Använda Google Analytics utan samtycke enligt lag: Så gör du

Google Analytics är det mest populära spårningsverktyget, men det kastar också upp många frågor om integritetsskydd. I standardversionen är det knappt möjligt att använda det lagligt även efter en samtyckesfråga. Men det finns en lösning som inte kräver något cookie-popup.

Inledning

Användningsområdet för Google Analytics är mångfaldigt. Här ett par vanliga fall:

1. Statistik (besökare räknare)
2. Innehållsoptimering:
   • Hartes spårning: Demografiska utvärderingar, beteendeanalyser, övergripande spårning av användare
   • Slingvägar
3. Annonsöptimering (Konverteringsföljning, Retargeting)
4. Kombination med Google Optimize (delade tester)

Statistiska utvärderingar kan utföras mycket bra utan Google Analytics. För detta rekommenderar jag Matomo utan samtycke eller Trackboxx (ett kommersiellt produkt av en tysk leverantör).

Man kan också utvärdera klickspår för att optimera innehåll via Matomo.

För A/B-tester liknande Google Optimize finns det säkert också dataskyddsvänligare lösningar, men jag kan inte gå in på dem här.

Optimeringen av annonser är åtminstone tekniskt mest enkelt med Google Analytics möjligt. Rent rättsligt är komplexiteten dock knappt behärskbar. Som ett exempel härpå ska Google Tag Manager nämnas, som Google vänligt nog nästan tvångsmässigt kopplar till Google Analytics, även om det i inget fall är nödvändigt. Tag Manager ensam är rent rättsligt knappt behärskbar, som min enkel undersökning redan visat.

Hur ser det ut med de fall där Google Analytics är relevant?

Juridiska problem med Google Analytics

Som tidigare visats används ofta Google Tag Manager (GTM) tillsammans med Google Analytics. Jag kan bara rekommendera att inte använda GTM utan samtycke. GTM behövs i sig inte, än mindre för att läsa in Google Analytics.

Om du behöver en Målgruppsannonserare, ta något annat eller hitta någon som kan programmera. En alternativ lösning för vanliga fall är min Untagmanager. Det hjälper dig inte och du hittar ingen programmerare eller vill inte betala? Om svaret på den här frågan Yes är, så kanske begreppet Dataskydd ännu inte har satt djupa rötter i ditt medvetande. Inga problem, marknaden och berörda personer kommer att reglera det.

På grund av att Google Universal Analytics använder cookies krävs en samtyckande handling. Detta följer med Högsta domstolens (BGH) dom i Planet49-fallet. Enligt detta ska § 15 Abs. 3 TMG tillämpas på samma sätt som Artikel 5 Abs. 3 av ePrivacy-direktivet.

Cookies är tekniskt inte nödvändiga och kräver därmed en samtycke. Kurzbeweis: Google Analytics kan i standardinställningarna konfigureras så att inga cookies används.

Även utan Cookies är Google Analytics villkorsstyrt. Här finns flera skäl till detta. Se länken i detta avsnitt för mer information. Vet ni att alla analyserade data alltid behandlas i USA?

Laut Artikel 13 GDPR är omfattande informationspliktigheter att uppfylla för Google Analytics. Dessa plikthandlingar kallas ofta också för Dataskyddsinformationer. Vet du hur de många data som samlas in med Google Analytics behandlas av Google-koncernen? Om yes, berätta det för mig, eftersom jag vet inte. Även för varje enskilt cookie ska namn, syfte och livslängd anges. Känner du till exakta syften för Google Analytics-cookies? Jag tvivlar på det.

Ytterligare problem med Google Analytics

När Google Analytics används så allmänt världen över är webbplatser som använder detta verktyg ett lätt att upptäcka och lockande mål för attacker.

Hackare kan använda Google Analytics för att smuggla ut data från en komprometterad webbplats på ett enkelt, opåverkanslöst och nästan omöjligt sätt att upptäcka. Att installera Firewall-regler, som kunde förhindra detta, verkar vara helt orealistiskt för många webbplatser. ([1])

Om en webbplats använder sig av Google Analytics, är det min erfarenhet att det nästan säkert innebär att webbplatsen bryter mot dataskyddsförordningen. Den som söker ett mål för en varning, kanske letar efter webbplatser som använder Google-tracket. Nu borde nog alla ha märkt att Analytics har stora faror med sig.

Analytik utan samtycke

Lösningen för ett säkert inläsande av användare utan samtycke med hjälp av Google Analytics bygger på ett enkelt Huvudprincipen. För lösningen gäller naturligtvis att den drivs utan tekniskt inte nödvändiga Cookies. Detta är möjligt, eftersom Google Analytics kan användas utan Cookies.

Det verkar meningsfullt för mig att lösa ett par specifika användningsfall. Det sammankopplande av Analytic-data med Google Ads-data är det fall som har mest mening för mig. Google Ads är en möjlighet att sprida online annonser. Annonserare vill gärna veta hur bra en annons konverterar och med vilka sökord en konvertering uppnåtts. Det går också utan Google Analytics, men vem vet det och vill ändå merarbete?

Det kan också vara meningsfullt att följa Aktionerna av webbplatsbesökaren mer i detalj. Många analyseredskap håller bara reda på hur klickvägen för en besökare var och hur länge han stannade på en sida. Vissa kanske också är intresserade av hur scroll-beteendet hos användaren var och liknande.

Det är tydligt att en standard-skript från Google Analytics knappt eller inte alls kan användas i enlighet med GDPR.

Det finns två lösningssätt, som är olika effektiva och olika komplicerade.

Huvudprincipen

Lösningen bygger i allmänhet på att vid spårning av händelser inte en Google-server direkt anropas från Google Analytics-skriptet. Istället anropas istället den eget server som besöks sidan på. Den egna servern får då vetskap om det spårade evenemanget. Den egna servern lämnar nu bort känsliga uppgifter som skulle kunna tyda på att de hör till en specifik person. Resten av data skickas sedan till det egna Google Analytics-kontot.

Principen heter Proxy. En proxy är en representant. Många känner till begreppet säkert från nätverksvärlden. En proxy är en slags tunnel. Om tunneln är lång nog passar analogin riktigt bra. För att avrunda analogin skulle man behöva anta att mitt i tunneln sker en förarebyte som inte kan observeras från utsidan av tunneln.

För Google Analytics skapas således en proxy. Den här proxyn tunnlar nu spårningshändelser via en egen server. Vid detta tunnelprocesseras uppgifter med användaranknytning anonymiseras eller lämnas bort. Därmed upphör skyldigheten att begära samtycke. Väsentligt är också att inga Cookies används, eftersom dessa skulle kräva ett så kallat cookie-popup. Ett cookie-popup borde egentligen heta en samtyckesbegäran eller consent popup. Överhuvudtaget kunde ett cookie-popup för en egen lösning till och med vara rättsligt förenlig, men inte för Google Analytics i den ursprungliga versionen.

Direktanrop vid sidvisning

Denna tillvägagångssätt spårar bara sidvisningar. Därvid medförs systemkonfigurationen av webbläsaren hos användaren, vilket innebär en bättre dataunderlag. Detta känner man igen från det Google Analytics-standard och är ingenting nytt.

GA-händelser skickas från användarens webbläsare till en egen server. Där tas känsliga data som användarens IP-adress bort eller ersätts med helt andra värden utan personlig anknytning till tredje part. Den som använder sin egen IP-adress för GA-tracking händelser är uppenbart medveten om att han själv överlämnar sin egen nätverksadress till Google.

const url = 'your-analytics-script.php';
var data = {dt: document.title,...};
data = jsonify(data);
var sender = new XMLHttpRequest();
sender.open("POST", url, true);
sender.send(data);

Koden visar hur data från webbläsaren kan skickas till ett eget PHP-skript. I variabeln data står alla värden som ska överföras. I exemplet skickas dokumenttiteln till servern. Skicket sker via HTTP Post, så att inga problem med datormängden uppstår (eftersom det vid GET finns en begränsning för datormängden).

På servern skickas spårningshändelserna sedan vidare till Google. Google får, om allt görs rätt, inga uppgifter från någon annan person. Skickandet till Google kan ske på samma sätt som det ursprungliga spårningen, dvs via post till en HTTP-adress som https://www.google-analytics.com/collect. För ett debugging kan adressen https://www.google-analytics.com/debug/collect användas. I stället kan Analytics Reporting API användas, vilket ser ut att vara renare men också något mer komplicerat.

Lösning 2: Användning av det ursprungliga manuset

Mer elegant, men också mer komplicerat och underhållsintensivt är att modifiera det ursprungliga Google Analytics-skriptet. Skriptet anpassas så att det inte skickar data till google-analytics.com, utan till en egen server.

Det allmänna förfarandet på sin egen server för att fortsätta överföra data till Google är analogt med den första lösningen.

Gelegentlich geschieht es, dass Updates des Google Analytics-Scripts erfolgen. Nicht immer müssen diese nachgezogen werden. Manchmal kann es aber sein, dass ein Update notwendig is. Dann müsste das modifizierte Script durch ein neues modifiziertes Script ersetzt werden. Das is machbar, bedeutet aber etwas mehr Aufwand. Der Aufwand wird sich in Grenzen halten und fällt wahrscheinlich nur alle paar Monate an, wenn überhaupt.

Sammandrag

Om man absolut vill använda Google Analytics så borde man göra det på beskrivna sätt. Den rättsliga ursprungsversionen skulle bara kunna användas efter effektiv samtycke. Ett samtycke ges dock aldrig, om det ställs korrekt frågor. Dessutom uppstår frågan hur Google behandlar data.

För de flesta användningsfallen bör Matomo i lokal installation vara tillräckligt. Den som använder WordPress kan också gå till WP Statistics.