Google Analytics, GDPR & cookies | Tjekliste til GDPR-compliance | Cookiebot CMP

Google Analytics, GDPR og cookies

Sådan gør du Google Analytics GDPR-compliant på din hjemmeside

Google Analytics er Googles stærke og populære værktøj til trafikanalyse på hjemmesider. Google Analytics giver dig mulighed for at få dybdegående indsigt i realtid i, hvordan din hjemmeside bliver brugt, hvor meget og af hvem.

Google Analytics er nærmest som et levende kort over din hjemmeside, hvor du kan se i realtid, hvordan dine brugere bevæger sig rundt.

Hvor flytter brugerne sig til og fra, og hvad laver de, mens de er på din hjemmeside? Hvad fanger deres opmærksomhed, og hvad går de uden om?

Data som disse giver naturligvis værdifulde indsigter i, hvordan din hjemmeside klarer sig og bringer både din hjemmesides stærke og svage sider frem i lyset, så du nemt kan optimere den.

At se alle disse data i deres kontekst, præsenteret overskueligt i grafer og statistikker, er en øjenåbner for de fleste hjemmeside-ejere og webmastere.

Men hvordan gør Google Analytics dette, vil du måske spørge? 

På et teknisk plan fungerer Google Analytics via JavaScript-tags, der kører på din hjemmesides kildekode, og som typisk styres med Google Tag Manager.

Få mere af vide om Google Tag Manager og Cookiebot CMP

Men fra den anden side af skærmen – fra brugernes synsvinkel – sætter disse JavaScript-tags, der driver Google Analytics, cookies på brugernes browsere, og de cookies indsamler personlige og nogle gange følsomme data om brugerne.

Profilering er akkumulering og kombinering af personlige data til store og nærmest uhyggeligt detaljerede datasæt om enkeltpersoner – om deres vaner, adfærd og præferencer – og det danner grundlaget for adfærdsbaseret annoncering, som så sender skræmmende målrettede online-reklamer tilbage til dine brugere.

Men dine brugere i Europa har ret til databeskyttelse. De er nemlig beskyttet af EU’s databeskyttelsesforordning (GDPR). Databeskyttelsesforordningen er ens på tværs af alle 27 EU-lande og giver brugerne flere rettigheder over deres personlige data – først og fremmest retten til samtykke.

I henhold til EU’s GDPR er du forpligtet til at bede om og indhente eksplicit samtykke, før du må bruge nogen form for cookie eller tracker, der behandler personoplysninger på din hjemmeside.

Og når du bruger Google Analytics på din hjemmeside, sættes der cookies, som behandler persondata på brugernes browsere.

Derfor er det at bruge Google Analytics ikke GDPR-compliant. .

Så… hvordan kan du gøre din hjemmesides brug af Google Analytics GDPR-compliant? Og hvordan balancerer du Google Analytics, cookies og brugernes samtykke på din hjemmeside, så du stadig får værdifulde statistikker og indsigter uden at bryde den europæiske databeskyttelseslovgivning og dine brugeres tillid?

Lad os tage en hurtig gennemgang af Google Analytics og GDPR-compliance på din hjemmeside.

Google Analytics og GDPR-compliance, i korte træk

Tjekliste: Google Analytics og GDPR

Her er en kort liste over, hvad der skal til for at køre Google Analytics, hvor GDPR-kravene overholdes. Hvis du leder efter en mere detaljeret gennemgang, kan du læse mere nedenfor. For at sikre at Google Analytics – inklusiv cookies, trackere og statistikværktøjer – er i fuld overensstemmelse med EU’s databeskyttelsesforordning (GDPR), skal du gøre følgende:

1. Bed om og indhent brugernes samtykke til alle Google Analytics-cookies på din hjemmeside, før de aktiveres og anvendes.
2. Kontroller hver enkelt Google Analytics-cookie, så de kun aktiveres, hvis dine brugere har givet deres udtrykkelige samtykke til dem.
3. Giv klare oplysninger i din hjemmesides cookiepolitik om detaljerne om alle Google Analytics-cookies i drift – herunder deres udbyder, tekniske detaljer, varighed og formål. Dette er vigtigt, da et brugersamtykke kun er gyldigt i henhold til GDPR, hvis det er givet på et informeret grundlag.
4. Saml detaljerede oplysninger i din hjemmesides privatlivspolitik om alle Google Analytics-cookies på din hjemmeside, og om hvilke personoplysninger din hjemmeside generelt behandler.
5. Slå IP-anonymisering til på din Google Analytics-konto, og sørg for, at den bruger pseudonyme identifikatorer.

Alt dette kan virke meget som noget meget kompliceret stof, der garanteret vil give dig hovedpinde, før du overhovedet er begyndt. 

Heldigvis findes Cookiebot CMP by Usercentrics, som er en verdensførende løsning, der automatiserer hele processen med at få dine brugeres samtykke til Google Analytics’ cookies i fuld GDPR-compliance.

Læs mere om plug-and-play løsningen fra Cookiebot CMP nedenfor og find ud af, hvordan Cookiebot CMP gratis kan gøre din hjemmeside og din brug af Google Analytics GDPR-compliant allerede i dag.

Prøv Cookiebot CMP gratis i dag… eller for evigt, hvis du har en mindre hjemmeside.

Scan din hjemmeside for at se, om du bruger cookies fra Google Analytics

Google Analytics og Cookiebot CMP

Automatisk Google Analytics GDPR-compliance med Cookiebot CMP

Cookiebot CMP by Usercentrics er en verdensførende platform til håndtering af cookie-samtykke. Cookiebot CMP scanner din hjemmeside i dybden for at finde og automatisk tilbageholde alle cookies og trackere, der er aktive på din hjemmeside – herunder alle cookies fra Google Analytics.

Cookiebot CMP organiserer din hjemmesides cookies i fire simple kategorier, som dine brugere så kan vælge enten at aktivere eller deaktivere forud for enhver behandling af brugernes data. 

Det er hurtig og enkel GDPR-compliance med blot et par linjers JavaScript. 

Cookiebot CMP gør din hjemmesides brug af Google Analytics GDPR-compliant med – 

• Automatiske og dybdegående scanninger af hele dit domæne, hvor alle aktive cookies og trackere bliver opdaget
• Automatisk blokering af alle cookies og trackere for forudgående, granulært samtykke 
• Udtrykkeligt samtykkevalg mellem fire cookie-kategorier
• Fuld beskrivelse af udbyder, formål, varighed og type for alle cookies
• Sikkert dokumenterede brugersamtykker
• Automatisk samtykke-fornyelse

Opret din gratis konto for at komme i gang og lad Cookiebot CMP tage det besværlige væk fra cookies, Google Analytics og GDPR-compliance.

Prøv Cookiebot CMP gratis i 14 dage… eller for evigt, hvis du har en mindre hjemmeside.

Scan din hjemmeside for at se, hvilke cookies og trackere der er i brug

Google Consent Mode og Google Analytics

Brug Google Analytics i GDPR-compliant tilstand uden at miste analysedata

Google Consent Mode blev lanceret 3. september 2020 og er et stort skridt i retning af balance mellem databeskyttelse og analytics på din hjemmeside.

Google Consent Mode er en åben API, som gør, at din hjemmeside kan køre Google Analytics baseret på dine brugeres samtykketilstand i en sømløs integrering med Cookiebot CMP.

Med Google Consent Mode kan du håndtere dine cookies, Google Analytics og GDPR-brugersamtykker på en gang – så du er sikret compliant analyseindsigter på din hjemmeside.

Hvis brugerne ikke giver deres samtykke til statistik-cookies, så sikrer Google Consent Mode, at du stadig får aggregeret og ikke-identificerende indsigt i din hjemmeside performance såsom –

• Tidsstempler
• Brugeragenter
• Referrers, altså information om hvilken hjemmeside dine brugere klikker sig ind på din hjemmeside fra
• Andre grundlæggende målinger til modellering

Google Consent Mode sikrer fuld GDPR-compliance samtidig med, at du får optimerede analysedata – med respekt for både brugernes privatliv og din hjemmesides behov for data og brugerindsigter.

Ved at bruge en consent management platform (CMP) som Cookiebot CMP til at bede om og indhente samtykke til behandling af personoplysninger fra brugerne, kan din hjemmeside lade Google Consent Mode køre alle dine foretrukne Google-tjenester på en simpel og compliant måde. 

Prøv Google Consent Mode på din hjemmeside sammen med Cookiebot CMP for at opnå balance mellem Google Analytics, GDPR og cookies.

Læs Google’s blogindlæg for mere info om Google Consent Mode

Prøv Cookiebot CMP gratis i 14 dage… eller for altid, hvis du har en mindre hjemmeside.

Scan din hjemmeside for at se, hvilke cookies og trackere der er i brug

Google Analytics og GDPR-compliance, detaljeret gennemgang

Få mere af vide om EU’s GDPR, Google Analytics og cookies

Lad os gå lidt mere i dybden med EU’s GDPR, hvilke konsekvenser det har for din hjemmeside og hvilke slags cookies, Google Analytics bruger. 

Persondataforordningen (GDPR) gælder i hele EU og beskytter alle EU-borgeres persondata. Persondataforordningen indeholder strenge krav til, hvordan hjemmesider, virksomheder og organisationer i hele verden må indsamle og behandle persondata fra personer i EU. 

EU’s GDPR gælder for alle hjemmesider i hele verden, som behandler personoplysninger fra personer i EU. 

Kort sagt kræver EU’s GDPR, at du skal bede om og indhente udtrykkeligt samtykke fra indbyggere i EU, før du behandler deres personlige oplysninger.

Persondata, i henhold til EU’s GDPR, er enhver form for data, der kan identificere en person – enten direkte eller indirekte. 

Denne definition omfatter almindelige online-identifikatorer som eksempelvis cookies, unikke ID’er, Client ID’er, IP-adresser, søge- og browserhistorik og mange andre typer data, der hver dag indsamles på internettet fra brugere, når de besøger hjemmesider.

Cookies tjener en række forskellige formål – fra funktionalitet, ydeevne og statistik til målrettet reklame. Nogle cookies er nødvendige for, at din hjemmeside kan fungere, mens andre ikke er nødvendige. Nogle forbedrer brugeroplevelsen, nogle tjener til overvågning og brugerprofilering, og nogle gør begge dele.

Det er her, at Google Analytics og GDPR overlapper hinanden, fordi Google Analytics bruger cookies til at spore brugerne af din hjemmeside og deres adfærd.

Vidste du, at hjemmesider i gennemsnit har 20 aktive cookies? 
Skan din hjemmeside gratis for at finde og styre dem alle

Prøv Cookiebot CMP gratis i dag… eller for altid, hvis du har en mindre hjemmeside.

Google Analytics’ cookies på din hjemmeside

Google Analytics bruger flere forskellige HTTP-cookies til at spore brugere og deres adfærd på din hjemmeside og til at skelne brugerne og huske dem over tid samt ved gentagne besøg.

Vær opmærksom på, at alle Google Analytics-cookies skal have brugernes samtykke for at være compliant med EU’s GDPR.

Kun de såkaldte ”nødvendige cookies” må være aktive på din hjemmeside uden brugernes samtykke, dvs. cookies der er strengt nødvendige for de grundlæggende funktioner på dit domæne.

Google Analytics-cookies kan dog ikke klassificeres som nødvendige cookies.

Google Analytics sætter følgende cookies, når værktøjet bruges på din hjemmeside – 

• _ga (cookie der bruges til at skelne individuelle brugere på dit domæne; udløber efter 2 år)
• _gid (cookie der bruges til at skelne individuelle brugere på dit domæne; udløber efter 24 timer)
• _gat (cookie der bruges til at begrænse antallet af brugerforespørgsler for at opretholde din hjemmesides performance; udløber efter 1 minut)
• AMP_TOKEN (cookie der indeholder et unikt ID, som tildeles hver enkelt bruger på dit domæne; udløber efter et sted mellem 30 sekunder og 1 år)
• _gac_<property-id> (cookie der indeholder et unikt ID, som får Google Analytics og Ads til at arbejde sammen; udløber efter 90 dage)

Disse Google Analytics-cookies bliver gemt på dine brugeres browsere, når brugerne lander på din hjemmeside. På den måde kan Google Analytics skelne og huske hver individuelle bruger, følge dem på tværs af forskellige hjemmesider og give dig et detaljeret kort over deres rejse til og fra dit domæne.

Som det fremgår ovenfor, udløber nogle Google Analytics-cookies efter 1 minut (f.eks. _gat-cookien), mens andre Google Analytics-cookies bliver på brugerens browser i op til 2 år (f.eks. _ga-cookien).

Men uanset deres varighed hører alle de ovennævnte cookies fra Google Analytics under GDPR’s definition af personoplysninger.

Det skyldes, at Google Analytics-cookies indsamler oplysninger, der kan bruges til at identificere en person – nogle gange direkte og andre gange indirekte i kombination med andre data.

Data, som Google Analytics’ cookies indsamler, omfatter – 

• Client ID’er bestående af en talstreng, der er unik for hver bruger på din hjemmeside
• Antal gange og tidspunkt på dagen for tidligere besøg på din hjemmeside
• Oplysninger om, hvordan brugerne fandt din hjemmeside og deres søge- og browserhistorik
• IP-adresser (medmindre det er slået fra på din Google Analytics-konto)

Få mere at vide om GDPR og cookie-samtykke på din hjemmeside

Google udfaser tredjepartscookies – men samtykke er kommet for at blive

Få mere at vide om GDPR-compliant hjemmeside-tracking

I gennemsnit er der ca. 20 cookies på en hjemmeside. 

Ifølge undersøgelsen Beyond the Front Page fra 2020 gælder det at – 

• 72% af cookies bliver indlæst i al hemmelighed af andre tredjepartscookies
• 18% af cookies er såkaldte “trojanske heste”, dvs. cookies der er gemt så dybt som otte lag inde i andre cookies
• 50% af disse “trojanske heste” ændrer sig ved gentagne besøg fra din hjemmesides brugere.

Cookies vil blive sat fra din hjemmeside, hvis du bruger Google Analytics eller et lignende værktøj til hjemmesideanalyse. Men andet indlejret indhold på din hjemmeside sætter også cookies. Det gælder eksempelvis performance- og marketingsværktøjer som HubSpot, indlejrede videoer fra tredjeparts-platforme som YouTube eller Vimeo samt plugins til sociale medier som eksempelvis Facebooks like-knapper. 

Disse cookies behandler persondata fra brugerne på din hjemmeside. 

At bruge en fuldautomatisk cookie-løsning som Cookiebot CMP er et vigtigt værktøj til, at din hjemmeside overholder kravene fra GDPR. Det sikrer nemlig, at Google Analytics-cookies og andre sporingsteknologier fra tredjeparter bliver opdaget og styret, så brugeren kan give deres gyldige samtykke.

Prøv Cookiebot CMP gratis i 14 dage… eller for altid, hvis du har en mindre hjemmeside.

Skan din hjemmeside gratis for at kontrollere alle Google Analytics’ cookies

3 trin til at gøre Google Analytics GDPR-compliant

Her får du en trin-for-trin vejledning til, hvordan du indsamler gyldigt samtykke i compliance med GDPR til Google Analytics og cookies på din hjemmeside. 

Trin 1 – brugersamtykke

Du skal bede om og få udtrykkeligt og gyldigt samtykke fra din hjemmesides brugere, før du kan bruge Google Analytics, hvor GDPR overholdes.

Et gyldigt GDPR-samtykke ser således ud –

• Der skal indhentes forudgående og udtrykkeligt samtykke før aktivering af cookies (med undtagelse af nødvendige cookies). 
• Samtykket skal være granulært, dvs. at brugerne skal kunne aktivere nogle cookies frem for andre og ikke være tvunget til at give samtykke til enten alle cookies eller ingen.
• Samtykket skal gives frit, dvs. at det må ikke tvinges.
• Samtykket skal kunne trækkes tilbage lige så let, som det er givet.
• Samtykket skal opbevares sikkert som juridisk dokumentation for, at samtykket er indhentet.
• Samtykket skal fornyes mindst én gang om året. Nogle nationale retningslinjer for databeskyttelse anbefaler dog hyppigere fornyelser, f.eks. hver 6. måneder. Tjek dine lokale retningslinjer for databeskyttelse for at sikre, at de overholdes.

Trin 2 – hav en udtømmende privatlivs- og cookiepolitik

Din privatlivspolitik skal indeholde detaljerede oplysninger om alle Google Analytics-cookies og andre tracking-teknologier, der anvendes på din hjemmeside.

Her skal du sørge for gennemsigtighed om databehandlingen på din hjemmeside. Sørg for, at al databehandling på din hjemmeside er tydeligt angivet i din privatlivspolitik – herunder hvilke formål du indsamler data til, hvilke typer af data du indsamler og hvem du deler dem med.

Få mere at vide om GDPR-compliant privatlivspolitiks

Din cookiepolitik bør – enten som en del af din privatlivspolitik eller som en tilføjelse til denne – være frit tilgængelig for dine brugere. Din cookiepolitik skal beskrive, hvilke cookies der anvendes, hvilket formål de tjener og hvordan man kan til- og fravælge dem. 

Cookiebot CMP giver dig automatisk en udtømmende cookiepolitik, der altid er opdateret.

Trin 3 – slå IP-anonymisering til i din Google Analytics-konto

IP-adresser er defineret som personoplysning i EU’s databeskyttelsesforordning (GDPR). IP-adresser bliver som standard aldrig vist i de rapporter, du får fra Google Analytics, men Google bruger IP-adresserne til at levere data om geo-lokationer.

Det er grunden til, at det er en god idé at slå IP-anonymisering til i Google Analytics. 

Denne ændring vil reducere nøjagtigheden af den geografiske rapportering for din Google Analytics-konto en smule. For at slå anonymisering til skal du lave en ændring i koden: 

Hvis du bruger Google Tag Manager, skal du justere dit tag eller Google Analytics’ variabel ved at klikke ind på More Settings -> Fields to Set og derefter tilføje et nyt field ved navn ‘anonymizeIp’ med værdien ‘true’. 

Hvis du ikke burger Google Tag Manager, har dit tag management-system måske samme indstilling fremhævet som en mulighed, og ellers skal du muligvis redigere direkte i koden. 

Når det er implementeret, anonymiserer Google IP-adressen så hurtigt, som det teknisk er muligt ved at fjerne den sidste oktet i IP-adressen, inden nogen lagring eller behandling påbegyndes (din IP-adresse bliver da 123.123.123.0 – hvor den sidste del/oktet bliver erstattet med et ’0’).

Når denne funktion er aktiveret, vil den fulde IP-adresse ifølge Google aldrig blive gemt på disken. 

Kontroller desuden dine pseudonyme identifikatorer i Google Analytics for at sikre dig, at dataene ikke kan identificeres.

Din Google Analytics-implementering bruger måske allerede pseudonyme identifikatorer som f.eks. –

• Bruger-ID (sørg for, at bruger-ID’er er alfanumeriske database-ID’er og ikke data skrevet som almindelig tekst).
• Hashede eller krypterede data (Google har et minimumskrav til hashing på SHA256. Det anbefales dog at undgå at indsamle data på denne måde).
• Transaktions-ID (sørg for, at dette ID er en alfanumerisk database-identifikator).

Google Analytics og GDPR-compliance i Tyskland

Minimumskrav til brug af Google Analytics iht. GDPR i Tyskland

Den 12. maj 2020 udstedte Tysklands tilsynskomité for databeskyttelse DSK (Datenschutzkonferenz) retningslinjer om minimumskrav til brugen af Google Analytics på hjemmesider i Tyskland.

DSK’s minimumskrav gælder for almindelig brug af Google Analytics (dvs. standardindstillinger fra Google, så i praksis sådan som de fleste hjemmesider bruger analyseværktøjet).

DSK’s minimumskrav til brug af Google Analytics i Tyskland omfatter, men er ikke begrænset til –

• Hjemmesider må kun bruge Google Analytics, hvis der er indhentet samtykke. Brugerne skal give et klart, bekræftende og udtrykkeligt samtykke (i overensstemmelse med de generelle GDPR-krav for gyldigt samtykke) til de specifikke behandlingsaktiviteter, som sker i forbindelse med brugen af Google Analytics og den tilhørende overførsel af persondata til Google LCC i USA.
• Før brugeren har givet sit aktive og dermed udtrykkelige samtykke, må der ikke indsamles nogen data eller downloades nogen elementer fra Googles hjemmesider. Hjemmesider skal udtrykkeligt angive Google som modtager af personoplysningerne. 
• Hjemmesider skal tydeligt informere brugerne om, at deres personoplysninger ikke er anonymiseret, at personoplysningerne vil blive overført til Google samt behandlet og gemt af Google. Der skal også informeres om, at amerikanske statsmyndigheder har adgang til disse persondata og at Google bruger oplysningerne til sine egne formål (som eksempelvis profilering og tracking på tværs af platforme). 
• Hjemmesiders privatlivspolitikker skal indeholde informative forklaringer af, hvilke formål Google Analytics bliver brugt til. Hjemmesider skal forkorte brugernes IP-adresser som en beskyttelsesforanstaltning ud over (og ikke i stedet for) de andre GDPR-krav (følg Googles egen vejledning) og angive i deres privatlivspolitikker, om denne forkortning af IP-adresser bliver brugt i deres Google Analytics-opsætning.
• Hjemmesider skal altid sørge for at have en simpel og tilgængelig mekanisme til brugerne, så de altid kan tilbagetrække deres samtykke til at deres persondata må blive behandlet af Google.
• Googles egen browsertilføjelse er ikke en mekanisme, der er i overensstemmelse med GDPR-reglerne, når det kommer til tilbagetrækning af brugersamtykke.

Læs mere om DSK’s minimumskrav til brugen af Google Analytics i henhold til GDPR (blogindlæg på tysk)

Prøv Cookiebot CMP gratis i 14 dage… eller for altid, hvis du har en mindre hjemmeside, og gør din hjemmeside og dens brug af Google Analytics GDPR-compliant.

FAQ

Kilder

Google Analytics

Google Consent Mode

GDPR Report: GDPR og Google Analytics (engelsk)

Shivarweb: Hvad gør Google Analytics? (engelsk)

Google developers guide: Google Analytics’ cookie-brug på hjemmesider (engelsk)

Stackoverflow: Hvilke data indsamler Google Analytics (som standard) (engelsk)

Googles Privatlivspolitik

Medie: Google Analytics og GDPR-Compliance (engelsk)

Google Ads Vilkår for Databeskyttelse: Service Information (engelsk)

GOOGLE I EUROPA Bliv klar til Europas nye databeskyttelsesregler (engelsk)

Google’s EU-brugersamtykke politik (engelsk)

Fuld klassifikation af Google Ads’ produkter (engelsk)