Czy Google Analytics gromadzi dane osobowe?
Najpierw ustal konkretną konfigurację: z której usługi Google Analytics i jakich ustawień korzystasz?
Krótka odpowiedź brzmi: czasami. To, czy Google Analytics gromadzi dane osobowe w rozumieniu RODO, zależy od tego, jakie dane wysyła dana witryna, jak Google je przetwarza i czy można je powiązać z możliwą do zidentyfikowania osobą. Samo wskazanie nazwy produktu nie wystarczy, by właściciel witryny mógł rozstrzygnąć tę kwestię. Zależność między konfiguracją usługi a wymogami ochrony danych warto rozważać w kontekście tematu Google Analytics a RODO.
Najpierw ustal, z której usługi korzystasz. Witryna może używać Google Analytics 4 (GA4), starszej usługi Universal Analytics albo obu tych rozwiązań w okresie przejściowym. Sposoby gromadzenia danych i dostępne opcje kontroli różnią się, a działanie produktów Google zmienia się z czasem. Sprawdź bieżącą konfigurację usługi i tagów zamiast polegać na nieaktualnym poradniku instalacji.
Następnie prześledź cały system. Tag GA4 może działać za pośrednictwem Google Tag Managera, platformy do zarządzania zgodami, tagu reklamowego albo wtyczki, która automatycznie dodaje pola. Identyfikatory mogą trafiać do analityki także z formularza lub bazy klientów. W rezultacie ta sama usługa może wiązać się z odmiennymi kwestiami dotyczącymi prywatności na dwóch różnych witrynach.
Skup się na konkretach: jednej usłudze, jednym zestawie tagów i danych, które są faktycznie wysyłane. Jeśli konto obejmuje osobne usługi dla publicznego bloga i serwisu wymagającego logowania, przeanalizuj je niezależnie. Ich cele i przepływy danych mogą się różnić.
Prześledź przepływ danych z jednej wizyty
Wyobraź sobie, że użytkownik otwiera stronę produktu z wyników wyszukiwania. Na stronie uruchamia się tag Google Analytics, który może wysłać zdarzenie, takie jak wyświetlenie strony, wraz ze szczegółami skonfigurowanymi przez witrynę. W zależności od wdrożenia mogą to być adres strony, informacje o przeglądarce, nazwa zdarzenia lub identyfikator.
Następnie Google otrzymuje żądanie i przetwarza je zgodnie z konfiguracją produktu oraz obowiązującymi warunkami. Witryna może też przesyłać informacje za pośrednictwem powiązanych usług, takich jak funkcje reklamowe czy zaimportowana grupa odbiorców. Wizyta niekoniecznie oznacza jeden odrębny rekord: ustawienia mogą wpływać na sposób łączenia zdarzeń, ich raportowania lub udostępniania innym narzędziom.
Przyjrzyj się uważnie adresowi strony. Może on zawierać adres e-mail, wyszukiwane hasło, numer konta lub inne szczegóły, jeśli witryna umieszcza je w parametrze zapytania. Przykładowo link do zresetowania hasła może zawierać token. Jeśli tag zapisuje pełny adres URL, witryna może wysyłać więcej niż tylko nazwę strony.
Wystarczy jedno żądanie.
Nie oznacza to, że każda wizyta pozwala ustalić, kto konkretnie ją odbył. Oznacza natomiast, że właściciel witryny powinien sprawdzić wysyłane żądania i powiązane systemy, zamiast zakładać, że analityka otrzymuje wyłącznie anonimowe dane zbiorcze. Jeśli zastanawiasz się, jak sprawdzić, jakie dane wysyła Google Analytics, użyj narzędzi przeglądarki, podglądu tagów i wizyty testowej, aby prześledzić żądania. Zapisz wyniki dla analizowanej usługi.
Rozróżnij gromadzenie danych od ich statusu jako danych osobowych
Gromadzenie danych i ich status jako danych osobowych to powiązane, ale odrębne kwestie. Zdarzenie wyświetlenia strony jest daną. To, czy stanowi dane osobowe w rozumieniu RODO, zależy od jego treści i kontekstu, w tym od tego, czy daną osobę można zidentyfikować bezpośrednio lub pośrednio na podstawie informacji dostępnych witrynie lub innemu podmiotowi.
Identyfikator, który wygląda na losowy, nadal może mieć znaczenie. Jeśli pozwala rozróżniać tę samą przeglądarkę w czasie lub można go połączyć z rekordem klienta, może umożliwiać wyróżnienie konkretnej osoby, nawet jeśli w raporcie analitycznym nie widać jej imienia i nazwiska. Witryna, która może powiązać identyfikator zdarzenia z kontem zalogowanego użytkownika, powinna ocenić to powiązanie, a nie tylko nazwę przypisaną do pola.
Kontekst zmienia odpowiedź.
Rozważ dwa rekordy o tej samej nazwie zdarzenia: „view_item”. Jeden to ogólna liczba wyświetleń publicznej strony produktu. Drugi zawiera stały identyfikator użytkownika, który firma może powiązać z kontem i historią zakupów. Nazwa zdarzenia się nie zmieniła, ale zmieniła się możliwość powiązania rekordu z konkretną osobą.
Dlatego na pytanie „czy Google Analytics gromadzi dane osobowe w rozumieniu RODO?” nie ma jednej odpowiedzi „tak” lub „nie”, która pasowałaby do każdej witryny. W praktyce ocenia się użyte identyfikatory, dodatkowe dane, dostęp do nich oraz możliwość ich powiązania w ramach konkretnego przetwarzania. Informacje pseudonimizowane nie stają się automatycznie anonimowe tylko dlatego, że nie zawierają nazwisk.
Sprawdź pola i funkcje, które wpływają na ocenę
Sprawdź pola i funkcje, które mogą wpływać na możliwość identyfikacji lub ilość gromadzonych informacji. Nie zakładaj, że dana funkcja jest aktywna lub nieaktywna tylko dlatego, że opisano ją w starszym poradniku konfiguracji. Sprawdź bieżące ustawienia usługi i dokumentację Google.
Obsługa adresów IP: Sprawdź, jakie dane odbiera i przetwarza obecna wersja produktu oraz jakie mechanizmy kontroli mają zastosowanie. Nie zakładaj, że adresy IP są anonimizowane, opierając się na ustawieniu ze starszej wersji Analytics.
Identyfikatory użytkowników: Jeśli witryna wysyła identyfikator konta, sprawdź, czy jest on stały, czy można powiązać go z klientem i czy witryna ma podstawę do wysyłania go w skonfigurowanym celu.
Google Signals i funkcje reklamowe: Sprawdź, czy są włączone, jakie informacje wykorzystują oraz czy wpływają na raportowanie lub udostępnianie danych w danej usłudze.
Parametry adresu URL: Sprawdź rzeczywiste strony pod kątem danych osobowych w ciągach zapytania, fragmentach adresu i linkach przekierowujących. Token lub adres e-mail może znaleźć się w adresie strony, nawet jeśli nikt nie zamierzał używać go jako pola analitycznego.
Wymiary niestandardowe i zdarzenia: Sprawdź nazwy i wartości wysyłane przez witrynę. Pole niestandardowe „rodzaj abonamentu” może być nieszkodliwe w jednej konfiguracji, ale pole zawierające adres e-mail, odpowiedź w formie dowolnego tekstu lub informację o zdrowiu budzi inne zastrzeżenia.
Sprawdź też, co dzieje się z danymi po ich trafieniu do usługi. Powiązane konta, eksporty i integracje mogą zwiększyć liczbę osób mających dostęp do informacji lub zmienić sposób ich wykorzystania. Ustawienie ograniczające gromadzenie danych nie rozstrzyga wszystkich kwestii związanych z ich późniejszym użyciem.
Co rozstrzygają warunki Google, a czego nie
Dokumenty umowne Google mogą opisywać role Google i klienta w odniesieniu do określonych operacji przetwarzania, w tym sytuacje, w których Google działa jako podmiot przetwarzający. Zapoznaj się z warunkami mającymi zastosowanie do usługi i konta oraz sprawdź ich aktualne brzmienie. Sam opis produktu nie przesądza o pełnej zgodności witryny z RODO.
Właściciel witryny nadal musi ocenić własne cele, podstawę prawną, obowiązki informacyjne, konfigurację oraz ewentualne ujawnianie danych lub ich przekazywanie. Dostawca może oferować ustawienia i warunki umowne, ale nie oznacza to, że każde użycie analityki jest automatycznie zgodne z prawem. Samo wybranie banera zgody nie dowodzi też, że tagi działają zgodnie z jego zapowiedziami.
Role mogą również zależeć od konkretnego przetwarzania. Witryna może decydować, dlaczego chce mierzyć wizyty i jakie zdarzenia wysyłać, podczas gdy dostawca przetwarza informacje na podstawie określonych warunków świadczenia usługi. Liczą się szczegóły — nie przypisuj ról na podstawie ogólnego wzoru bez sprawdzenia rzeczywistych ustaleń dotyczących usługi.
Właściciel niewielkiej witryny może w praktyce sporządzić wykaz usługi, tagów, powiązanych narzędzi, celów i odpowiednich warunków. Jeśli witryna przetwarza dane wrażliwe albo korzysta ze złożonych integracji reklamowych, skorzystaj z porady specjalisty ds. ochrony prywatności. Nie traktuj ekranu ustawień jako analizy prawnej.
Ukierunkowany audyt dla właściciela witryny
Krótki, udokumentowany audyt jest bardziej przydatny niż ogólna obietnica „korzystania z ustawień przyjaznych prywatności”. Wykonaj poniższe kroki dla każdej usługi Analytics:
Wypisz usługę i tagi. Zapisz, czy witryna korzysta z GA4, starszej usługi, Google Tag Managera, wtyczek czy kodu dodanego bezpośrednio. Uwzględnij strony, na których uruchamia się każdy tag.
Przetestuj wizytę. Otwórz czystą sesję przeglądarki, odwiedź najważniejsze strony i sprawdź żądania wychodzące za pomocą narzędzi deweloperskich przeglądarki lub funkcji debugowania tagów. Zapisz nazwy zdarzeń, adresy stron i identyfikatory, a następnie usuń lub zamaskuj znalezione wrażliwe wartości.
Sprawdź działanie zgód. Przetestuj oba możliwe wybory w interfejsie zgód witryny. Ustal, czy tagi analityczne czekają, są blokowane lub działają inaczej, a następnie porównaj wyniki z informacjami podanymi w polityce witryny.
Przejrzyj zdarzenia i integracje. Sprawdź zdarzenia niestandardowe, identyfikatory użytkowników, powiązane usługi reklamowe, importy i eksporty. Zapytaj zespół odpowiedzialny za każdą integrację, jakie dane są wysyłane i w jakim celu.
Sprawdź okres przechowywania i dostęp. Przejrzyj ustawienia przechowywania danych w usłudze, użytkowników konta i miejsca docelowe eksportu. Odbierz dostęp osobom, które nie potrzebują go już do celów służbowych, i udokumentuj aktualne ustawienia.
Usuń niezamierzone dane. W miarę możliwości usuń dane osobowe z adresów URL lub wartości zdarzeń u źródła. Jeśli dane pole nie powinno być wysyłane, zatrzymaj je, zanim dotrze do tagu, zamiast polegać wyłącznie na filtrze w raporcie.
Powtórz kontrolę po przebudowie witryny lub instalacji nowej wtyczki. Nowy proces płatności, logowania lub formularz może zmienić wysyłane dane, nawet jeśli nikt bezpośrednio nie zmieniał usługi Analytics.
Udzielaj odwiedzającym precyzyjnej i rzetelnej odpowiedzi
Przydatna polityka prywatności powinna opisywać faktyczne działania witryny, a nie zawierać ogólnego stwierdzenia, że „Google Analytics jest anonimowe”. Wskaż cel, na przykład sprawdzanie, które strony odwiedzają użytkownicy, oraz wyjaśnij, jakie kategorie danych są gromadzone, czy są udostępniane i jakie możliwości wyboru mają odwiedzający. Treść powinna być zgodna z działaniem tagów ustalonym podczas audytu.
Wyjaśnij podstawę prawną, na której witryna opiera się dla każdego istotnego celu, oraz sposób, w jaki odwiedzający może skorzystać z przysługujących mu praw. W niektórych sytuacjach śledzenie może wymagać zgody, ale nie jest ona uniwersalną odpowiedzią na każde pytanie dotyczące RODO. Witryna musi ocenić konkretne przetwarzanie i mające zastosowanie przepisy.
Jasno przedstawiaj ograniczenia. Jeśli witryna używa identyfikatora, który można powiązać z kontem zalogowanego użytkownika, opisz to precyzyjnie. Jeśli go nie wysyła, nie sugeruj, że jest inaczej. Odpowiedź powinna odzwierciedlać usługę, tagi i przepływ danych sprawdzone w witrynie, a nie ogólny opis Google Analytics.
