A Google Analytics használatára a GDPR (General Data Protection Regulation) bizonyos követelményei vonatkoznak . Az adatvédelem és a Google Analytics régóta ellentmondásban van egymással. Legkésőbb az EB nyomon követésről szóló ítélete óta engedélyezték a Google Analytics számára az engedélyezést. Ebben az összefüggésben fontos a Google Analytics cookie-k feldolgozásának kérdése. A Google Analytics jogilag biztonságos integrációjához a hozzájáruláskezelési szolgáltatók (CMP-k) nyújtanak támogatást. A cookie-k hozzájárulásával kapcsolatos megoldásokkal hozzájárul a Google Analytics adatvédelméhez.
A Google Analytics áttekintése: az adatvédelem fontossága
A nagyobb webhelyek többsége elemző eszközökre támaszkodik, hogy következtetéseket vonjon le a látogatók viselkedésére vonatkozóan. A legnépszerűbb felhasználóelemző eszköz a Google Analytics. Amint az a különböző statisztikákból látható, ezt az eszközt a felméréstől függően az összes webhely körülbelül felében használják. Ez a népszerűség egyrészt annak köszönhető, hogy a Google különösen nagy mennyiségű felhasználói adathoz fér hozzá . Másrészt a népszerűség abból fakad, hogy a Google Analytics számos funkciója ingyenes minden felhasználó számára .
A Google Analytics cookie-kat használ a felhasználói adatok értékelésére. Ezek a kis fájlok a látogató böngészőjében tárolódnak. A felhasználóknak számos lehetőségük van különböző adatok gyűjtésére a testreszabott beállításoknak megfelelően. A Google Analytics ezután lehetővé teszi a webhelyek üzemeltetői számára, hogy különféle paraméterek szerint feldolgozzák és értékeljék az adatokat. Ezen az alapon olyan értékes kulcsadatok nyomon követhetők, mint az oldalletöltések, a felhasználói viselkedés vagy az oldalon tartózkodás időtartama. A Google Analytics lehetővé teszi az egyes műveletek pontos nyomon követését is, beleértve a hírlevélre való feliratkozást vagy bizonyos fájlok letöltését. A konverziókövetési beállítások segítségével meghatározható, hogy a látogatók mely pontokon válnak vásárlóvá. Ez feltárja az optimalizálási lehetőségeket, és hozzájárul az oldal teljesítményének folyamatos javulásához.
Az adatvédelem szempontjából kritikusan kell szemlélni azt a hatalmas mennyiségű adatot, amelyet a Google Analytics gyűjt és értékel. Az adatvédelmi tisztviselők különösen a Google (közvetlenül az USA-ba) látogatók teljes IP-címének tárolása és továbbítása miatt panaszkodnak. Továbbá az adatvédők kifogásolják, hogy a Google adatvédelmi szabályozása nem ad elegendő információt arról, hogy az oldal látogatóinak mely adatait gyűjtik, tárolják és továbbítják valójában.
A sok felhasználói adathoz való hozzáférés miatt a Google Analytics adatvédelme régóta vitatott. A GDPR (egyben GDPR: Általános Adatvédelmi Szabályzat) hatálybalépésével és még inkább az EB 2019-es, cookie-k ügyében hozott ítélete óta a Google Analytics jogilag biztonságos használatához bizonyos követelmények vonatkoznak. Ha a Google Analytics nincs összehangolva a GDPR-ral, a webhelyek üzemeltetői súlyos figyelmeztetésekre vagy pénzbírságra számíthatnak .
Google Analytics: Jogi háttér (GDPR és az Európai Bíróság ítélete)
A Google Analytics és a GDPR összehangolása legkésőbb az utóbbi hatályba lépése óta elengedhetetlenné vált. Az adatvédelmi hatóságok korábban pénzbírsággal fenyegették meg a webhelyek üzemeltetőit az eszköz használatáért. A GDPR előtt a Google Analytics beleegyezés nélkül is használható volt, feltéve, hogy csak néhány követelmény teljesült (pl. IP-anonimizálás és AV-szerződés). A GDPR ahhoz a reményhez kapcsolódott, hogy a hozzájárulás kérdését csak az elektronikus hírközlési adatvédelmi rendelet szabályozza majd. A honlap üzemeltetői addig a „jogos érdekre” akartak támaszkodni az Art. 6. bekezdésének megfelelően. 1 lit. f GDPR kinevezett.
Fontos változást hozott az EB 2019-es határozata a Planet49 ügyben (Ref.: C-673/17). Az ítéletet egyértelmű tájékoztatás kíséri a Google Analytics cookie-k és egyéb cookie-k használatához való hozzájárulásról. A hozzájárulást úgy kell kialakítani, hogy a látogatóknak először kifejezetten bele kell járniuk a Google Analytics cookie-k használatába. Ezért a Google Analytics az engedélyezésre támaszkodik: a felhasználóknak először önként kell beleegyezniük, mielőtt az üzemeltető egyáltalán jogosult lenne a Google Analytics cookie-k gyűjtésére és feldolgozására. Kivételt képeznek a cookie-k, amelyek feltétlenül szükségesek az oldal technikai működéséhez.
Ítéletében az EB rámutatott, hogy az elektronikus hírközlési adatvédelmi rendelet (5. cikk (3) bekezdés) már előírta a hozzájárulást még a nem feltétlenül szükséges cookie-k esetében is. Az EB hasonló kijelentései már ismertek a korábbi ítélkezési gyakorlatból.
A német adatvédelmi felügyeleti hatóságok (DSK) koordinációs bizottsága 2020. május 12-én újraértékelte a Google Analytics cookie-k használatára vonatkozó jogi követelményeket. Ezzel az állásfoglalással a telemédia-szolgáltatók tájékozódási útmutatója is kiegészítésre került . Ez a tájékozódási útmutató a Google Analytics különféle beállításait ismerteti a jogilag megfelelő használat szempontjából.
A Google Analytics jogilag megfelelő használata: Intézkedések a webhelyek üzemeltetői számára
Mindenkinek, aki továbbra is a Google Analytics szolgáltatásra hagyatkozik webhely-üzemeltetőként, például a médiaszektorban vagy az e-kereskedelemben , azt tanácsoljuk, hogy hajtson végre bizonyos intézkedéseket, amelyek biztosítják a nyomkövető eszköz jogbiztonságát.
Az adatvédelmi szabályozás átláthatóságának biztosítása
A weboldal üzemeltetőinek átfogó tájékoztatást kell adniuk a személyes adatok felhasználásáról és kezeléséről az adatvédelmi szabályzatban. Ezt az átláthatóságot a GDPR 13. cikkével összhangban garantálni kell, hogy a Google Analytics össze lehessen hangolni a GDPR-ral.
A tájékoztatási kötelezettség konkrét követelményeivel kapcsolatban az adatvédelmi szakértők az Európai Adatvédelmi Testület átláthatóságáról szóló iránymutatásra hivatkoznak. Az adatvédelmi nyilatkozat adaptálásakor legalább az alábbi információtartalmat kell megadni, figyelembe véve a DSGVO 12. és 13. cikke szerinti DSK követelményeit: Az adatgyűjtés körét egyértelműen közölni kell. Továbbá az adatvédelmi nyilatkozatnak tájékoztatást kell adnia az adatgyűjtés jogalapjáról. Hasonlóképpen, az adatvédelmi szabályzatot is sorrendben kell ismertetni
mennyi ideig tárolják az adatokat . Ebben az összefüggésben a
A tárolási időtartam meghatározásának kritériumait közzétesszük. Az adatvédelmi nyilatkozatnak hivatkoznia kell az elállási jogra és annak végrehajtására is.
IP-cím rövidítése
A Google Analytics és a GDPR összehangolásának további intézkedéseként az ezzel a nyomkövető eszközzel rendelkező webhelyek üzemeltetőinek gondoskodniuk kell az IP-cím lerövidítéséről . Ez úgy valósítható meg, hogy hozzáadja a „_anonymizeIp()” parancsot a követőkódhoz. Ez minden olyan webhelyre vonatkozik, amely rendelkezik Google Analytics integrációval. Az ilyen típusú IP-cím csonkolásának technikai részletei közvetlenül a Google fejlesztői oldalán található utasításokban találhatók.
Az IP-cím lerövidítése fontos intézkedés a felhasználók védelmében az Art. 25. bekezdése értelmében. 1 GDPR. Az IP-cím egyszerű lerövidítése azonban nem elegendő az anonim adatfeldolgozás biztosításához. A tiszta IP-címen kívül a Google Analytics használata számos egyéb használati adat gyűjtését is magában foglalja. Ide tartoznak a személyes adatok, például a felhasználók azonosítására használtak (például egy meglévő Google-fiókhoz való kapcsolódás értelmében).
Ezért még az IP-cím lerövidítése után is be kell tartani a Google Analytics és a DSGVO koordináció további követelményeit. Ugyanígy a fent említett adatvédelmi nyilatkozatban is fel kell tüntetni, hogy az IP-címet lerövidítették-e.
Az adatok megőrzési idejének meghatározása
A Google Analytics és a GDPR összehangolása érdekében azt is meg kell adni, hogy pontosan milyen megőrzési időszakot biztosítanak az adatokhoz. A Google Analytics bizonyos adatmegőrzési vezérlőket tartalmaz. Az alapértelmezett beállítás úgy van kialakítva, hogy automatikusan 26 hónapig mentse a felhasználói adatokat és az eseményadatokat. Az „Új tevékenység visszaállítása” gomb gyakran le van tiltva az alapértelmezett beállításokban. Ezt a gombot ki kell kapcsolni , hogy a Google Analytics és a GDPR összehangolható legyen (vö. 25. cikk: Beépített adatvédelem). Az adatok megőrzési időszakát 14 hónapra kell korlátozni .
Az adatok megőrzési idejének módosításához a „Kezelés” fül alatt kell kiválasztani a szerkeszteni kívánt tulajdonságot. A megfelelő „Tulajdonság” oszlopban a „Nyomkövetési információk – adattárolás” alatt a tárolás időtartamára vonatkozó beállításokat lehet elvégezni. Miután itt más beállítást választott, ne felejtse el az adatvédelmi nyilatkozatot ezekhez a módosításokhoz igazítani.
Kifejezett hozzájárulás a cookie-k használatához
A Google Analytics használatának jogilag megfelelő kialakításának egyik legfontosabb előfeltétele a jól átgondolt cookie-használati hozzájárulás garantálása . A látogatónak a Google Analytics és a cookie-k használatához adott hozzájárulásának tartalmaznia kell bizonyos információkat: mindenekelőtt a címnek világosnak és egyértelműnek kell lennie. Ki kell mutatnia, hogy a felhasználó beleegyezését követően beleegyezik a Google általi adatkezelésbe. Továbbá a felhasználókat tájékoztatni kell, hogy az adatkezelés részeként a személyes adatok és a webhely használati magatartására vonatkozó adatok továbbításra kerülnek a Google -hoz. A hozzájárulás iránti kérelemnek pontos tájékoztatást kell tartalmaznia az érintett adatok típusairól is.
Fontos tudni azt is, hogy az összegyűjtött adatokat főként a Google dolgozza fel . Hangsúlyozandó, hogy a honlap üzemeltetőjének nincs befolyása az adatkezelésre e tekintetben. A Google az adatokat saját céljaira (pl. profilalkotás) dolgozza fel.
Azt is fontos tudni, hogy az összegyűjtött adatok összekapcsolhatók-e más forrásokból származó információkkal is. Azt is meg kell adni, hogy az adatokat az USA-ban tárolják-e, és hogy az állami hatóságok hozzáférhetnek-e ezekhez az adatokhoz.
A hozzájárulás és visszavonás technikai követelményei
Ezenkívül a hozzájárulási lehetőség nem jelenthet mindenre kiterjedő hozzájárulást a cookie-k használatához. A hozzájárulás fontos technikai feltétele a felhasználó aktív közreműködése. A felhasználónak lehetőséget kell biztosítani arra, hogy aktívan hozzájáruljon az adatok felhasználásához. Ez nem tartalmazza az előre bejelölt négyzeteket és jelölőnégyzeteket !
Ez összefügg azzal a feltétellel, hogy a nyomkövető eszköz és a megfelelő Google Analytics cookie-k csak akkor válhatnak aktívvá, ha a felhasználók ehhez aktívan hozzájárultak. A Google Analytics cookie-kat nem szabad előre beállítani.
Az adatok csak akkor gyűjthetők, ha a felhasználók aktívan bejelölték a négyzetet. Ezenkívül ennek a hozzájárulásnak önkéntesnek kell lennie. Ez összefügg azzal a lehetőséggel is, hogy a felhasználók bármikor megtagadhatják a hozzájárulásukat.
Ezenkívül technikailag biztosítani kell, hogy a felhasználókat ne érje hátrány a hozzájárulás megtagadása esetén. A felhasználók számára egyértelmű és felhasználóbarát műszaki megoldásokat kell biztosítani a hozzájárulás biztosításához és megvalósításához. A hozzájárulási eszközök erre kínálnak egy lehetőséget. Ezeknek lehetőséget kell biztosítaniuk a hozzájárulás bármikori visszavonására, még a hozzájárulás megadása után is. Minden alkalmazásban vagy cookie-hozzájárulási megoldásban rendelkeznie kell egy könnyen elérhető lehetőséggel a hatékony visszavonáshoz a beállításokban.
Elvileg a Google olyan böngészőbővítményt kínál, amely deaktiválja a Google Analytics szolgáltatást. Megjegyzendő, hogy nem elegendő a felhasználókat erre a kiegészítőre hivatkozni. Ez nem kínál elegendő lehetőséget a felhasználóknak a visszavonásra. Az Art. 7. bek. 3 p.4 A GDPR értelmében a hozzájárulás visszavonásának ugyanolyan egyszerűnek kell lennie, mint a hozzájárulásnak. A Google-bővítmény nem felel meg ezeknek a követelményeknek , mert először a felhasználónak kell letöltenie egy programot a kiegészítő formájában.
A részvételi eljárás jelentősége
Aktív és kifejezett hozzájárulás a Google Analytics cookie-k használatához, az engedélyezési eljárásnak is nevezik. A felhasználási hozzájárulás kialakítását legkésőbb az EB cookie-król szóló ítélete óta valódi Google Analytics-feliratkozásként kell megtervezni. Elvileg az EU 2009-es adatvédelmi irányelvei óta rendelkezik arról, hogy a weboldal használóinak hozzájárulását kell kérni. Eddig azonban sok szolgáltató ezt a hozzájárulást opt-outként értelmezte. A gyakorlatban ez azt jelenti, hogy a cookie-k gyűjtése anélkül történik, hogy a felhasználónak bármit is tennie kellene. A látogatóknak csak a sütik gyűjtésének megakadályozására van lehetőségük. Az EB cookie-kra vonatkozó határozata szerint a webhely a továbbiakban nem állíthat be cookie-kat, amíg a látogató kifejezett és aktív hozzájárulását nem adta . Ez azt jelenti, hogy a Google Analytics cookie-k csak akkor állíthatók be egyáltalán, ha a látogató ezek mellett döntött (feliratkozás).
CMP: Hozzájáruláskezelési megoldások webhelyekhez és előnyeik
Fontos, hogy a webhelyek üzemeltetői és a vállalatok időben tegyenek óvintézkedéseket a Google Analytics használatához való tényleges hozzájárulás érdekében. A hozzájáruláskezelési bannerek egyrészt átfogó tájékoztatást nyújtanak a felhasználóknak az adatok felhasználásáról, és egyben hozzájárulásukat kérik.
A jogilag megfelelő cookie-kezelés technikai megvalósítása az úgynevezett hozzájáruláson alapul
Megoldások. A jó beleegyezéskezelő figyelembe veszi a GDPR követelményeit és az EB ítéletét, valamint a pozitív felhasználói élményt. A pozitív felhasználói élmény legfontosabb szempontjai közé tartozik a hosszú tartózkodási idő és a magas elfogadási arány . Ennek megfelelően a visszafordulási arányt a lehető legalacsonyabb szinten kell tartani. A jó beleegyezéskezelési megoldások segítenek növelni az elfogadási arányt, és egyben minimalizálni a visszafordulási arányt. Ezzel biztosítják, hogy a weboldal jól teljesítsen, és hozzájárulnak az ügyfélszerzéshez és a vásárlói hűséghez.
Egy jól átgondolt hozzájáruláskezelési megoldás valós idejű áttekintést ad az elfogadási és visszafordulási arányokról. Ez lehetővé teszi, hogy értékes következtetéseket vonjunk le a webhely jelenlegi teljesítményéről és a megfelelő fejlesztési lehetőségekről.
A beleegyező megoldások nemzetközi orientációjúak. A megjelenített banner automatikusan annak az országnak a nyelvén jelenik meg a GDPR-területen, ahonnan a weboldal elérhető. Összességében a hozzájárulás-kezelő szolgáltató 29 nyelven jeleníti meg az információkat. Hasonlóképpen, a reszponzív tervezés és adaptáció magától értetődik egy modern beleegyezési megoldásban. A hozzájárulási megoldás figyelembe veszi a végberendezést, az operációs rendszert és a képernyő méretét, és optimalizált módon jeleníti meg a hozzájárulást kérő szalaghirdetést.
