Czy Google Analytics jest legalny? Jak go wdrożyć zgodnie z obowiązującymi przepisami RODO w 5 krokach.

Na przestrzeni ostatniego roku coraz częściej mamy okazję czytać o kolejnych wielomilionowych grzywnach nakładanych przez europejskie organy ochrony danych. Już w Polsce zaczęły pojawiać się pierwsze przegrane przez właścicieli serwisów internetowych sprawy sądowe. Problem dotyczy głównie anonimizacji danych oraz możliwości powiązania danych odwiedzających przechowywanych w Google Analytics z konkretną osobą fizyczną. Problemem jest również to, że Google przechowuje pliki cookie użytkowników na amerykańskich serwerach, które nie podlegają unijnym przepisom prawa.

Rozporządzenie o Ochronie Danych Osobowym  to prawo określające zasady przetwarzania danych osobowych obywateli UE. Związane jest nie tylko z danymi przekazywanymi bezpośrednio przez użytkownika, takie jak formularze kontaktowe na stronie, ale również związane są z plikami cookies i śledzeniem ruchu. Pliki cookies pozwalają na utrzymywanie sesji po zalogowaniu, gromadzenie danych, zapamiętywanie preferencji i ustawień strony, personalizacji strony i reklam.

Część kursów i artykułów dotyczących implementacji i wdrożenia Google Analytics nie porusza tematów około prawnych dotyczących samego przetwarzania danych. Niektóre agencje zajmujące się kompleksowym wdrożeniem tych narzędzi często nie podejmują tego tematu ze swoimi klientami (sic!)

Co możemy zrobić aby zminimalizować możliwość naruszania prawa oraz zadbać o dane osobowe użytkowników odwiedzających jednocześnie nie tracąc swoich danych analitycznych? Zapraszam do lektury.

1. Czy spełniasz obowiązek informacyjny? Przede wszystkim należy zadbać o  niezbędne informacje związane z polityką prywatności.

Jeśli korzystasz z narzędzi analitycznych takich jak m.in. Google Analytics musisz koniecznie wspomnieć o tym w treści polityki prywatności opublikowanej na stronie, dzięki temu spełnisz podstawowy obowiązek informacyjny. W polityce prywatności powinny zostać zawarte informacje takie jak sposoby w jaki przetwarzane są dane osobowe i jaki jest cel ich przetwarzania, kto jest ich administratorem oraz jakie środki ochrony danych podejmujesz.  Ponadto treść polityki prywatności powinna opisywać zakres dostępu oraz możliwości wycofania.

Użytkownik powinien mieć możliwość zapoznania się z treścią polityki prywatności jeszcze przed udzieleniem zgody na śledzenie. A Ty pytasz użytkownika o zgodę jeszcze przed rozpoczęciem śledzenia?

2. Czy korzystasz z Google Analytics zgodnie z wymaganiami prawnymi? Czy wymagasz zgody na przetwarzanie danych osobowych od użytkowników?

Każda strona, w której wdrożony jest Google Analytics musi prosić i uzyskać wyraźną zgodę użytkowników na śledzenie, a dopiero potem uruchamiać skrypt śledzący. Jeśli Twój kod śledzący zostanie uruchomiony bez wyraźnej zgody odwiedzającego, to działasz nielegalnie. Już nie wystarczy wyświetlenie monitu o wykorzystaniu na Twojej stronie plików cookies w celu realizacji usług.

Oznacza to, że właściciele witryn, którzy chcą zbierać informacje o odwiedzających za pomocą Google Analytics muszą znaleźć własny sposób obsługi zgód i żądań danych i zrobić to w sposób wyraźny i przejrzysty dla użytkownika.

Wdrożenie trybu uzyskiwania zgody jest obowiązkowe dla każdego.

3. Rozróżniaj i odpowiednio zarządzaj zgodami użytkowników.

Oprócz ogólnej zgody na śledzenie, mamy obowiązek pozwolić użytkownikowi zarządzać tym, jakie dane o nim będziemy wykorzystywać. Użytkownik odwiedzający stronę ma prawo do ochrony swoich danych i zezwolenia do zbierania tylko tych, na które sam się zgodził. Rozróżniamy różne rodzaje zgód, tak jak różne rodzaje cookies, które nie tylko przechowują preferencje odwiedzającego, ale również zapewniają funkcjonalności oraz gromadzą dane o zrachowaniach użytkownika na stronie. Rodzaje wymaganych zgód są zależne od rodzajów narzędzi, które wykorzystujemy na swojej stronie, m.in. Google Analytics, ale też Facebook Pixel, Google Ads lub np. Hotjar. Każde z tych narzędzi wymaga innych zgód, bo wykorzystuje inne pliki cookies i skupia się na innych danych. Dokumentacja Google wspomina o pięciu rodzajach cookiesów:

Rodzaje cookies	Opis
ad_storage	Umożliwiają przechowywanie danych związanych z reklamami
analytics_storage	Umożliwiają przechowywanie danych związanych z analizą ruchu
functionality_storage	Umożliwiają przechowywanie danych związanych z funkcjonalnością strony, np. preferencje użytkownika
personalization_storage	Umożliwiają przechowywanie danych związanych z personalizacją
security_storage	Umożliwiają przechowywanie danych związanych z bezpieczeństwem, np. uwierzytelnianie

A Ty, które rodzaje cookiesów wykorzystujesz na swojej stronie?

4. A co gdy użytkownik nie wyrazi zgody na zapisywanie plików cookies? Odpowiedź to wdrożony tryb uzyskiwania zgody (consent mode)

Z badania przeprowadzanego przez guru analityki w Polsce Maciej Lewińskiego, w którym badał 1 000 największych e-commerców w Polsce pod kątem instalacji Google Analytics wynika, że tylko 81 z 1000 ma wdrożony tryb zgody z czego tylko 25 ma to zrobione poprawnie. Te dane szokują głównie ze względu na to, że tylko 8% z największych e-commerce w Polsce ma wdrożony tryb zgody, a 2,5% ma zrobione to poprawnie.

Consent Mode, czyli tryb uzyskiwania zgody pozwala dostosować działanie tagów śledzących na podstawie zgód użytkowników odwiedzających stronę internetową. W zależności od udzielony zgód użytkownika odwiedzającego tagi śledzące są uruchamiane lub nie. W przypadku tagów śledzących Google Analytics 4 bez zgody użytkownika tryb uzyskiwania zgody uruchamia skrypt w bardzo ograniczonych trybie.

Więcej na temat mechanizmu consent mode opisałem w artykule Przyszłość analityki internetowej – ograniczenia i możliwości. Trochę więcej o Google Analytics 4 i modelowaniu behawioralnym oraz mechanizmach Consent mode i Server-Side Taging.

Zarządzanie trybem uzyskiwania zgody zostało udostępnione przez Google w Menedżerze Tagów, który pozwala na właśnie takie zarządzanie działaniem skryptów śledzących. Jednak jeśli chcemy zautomatyzować wdrożenie funkcjonalności z pominięciem programistów i osób technicznych na swoich stronach, to powinniśmy sięgnąć do dedykowanych narzędzi takich jak  np. Cookiebot by Usercentrics, OneTrust, czy Consent Manager. Wspomniane narzędzia pozwolą nam przejść przez cały proces od zaprojektowania i wyświetlenia banneru cookies zgodnego z obowiązującymi przepisami RODO po kontrolę plików cookies oraz zarządzanie zgodami wykorzystując pełną integrację tych platform z trybem zgody i ustawieniami tych zgód w Menedżerze tagów Google.

5. Zabezpieczenie dostępu do danych

Według obowiązującego prawa przy udostępniana danych konta, a w tym wypadku konta dla każdego z osób nie będących jego właścicielem należy zawrzeć umowę powierzenia. Obowiązek dotyczy zarówno przekazania dostępu do danych agencji, z którą współpracujemy, jak i naszych pracowników. Umowa powierzenia przetwarzania danych osobowych zgodny z RODO pozwala na przekazanie dostępu do konta innemu podmiotowi. W przypadku braku zawarcia umowy powierzenia, przekazanie dostępu przyjmuje formę udostępniania danych podmiotowi nieuprawnionemu i stanowi to naruszenie przepisów RODO.