2026-08-04

Google Analytics a RODO: czy w Europie to nielegalne?

Przeczytałeś nagłówek w 2022 roku. Austria uznała Google Analytics za niezgodne z prawem. Potem Francja. Potem Włochy.

Prowadzisz sklep internetowy. Nie jesteś prawnikiem. Masz kod śledzący na każdej stronie i organ nadzorczy, który może nakładać kary.

Zrobiłeś więc to, co większość ludzi. Czekałeś, co będzie dalej.

Potem nic wyraźnego się nie wydarzyło i pytanie po cichu spadło na koniec Twojej listy. Nadal tam jest. I nadal ma prawdziwą odpowiedź.

Oto uczciwa wersja, bez straszących nagłówków i bez naciągania z blogów dostawców. Co naprawdę się stało, co się od tego czasu zmieniło i dwa pytania, które decydują, czy masz problem.

Jedna uwaga na początek. To nie jest porada prawna. To mapa decyzji, żebyś mógł zadać swojemu prawnikowi bardziej precyzyjne pytanie.

Co naprawdę się stało, w datach

Historia jest krótka i ma cztery momenty.

Jeśli wolisz pominąć historię prawną, krótka odpowiedź to alternatywa dla GA4.

Lipiec 2020. Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok znany jako Schrems II. Unieważnił on Tarczę Prywatności, czyli ramy, które ułatwiały przekazywanie danych z UE do USA. Powodem było amerykańskie prawo o nadzorze, które trybunał uznał za niezgodne z unijną ochroną.

13 stycznia 2022. Austriacki organ ochrony danych rozstrzygnął sprawę wzorcową wniesioną przez organizację noyb. Wniosek: strona, która przekazywała dane osobowe do USA przez Google Analytics, naruszała RODO.

10 lutego 2022. Francuski CNIL doszedł do tego samego wniosku i dał organizacji miesiąc na naprawę.

W ciągu 2022 roku. Włochy i inne państwa członkowskie poszły w ich ślady z podobnymi decyzjami. Sprawa austriacka była jedną ze 101 skarg, które noyb złożyła w całej Europie, więc była to skoordynowana fala, a nie lokalny przypadek.

„Instead of actually adapting services to be GDPR compliant, US companies have tried to simply add some text to their privacy policies and ignore the Court of Justice."

Max Schrems, honorowy przewodniczący noyb, 13 stycznia 2022

Zamiast naprawdę dostosować usługi do RODO, amerykańskie firmy próbowały po prostu dopisać trochę tekstu do polityk prywatności i zignorować Trybunał Sprawiedliwości. Tak wyglądała sytuacja przez około osiemnaście miesięcy. Potem grunt prawny się przesunął.

Co zmieniło się w 2023 roku

10 lipca 2023. Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony dla ram EU-US Data Privacy Framework.

Mówiąc prosto, taka decyzja stwierdza, że dany kraj wystarczająco dobrze chroni dane osobowe, więc przekazywanie ich tam nie wymaga dodatkowych zabezpieczeń. Dla firm certyfikowanych w ramach tego porozumienia konkretny problem stojący za decyzjami z 2022 roku zniknął.

Tej części większość artykułów z 2022 roku nigdy nie zaktualizowała.

To też część, którą dostawcy wyolbrzymiają w obie strony. Decyzja nie uznała Google Analytics za zgodne z przepisami. Usunęła jeden zarzut, ten dotyczący przekazywania danych, dla certyfikowanych odbiorców.

Dwie sprawy pozostają otwarte.

Ramy są kwestionowane. Dwa poprzednie porozumienia, Safe Harbour i Tarcza Prywatności, zostały obalone przez ten sam trybunał. Przeciwko obecnym ramom toczą się postępowania. Nikt nie może obiecać, że za trzy lata nadal będą obowiązywać.

Kwestia cookies nigdy nie dotyczyła przekazywania danych. To osobna sprawa i nic w 2023 roku jej nie zmieniło.

Czy więc dziś to jest nielegalne?

Przydatna odpowiedź to nie tak lub nie. Brzmi ona: przy którym z dwóch obowiązków ryzykujesz?

Obowiązek pierwszy: zgoda na zapisywanie na urządzeniu. Wynika z przepisów ePrivacy, wdrożonych w prawie krajowym każdego państwa członkowskiego. Jeśli zapisujesz cookie, które nie jest ściśle niezbędne do działania usługi, potrzebujesz wcześniejszej zgody. Analityka nie jest ściśle niezbędna.

Obowiązuje to niezależnie od sytuacji z przekazywaniem danych. Obowiązywało przed 2022 rokiem i obowiązuje teraz.

Obowiązek drugi: podstawa prawna i zabezpieczenia dla danych osobowych. To jest RODO. Adresy IP i identyfikatory urządzeń to dane osobowe. Przekazywanie ich do USA jest obecnie objęte decyzją o odpowiednim stopniu ochrony, jeśli odbiorca ma certyfikat.

Większość sklepów, które mają kłopoty, ma je przy obowiązku pierwszym, a nie drugim. Baner jest źle skonfigurowany, uruchamia tag przed zgodą albo nie daje prawdziwego wyboru.

Nadal jesteś ze mną? Dobrze, bo następna część mówi, na co naprawdę patrzy kontrola.

Co naprawdę sprawdza organ

Organy nadzorcze są praktyczne. Przy kontroli po skardze patrzą na krótką listę konkretnych rzeczy.

• Czy tracker uruchamia się przed zgodą? Otwórz stronę w oknie prywatnym i sprawdź kartę Sieć. Jeśli żądanie wychodzi, zanim cokolwiek klikniesz, to najczęstsze ustalenie.
• Czy odmowa jest równie łatwa jak akceptacja? Wyraźny przycisk Akceptuj obok schowanego linku Ustawienia to udokumentowany problem w całej UE.
• Czy Twoja polityka prywatności zgadza się z rzeczywistością? Jeśli wymienia trzy narzędzia, a strona ładuje pięć, różnicę widać w trzydzieści sekund.
• Czy możesz pokazać rejestr zgód? Musisz umieć wykazać, że zgoda została udzielona, a więc musisz ją przechowywać.
• Czy masz umowę powierzenia? Dla każdego narzędzia, które przetwarza dane osobowe w Twoim imieniu.

Do żadnej z tych rzeczy nie potrzebujesz prawnika. Do każdej potrzebujesz kogoś, kto naprawdę spojrzy.

Trzy sposoby na zmniejszenie ryzyka, w kolejności skuteczności

1. Usuń obowiązek zamiast nim zarządzać. Jeśli Twoja analityka niczego nie zapisuje na urządzeniu i nie zbiera danych osobowych, oba obowiązki znikają dla tego narzędzia. Nie ma zgody do zbierania, przekazywania do uzasadniania ani rejestru do prowadzenia.

2. Trzymaj dane w UE. Jeśli Twoja analityka działa na serwerach w UE u unijnego dostawcy, kwestia przekazywania danych w ogóle nie powstaje, niezależnie od tego, co stanie się z ramami ochrony.

3. Jeśli zostajesz przy Google Analytics, najpierw napraw baner. Blokuj tag do czasu zgody, spraw, żeby odmowa wymagała jednego kliknięcia, zapisuj zgody i zaktualizuj politykę prywatności. To nie usuwa ryzyka, tylko nim zarządza. Oznacza też, że nadal tracisz odwiedzających, którzy odmawiają.

Zauważ, że dwa pierwsze sposoby usuwają całą kategorię ryzyka, a trzeci tylko je zmniejsza. Ta różnica znaczy więcej niż jakikolwiek pojedynczy wyrok.

Ile kosztuje Cię nicnierobienie

Kary trafiają na nagłówki, ale rzadko pojawiają się jako pierwsze. Skarga zwykle zaczyna się od prośby o informacje i terminu.

Prawdziwe koszty są cichsze.

Spędzasz godziny nad narzędziami do zgód. Tłumaczysz klientowi albo partnerowi, dlaczego jego dane trafiają do amerykańskiej firmy. Masz w rejestrze ryzyk pozycję, która nigdy się nie zamyka. I podejmujesz decyzje na podstawie liczb ruchu, w których brakuje wszystkich, którzy odmówili.

Gdzie pasuje StatJolt

StatJolt zbudowano tak, żeby oba obowiązki przestały mieć zastosowanie.

Nie zapisuje cookies i niczego nie zapisuje na urządzeniu odwiedzającego. To usuwa wymóg zgody z ePrivacy dla samej analityki.

Nie zbiera danych osobowych i nie buduje profili odwiedzających. Nie ma więc dla czego ustalać podstawy prawnej.

Serwery stoją w UE, w Niemczech i Finlandii. Kwestia przekazywania danych nie powstaje i nie powstanie, nawet jeśli ramy ochrony znów się zmienią.

Przy audycie zamienia to długą rozmowę w krótką. Nie ma rejestru zgód na analitykę do pokazania, bo nie ma zgody do zbierania.

Jeśli przeczytasz tylko jedną ramkę

Kilka unijnych organów rzeczywiście uznało w 2022 roku Google Analytics za niezgodne z prawem z powodu przekazywania danych, a decyzja z 2023 roku usunęła ten konkretny zarzut dla certyfikowanych odbiorców. Obowiązek zgody na cookies nigdy nie był tym objęty i to tam większość sklepów naprawdę ryzykuje. Jeśli chcesz zamknąć tę sprawę, a nie nią zarządzać, używaj analityki, która niczego nie zapisuje na urządzeniu i działa w UE.

Wstecz