mode er en lige så forvirrende betegnelse som militære specialoperationer

Konklusion

Mange juridiske og tekniske årsager viser, at Google Analytics enten er fuldstændig ulovligt eller kun må lastes efter samtykke.

Et enkelt eksempel viser, at Google Analytics allerede på grund af Viewport-afspørgsel er tilladelsepligtig. Denne adgang er teknisk ikke nødvendig og derfor ikke tilladelsefri.

Hvis du planlægger at føre server-baseret tracking med Google Analytics, råder jeg dig tilbageholdende. Enten er denne tilgang påkrævet, eller datakvaliteten er så dårlig, at andre værktøjer som Matomo leverer meget bedre resultater uden samtykke og uden juridiske problemer. Kun store selskaber kunne trække fordel af server-side tracking, men de bliver også (sandsynligvis) mere angribelige, som min erfaring viser. Den, der gør meget, tilbyder meget angrebsflade.

Bilaget billede blev automatisk oprettet af et computerprogram.