Hur du kan göra Google Analytics 4 (så mycket som möjligt) lagligt

Google Analytics är ett kraftfullt verktyg för att spåra och analysera vad som händer på din webbplats. För att uppnå detta samlar verktyget in individuella uppgifter om beteendet och programvaran för de som besöker webbplatsen. Även om du inte kan använda dessa uppgifter för att identifiera individer är det per definition personuppgifter.

Enligt Schrems II-domen från 2020 kan personuppgifter inte längre överföras mellan EU/EES-länder till USA på grundval av det så kallade Privacy Shield-avtalet som tidigare reglerade denna överföring. Detta påverkar alla som använder Google Analytics eftersom detta verktyg lagrar all data i USA.

Datatillsynen i flera europeiska länder har i förlängningen av detta kommit fram till detsamma i flera olika klagomål. Google Analytics är olagligt. Detta inkluderar Österrike (januari 2022), Frankrike (februari 2022), Italien (juni 2022), Danmark (september 2022) och senast Norge (april 2023).

Genom att justera några av inställningarna i Google Analytics 4 kan du minska mängden personuppgifter som samlas in och säkerställa att verktyget följer GDPR och Schrems II.

Google Signals ger dig tillgång till demografiska rapporter och räknar unika användare på olika enheter. Detta är baserat på Googles tredjepartsidentifiering. Men när Google Signals är aktiverat skickar du också all data du samlar in till Google. Och Google använder uppgifterna för sina egna syften. För att inaktivera Google Signals, gå till Data Settings > Data Collection: 

Genom att stänga av inställningen "Granular Data Collection" kan du minska mängden personuppgifter som samlas in. Detta gör det mycket svårare att identifiera en person.

"Granular location and device data" inkluderar:

• stad
• latitud (för stad)
• longitud (för stad)
• subversion av webbläsaren
• webbläsarens användaragentsträng
• enhetsmärke
• enhetsmodell
• enhetsnamn
• omstörtande av operativsystem
• omstörtande av plattformen
• skärmupplösning
  
  

För att stänga av inställningen går du till Data Settings > Data Collection: 

Om du har kopplat ditt Google Ads-konto till Google Analytics 4 bör du stänga av "Personlig annonsering" för att minska mängden personlig data som skickas till Google Ads. Det innebär att du inte längre kan köra remarketing baserat på data från Google Analytics.

För att inaktivera "Personal Advertising", gå till Produkt Links > Google Ads Links:

Google Analytics 4 raderar automatiskt individuell användardata efter minst 2 eller högst 14 månader. Standardrapporterna är baserade på aggregerad anonymiserad data som aldrig raderas, medan analyser som du kommer att göra i "Utforska" kräver individuell data. När du minskar datalagringen till minimigränsen på 2 månader kan du minska mängden personuppgifter som lagras över tid.

För att göra detta går du till Data Settings > Data Retention:

Cookies hjälper till att samla in personuppgifter eftersom beteendeinformation är kopplad till samma ID-nummer under en lång tidsperiod. Genom att minska cookie-livslängden till 1 vecka, 1 dag eller 1 timme, kommer du avsevärt att minska mängden beteendemönster som samlas in om en enskild användare.

För att göra detta, gå till Data Streams > Details > Configure Tag Settings > Show All > Override Cookie Settings:

Google Analytics 4 lagrar inte IP-adresser, och därför finns det ingen inställning för att anonymisera eller ta bort dem. IP-adresser bearbetas i samlingen för att fastställa platsen, men vidarebefordras inte. Google anger att denna process sker på europeiska servrar innan data skickas till USA.

Du kan läsa mer om sekretessinställningar i Google Analytics här >>>

Disclaimer 1: 
Om du stramar åt alla dessa inställningar får du en datamängd med mycket mindre information om användarna än vad du är van vid. Det är liksom poängen.

Disclaimer 2:
Det finns ingen garanti för att den norska datatilsynet eller andra kommer att bedöma dessa justeringar som tillräckligt bra. Det har ännu inte gjorts någon konkret bedömning av ett fall med så snäva inställningar i Google Analytics 4.

Disclaimer 3:
Detta är inte att betrakta som juridisk rådgivning. Prata med din advokat och ditt dataskyddsombud. Det är företagets ledning som är ansvarig för att följa GDPR, inte marknadsansvarig, webbmaster, byrå som ger råd eller andra inblandade.

Läs gärna den danska datamyndighetens allmänna råd och FAQ om Google Analytics, eller kontakta oss för en pratstund.

Alternativet till att skärpa inställningarna i Google Analytics är förstås att välja ett annat verktyg, som antingen inte samlar in lika mycket data eller som lagrar data inom EU.