Google Analytics 与 GDPR：如何审查个人数据
先了解具体配置：使用的是哪个 Google Analytics 媒体资源？配置如何？
简短回答：有时会。Google Analytics 是否收集个人数据，取决于具体网站发送了哪些信息、Google 如何处理这些信息，以及这些信息能否与可识别的个人关联起来。网站所有者不能只凭产品名称就得出结论。
首先确认正在使用的媒体资源。网站可能使用 Google Analytics 4（GA4）、较早的 Universal Analytics 媒体资源，或在迁移期间同时使用两者。它们的收集方式和可用控制项各不相同，而且 Google 的产品行为也会随时间变化。请在媒体资源和代码配置中核实当前设置，不要仅依赖过时的安装指南。
接着梳理周边系统。GA4 代码可能通过 Google Tag Manager、同意管理平台、广告代码，或会自动添加字段的插件运行。表单工具或客户数据库也可能向 Analytics 传递标识符。因此，同一个媒体资源在不同网站上可能带来不同的隐私问题。
明确审查范围：一个媒体资源、一组代码，以及这些代码实际发送的数据。如果一个账号为公开博客和登录后才能使用的服务分别设置了媒体资源，请逐一审查。它们的用途和数据流可能并不相同。
追踪一次访问在分析流程中的流转
设想一位访客从搜索结果打开某个产品页面。页面加载 Google Analytics 代码，代码可能会发送页面浏览等事件，以及网站配置的相关信息。根据具体实现，这些信息可能包括网页地址、浏览器信息、事件名称或标识符。
随后，Google 会根据适用的产品设置和条款接收并处理请求。网站也可能通过关联服务发送信息，例如广告功能或导入的受众群体。一次访问未必只对应一条孤立记录：设置可能影响事件如何关联、报告，或与其他工具共享。
仔细检查网页地址。如果网站将电子邮箱、搜索词、账号、号码或其他信息放进查询参数，URL 就可能包含这些内容。例如，密码重置链接可能带有令牌。如果代码记录完整 URL，网站发送的就不只是页面名称。
一个请求就足以带来风险。
这并不意味着每次访问都能识别出具体姓名，但网站所有者应检查请求和相关系统，而不是想当然地认为 Analytics 只会收到匿名计数。浏览器工具、代码预览功能和测试访问有助于发现实际发送的内容；请记录本次审查所涉及媒体资源的检查结果。
区分数据收集与个人数据认定
数据是否被收集，以及它是否属于个人数据，是两个相关但并不相同的问题。页面浏览事件属于数据。它是否构成 GDPR 下的个人数据，取决于其内容和具体情境，包括网站或其他方能否利用掌握的信息直接或间接识别某个人。
看似随机的标识符也可能具有影响。如果它能在一段时间内区分某个浏览器，或能与客户记录关联起来，即使 Analytics 报告中没有显示姓名，它仍可能帮助识别某个人。如果网站能将某个事件 ID 与已登录账号关联，就应评估这种关联，而不应只看字段名称。
具体情境会改变判断。
设想两条事件名称都为“view_item”的记录。一条是公开产品页面的一般浏览量；另一条包含持久用户 ID，而公司可以将其与账号及购买记录匹配。事件标签没有变化，但记录的可关联性不同。
因此，对“根据 GDPR，Google Analytics 是否会收集个人数据？”这个问题，不能给所有网站一个一概而论的肯定或否定答案。实际评估应考虑具体处理活动中涉及的标识符、其他数据、访问权限和可关联性。仅仅因为没有姓名，假名化信息就不一定是匿名信息。
检查可能影响评估结果的字段和功能
检查可能影响可识别性或数据收集量的字段和功能。不要因为某项功能出现在旧版配置指南中，就认定它目前已启用或已停用。请核对当前媒体资源设置和 Google 文档。
IP 地址处理： 确认当前产品版本会接收和处理哪些信息，以及适用哪些控制项。不要依据旧版 Analytics 的设置，就断言 IP 地址已匿名化。
用户 ID： 如果网站发送账号标识符，请检查它是否稳定、能否与客户匹配，以及网站是否有权出于当前配置的目的发送该标识符。
Google Signals 和广告功能： 检查这些功能是否已启用、会使用哪些信息，以及它们是否会改变该媒体资源的数据报告或共享方式。
URL 参数： 检查实际页面的查询字符串、片段标识符和重定向链接中是否含有个人信息。即使没人打算将令牌或电子邮箱用作 Analytics 字段，它们也可能意外出现在页面地址中。
自定义维度和事件： 检查网站发送的名称和值。在某种配置中，名为“套餐类型”的自定义字段可能无害；而包含电子邮箱、自由文本回答或健康信息的字段，则会带来不同的问题。
还要检查数据进入媒体资源后会发生什么。关联账号、导出和集成可能扩大信息的访问范围或改变信息的使用方式。限制数据收集的设置，并不能回答后续使用方面的所有问题。
Google 的角色和条款能解决什么，不能解决什么
Google 的合同文件可能会说明 Google 与客户在特定处理活动中的角色，包括 Google 在某些情况下作为处理者的情形。请阅读适用于相关服务和账号的条款，并核实其当前版本。仅凭产品说明，无法确定网站在 GDPR 下的整体合规情况。
网站所有者仍需评估自身的处理目的、法律依据、信息透明度、配置，以及适用的信息披露或数据传输要求。服务提供商可能会提供设置和合同条款，但这并不意味着 Analytics 的所有使用方式都会自动合法。选择了同意横幅，也不能证明代码的实际行为符合横幅所承诺的内容。
不同处理活动中的角色也可能有所不同。网站可能决定为何要衡量访问情况以及要发送哪些事件，而服务提供商则根据特定服务条款处理信息。具体细节很重要；不要未经核实实际服务安排，就套用通用模板划分角色。
对小型出版商来说，务实的做法是记录媒体资源、代码、关联服务、处理目的和相关条款。如果网站处理敏感信息，或依赖复杂的广告集成，应寻求合格的隐私专业建议，而不要把设置页面当作法律审查。
网站所有者可进行的专项审计
开展一次Google Analytics GDPR 合规审查，并记录发现，比笼统承诺“使用隐私友好设置”更有帮助。要明确如何审计 Google Analytics 数据收集，可针对每个媒体资源依次完成以下步骤：
列出媒体资源和代码。 记录网站使用的是 GA4、旧版媒体资源、Google Tag Manager、插件还是直接嵌入的代码，并注明每段代码会在哪些页面加载。
测试一次访问。 打开一个干净的浏览器会话，访问关键页面，并使用浏览器开发者工具或代码调试功能检查发出的请求。记录事件名称、页面地址和标识符，然后删除或屏蔽发现的任何敏感值。
检查同意机制的实际行为。 在网站的同意界面中分别测试两种选择。确认 Analytics 代码是否会等待、被阻止，或以不同方式运行，并将结果与网站声明的政策进行比对。
检查事件和集成。 查看自定义事件、用户 ID、关联的广告服务、数据导入和导出。向负责各项集成的团队确认它们发送哪些信息以及发送原因。
检查保留期限和访问权限。 查看媒体资源的数据保留设置、账号用户和数据导出目的地。撤销已无业务需要的访问权限，并记录当前设置。
修复意外发送的数据。 尽可能从源头移除 URL 或事件值中的个人信息。如果某个字段不应发送，应在数据到达代码之前阻止它，而不要只依赖报告筛选器。
网站改版或安装新插件后，应再次检查。新建结账流程、登录流程或表单，都可能改变发送的数据，即使没有人直接修改 Analytics 媒体资源也是如此。
给访客一个准确且审慎的答复
实用的隐私声明应描述网站的实际做法，而不应笼统宣称“Google Analytics 是匿名的”。明确说明处理目的，例如了解访客会使用哪些页面，并解释收集的数据类别、相关信息共享情况以及访客可作出的选择。声明内容应与审计中观察到的代码行为一致。
说明网站针对每项相关目的所依据的法律基础，以及访客如何行使适用的权利。在某些情形下，某些追踪行为可能需要取得同意，但同意并不能一概解决所有 GDPR 问题；网站仍须评估具体处理活动和适用规则。
坦诚说明限制。如果网站使用的标识符能够与已登录账号关联，就应准确说明；如果网站不会发送该标识符，也不要暗示会发送。答复应与网站上经过测试的媒体资源、代码和数据流相符，而不是照搬对 Google Analytics 的通用描述。
