Google Analytics a GDPR: smíš ho v Česku používat?

Potřebuje Google Analytics souhlas?

Ano. Google Analytics 4 ukládá do prohlížeče návštěvníka cookies, například _ga s jedinečným ID a výchozí platností dva roky, a posílá údaje Googlu. Podle § 89 odst. 3 zákona o elektronických komunikacích k tomu potřebuješ předchozí prokazatelný souhlas. Bez souhlasu smíš používat jen technické cookies, které jsou nezbytné pro chod webu. Víc v průvodci Zákon o cookies v Česku.

Na GA4 se vztahují dvě sady pravidel a je dobré je držet od sebe:

1. Zákon o elektronických komunikacích řeší samotné uložení a čtení cookies. ÚOOÚ řadí cookies pro statistické a analytické účely mezi netechnické, které vyžadují souhlas.
2. GDPR řeší zpracování osobních údajů, které přes cookies získáš. Potřebuješ právní základ, musíš návštěvníky informovat a při předávání údajů mimo Evropu potřebuješ platný mechanismus předávání.

Některé země EU, například Francie, povolují za přísných podmínek měření návštěvnosti bez souhlasu. Česko takovou výjimku nemá. ÚOOÚ sice v otázkách a odpovědech ke cookies uvádí analytiku první strany jako příklad zpracování na základě oprávněného zájmu, ale jen pro další zpracování údajů. Zároveň dodává, že když návštěvník neudělí souhlas s ukládáním a čtením netechnických cookies, nesmíš je použít, a tím pádem ani dál zpracovávat údaje, které by přes ně vznikly.

Používáš Google Analytics i pro reklamu, například propojení s Google Ads, Google signály nebo remarketing? Pak jde o sledovací cookies a souhlas potřebuješ tím spíš.

Pozor na osobní údaje v URL

Že Google Analytics může odnést víc údajů, než čekáš, ukazuje kontrola ÚOOÚ u dodavatele online rezervačního systému očkování proti covidu-19. URL adresy stránek systému obsahovaly číslo pojištěnce (a tedy rodné číslo) a web zároveň používal Google Analytics. URL včetně čísel pojištěnců se tak podle ÚOOÚ dostaly přes Google Analytics do USA, u zhruba 80 tisíc lidí. ÚOOÚ shledal porušení zabezpečení podle čl. 32 GDPR a zahájil správní řízení.

Ponaučení: Google Analytics zaznamenává adresy navštívených stránek. Nedávej do URL jména, e-maily, rodná čísla ani jiné osobní údaje a zkontroluj, co se do Analytics posílá z formulářů a vyhledávání.

Co dozorové úřady rozhodly v roce 2022

Po stížnostech organizace na ochranu soukromí noyb se několik evropských dozorových úřadů zabývalo Google Analytics, tehdy ještě starší verzí Universal Analytics. Mezi těmi, kdo zjistili, že konkrétní weby předávaly osobní údaje Googlu v USA bez odpovídající ochrany před přístupem amerických zpravodajských služeb, byly rakouský úřad, francouzský CNIL (únor 2022) a italský Garante (červen 2022). Těmto webům nařídily, aby používání uvedly do souladu s pravidly, nebo s ním přestaly.

Jádrem problému bylo předávání do USA, ne analytika jako taková. SDEU v roce 2020 zrušil předchozí Privacy Shield (Schrems II) a dozorové úřady shledaly, že doplňková opatření Googlu nestačí.

Co změnil Data Privacy Framework

10. července 2023 přijala Evropská komise rozhodnutí o odpovídající ochraně pro rámec ochrany osobních údajů EU–USA (Data Privacy Framework, DPF). Americké firmy, které jsou podle něj certifikované, mohou z EU přijímat osobní údaje bez dalších nástrojů pro předávání. Google LLC je certifikován a Google uvádí, že se u svých reklamních a analytických produktů o DPF opírá. CNIL poznamenal, že kvůli rozhodnutí o odpovídající ochraně už tato porušení při předávání nemohou vést k novým formálním výzvám.

Rámec byl napaden. 3. září 2025 Tribunál EU zamítl žalobu francouzského poslance Philippa Latomba (věc T-553/23) a potvrdil, že USA v době přijetí DPF poskytovaly odpovídající ochranu. Latombe se odvolal k Soudnímu dvoru (věc C-703/25 P). K říjnu 2026 je odvolání nevyřízené. Pokud DPF padne, otázka předávání se vrátí.

Co GA4 dělá s údaji

Podle vlastní dokumentace Googlu:

• IP adresy: GA4 IP adresy nezaznamenává ani neukládá. U uživatelů v EU, ve Spojeném království a ve Švýcarsku se IP adresa používá na serverech v EU k určení přibližné polohy a pak se zahodí.
• Podmínky zpracování údajů: Google vystupuje u Google Analytics jako zpracovatel podle podmínek zpracování údajů (Data Processing Terms). V části Správce, v nastavení účtu, zkontroluj, že jsou přijaté.
• Reklamní funkce: pokud zapneš Google signály nebo reklamní funkce, nebo propojíš Analytics s Google Ads, údaje se používají i pro reklamu.
• Consent Mode: s Google Consent Mode v2 a analytics_storage nastaveným na „denied“ GA4 bez souhlasu cookies neukládá.

To jsou užitečná opatření, ale na výchozím bodu nic nemění: GA4 rozpoznává návštěvníky podle jedinečného ID v cookie _ga, a k tomu v Česku potřebuješ souhlas.

Alternativy

Někteří majitelé webů přecházejí na nástroje, které sbírají méně údajů nebo které si hostují sami, například Matomo. Na pravidlech v Česku to ale samo o sobě nic nemění: pokud nástroj ukládá do zařízení návštěvníka cookies nebo podobné identifikátory pro analytické účely, potřebuješ souhlas i pro něj. A v každém případě musíš návštěvníky informovat v zásadách používání cookies.

V praxi

1. Požádej o souhlas v cookie liště, se statistikami jako samostatnou kategorií a s „Odmítnout“ vedle „Přijmout“.
2. Spusť GA4 až po souhlasu, nebo použij Consent Mode v2 s analytics_storage ve výchozím stavu „denied“.
3. Vypni funkce, které nepoužíváš, například Google signály a propojení s reklamními produkty, nebo pro ně také žádej souhlas.
4. Hlídej URL a události, aby se do Analytics neposílaly osobní údaje.
5. Zkontroluj podmínky zpracování údajů v nastavení účtu Google Analytics.
6. Uveď Google Analytics v zásadách používání cookies a v zásadách ochrany osobních údajů v češtině, včetně cookies, účelu, doby uložení a předávání do USA. Viz vzor zásad používání cookies.

Cookie Confirm blokuje Google Analytics do udělení souhlasu, posílá všechny čtyři signály Consent Mode v2 a vytváří prohlášení o cookies ze skenu tvého webu, tedy včetně cookies Google Analytics. Za 7,95 € za web měsíčně, se 7denní zkušební verzí zdarma.

Zdroje

• Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89 odst. 3 (e-Sbírka)
• ÚOOÚ: Q&A – Cookies
• ÚOOÚ: Praxe ÚOOÚ v oblasti cookies, prezentace ze semináře (12. června 2024)
• ÚOOÚ: Kontrola dodavatele online rezervačního systému očkování (UOOU-00341/21)
• Směrnice ePrivacy 2002/58/ES (konsolidované znění), čl. 5 odst. 3
• CNIL: Řešení pro nástroje měření návštěvnosti
• CNIL: Používání Google Analytics a předávání údajů do Spojených států
• Garante: rozhodnutí o Google Analytics z 9. června 2022 (tisková zpráva z 23. června 2022)
• Evropská komise: Rozhodnutí o odpovídající ochraně pro rámec ochrany osobních údajů EU–USA
• Data Privacy Framework: záznam účastníka Google LLC
• SDEU: věc T-553/23 a odvolání C-703/25 P, Latombe proti Komisi
• Google: Reklamní a analytické produkty, mezinárodní předávání údajů
• Nápověda Google Analytics: Data a ochrana soukromí se zaměřením na EU, Švýcarsko nebo Spojené království
• Nápověda Google Analytics: Podmínky zpracování údajů
• Nápověda Google Analytics: Používání cookies na webech