Cookie Confirm

Google Analytics og GDPR

Skal du have samtykke til Google Analytics 4 i Danmark? Hvad cookiebekendtgørelsen kræver, hvad Datatilsynet sagde om Google Analytics i 2022 og efter EU-US Data Privacy Framework, og hvordan du bruger værktøjet efter reglerne.

Sidst tjekket 16 oktober 2026

Kort fortalt

  • I Danmark kræver Google Analytics samtykke. Cookiebekendtgørelsen har ingen undtagelse for statistik.
  • Datatilsynet fandt i 2022, at Google Analytics ikke kunne bruges lovligt uden supplerende foranstaltninger, på grund af overførsler til USA.
  • Siden juli 2023 dækker EU-US Data Privacy Framework overførslen, men Datatilsynet har ikke taget stilling til, om Google Analytics dermed er lovligt.
  • Statistik med Google Analytics kan ifølge Datatilsynet ikke bygge på legitim interesse.

Kræver Google Analytics samtykke?

Ja. To sæt regler gælder for Google Analytics 4, og det hjælper at holde dem adskilt:

  1. Cookiebekendtgørelsen: GA4 gemmer cookies som _ga, med et unikt ID pr. besøgende og en levetid på op til to år, i den besøgendes browser. Efter § 3 kræver det samtykke, medmindre teknologien er teknisk nødvendig, og statistik er ikke teknisk nødvendig. Danmark har, i modsætning til f.eks. Frankrig og Holland, ingen undtagelse for statistik. Digitaliseringsstyrelsen og Datatilsynet skriver i deres fælles vejledning fra maj 2025 direkte, at du skal indhente samtykke, hvis du bruger cookies til at generere besøgsstatistik.
  2. GDPR: GA4 behandler personoplysninger, f.eks. cookie-ID’er og oplysninger om enheden. Det kræver et retsgrundlag, gennemsigtighed og, når data forlader Europa, et gyldigt overførselsgrundlag.

Bruger du også Google Analytics til annoncering, f.eks. via Google-signaler eller en forbindelse til Google Ads, er der tale om markedsføring, og så er samtykke under alle omstændigheder nødvendigt. Mere om reglerne i Cookiereglerne i Danmark.

Hvad Datatilsynet har sagt om Google Analytics

Legitim interesse rækker ikke. I sagen om Den Blå Avis (dba.dk, 26. januar 2022) havde virksomheden baseret sin statistik med Google Analytics på legitim interesse. Datatilsynet fandt, at de besøgende ikke med rimelighed kan forvente, at deres oplysninger ud over at blive brugt til statistik også sendes til Googles servere i USA. Statistikken kunne derfor ikke bygge på artikel 6, stk. 1, litra f, og tilsynet udtalte alvorlig kritik.

Overførslerne til USA. Efter klager fra privatlivsorganisationen noyb fandt flere europæiske tilsynsmyndigheder i 2022, bl.a. i Østrig, Frankrig og Italien, at bestemte websites brugte Google Analytics ulovligt, fordi data blev sendt til USA uden tilstrækkelig beskyttelse. Datatilsynet deltog i EDPB’s arbejdsgruppe om sagerne og gennemgik derefter selv værktøjet og Googles indstillinger. Tilsynet konkluderede i 2022, at Google Analytics ikke kan bruges lovligt uden videre: lovlig brug forudsætter supplerende foranstaltninger ud over dem, Google stiller til rådighed.

Hvad Data Privacy Framework ændrede

Den 10. juli 2023 vedtog Europa-Kommissionen en tilstrækkelighedsafgørelse for EU-US Data Privacy Framework (DPF). Amerikanske virksomheder, der er certificeret under den, må modtage personoplysninger fra EU uden ekstra overførselsværktøjer. Google LLC er certificeret, og Google oplyser, at den bygger på DPF for sine annonce- og analyseprodukter.

Flere medier skrev dengang, at Google Analytics nu var lovligt ifølge Datatilsynet. Det afviste tilsynet den 31. juli 2023: Datatilsynet har ikke taget stilling til, om Google Analytics er lovligt. Overførslen til USA kan nu ske lovligt, men du skal stadig opfylde GDPR’s øvrige krav, bl.a. om retsgrundlag, databehandleraftale, eventuelt fælles dataansvar og de registreredes rettigheder.

DPF står fortsat under pres. Den 3. september 2025 afviste EU-Retten søgsmålet fra det franske parlamentsmedlem Philippe Latombe (sag T-553/23), og afgørelsen er appelleret til EU-Domstolen. Den 1. juli 2026 skrev Datatilsynet, at den amerikanske højesterets afgørelse i sagen Trump v. Slaughter kan få betydning for overførsler til USA. Tilstrækkelighedsafgørelsen gælder, indtil Kommissionen eller EU-Domstolen erklærer den ugyldig, men Datatilsynet opfordrer dataansvarlige til at genbesøge deres vurderinger og exit-strategier.

Hvad GA4 gør med data

Ifølge Googles egen dokumentation:

  • IP-adresser: GA4 logger eller gemmer ikke IP-adresser. For brugere i EU, Storbritannien og Schweiz bruges IP-adressen på servere i EU til at udlede en omtrentlig placering og kasseres derefter.
  • Databehandlingsvilkår: Google optræder som databehandler for Google Analytics i henhold til Google Ads Data Processing Terms. Tjek under Administrator, i Kontoindstillinger, at de er accepteret.
  • Annoncefunktioner: slår du Google-signaler eller annoncefunktioner til, eller forbinder du Analytics med Google Ads, bruges dataene også til annoncering. Det kræver altid samtykke.
  • Consent Mode: med Google Consent Mode v2 sætter GA4 ingen cookies, så længe analytics_storage står på "denied".

Det er nyttige foranstaltninger, men de ændrer ikke udgangspunktet: _ga-cookien genkender den besøgende med et unikt ID, og i Danmark kræver det samtykke.

Alternativer

Nogle website-ejere skifter til værktøjer, der indsamler færre data eller kan hostes på egne servere, f.eks. Matomo. Det fjerner ikke kravet om samtykke: cookiebekendtgørelsen gælder for alle statistikcookies, uanset hvem der leverer værktøjet. Til gengæld kan det gøre det lettere at opfylde GDPR, fordi du undgår overførsler til USA og en udbyder, der bruger dataene til egne formål. Datatilsynet og Digitaliseringsstyrelsen gør opmærksom på, at du skal tjekke, om leverandøren forbeholder sig retten til at bruge oplysningerne til egne formål.

Sådan bruger du Google Analytics efter reglerne

  1. Bed om samtykke i dit cookiebanner, med statistik som et særskilt formål og "Afvis" lige så synligt som "Accepter".
  2. Lad GA4 vente til samtykket, eller brug Consent Mode v2 med analytics_storage sat til "denied" som standard.
  3. Slå funktioner fra, du ikke bruger, som Google-signaler og forbindelser til annonceprodukter, eller bed også om samtykke til dem.
  4. Tjek databehandlingsvilkårene og dine indstillinger for datadeling i Google Analytics.
  5. Nævn Google Analytics i din cookiepolitik og privatlivspolitik, på dansk, med cookies, formål, udløbsdato og overførslen til USA.

Cookie Confirm blokerer Google Analytics, indtil den besøgende giver samtykke, sender alle fire Consent Mode-signaler og genererer cookiepolitikken ud fra scanningen af dit website, så Google Analytics’ cookies også kommer med. For 7,95 € pr. website pr. måned, med 7 dages gratis prøveperiode.

Kilder

Ofte stillede spørgsmål

Er Google Analytics ulovligt i Danmark?

Nej, ikke i sig selv. Datatilsynet konkluderede i 2022, at værktøjet ikke kunne bruges lovligt uden supplerende foranstaltninger, fordi data blev sendt til USA. Siden 10. juli 2023 dækker EU-US Data Privacy Framework den overførsel. Datatilsynet har understreget, at det ikke har taget stilling til, om Google Analytics er lovligt, og at du stadig skal opfylde GDPR’s øvrige krav. Du skal også have samtykke til cookierne.

Kan jeg bruge Google Analytics 4 uden et cookiebanner?

Nej. Google Analytics sætter cookies til statistik, og efter cookiebekendtgørelsen kræver det samtykke. Digitaliseringsstyrelsen og Datatilsynet skriver i deres fælles vejledning, at du skal indhente samtykke, hvis du bruger cookies til at generere besøgsstatistik.

Kan jeg bruge legitim interesse i stedet for samtykke?

Ikke til Google Analytics. I sagen om Den Blå Avis (januar 2022) fandt Datatilsynet, at besøgende ikke med rimelighed kan forvente, at deres oplysninger sendes til Google i USA, og at statistikken derfor ikke kunne bygge på legitim interesse. Cookiebekendtgørelsen kræver desuden samtykke uanset retsgrundlaget efter GDPR.

Gemmer GA4 IP-adresser?

Ifølge Google logger eller gemmer GA4 ikke IP-adresser. For brugere i EU, Storbritannien og Schweiz bruger Google IP-adressen på servere i EU udelukkende til at udlede en omtrentlig placering og kasserer den derefter.

Hvad sker der, hvis Data Privacy Framework falder?

Så skal overførsler til USA igen have et andet grundlag, f.eks. standardkontraktbestemmelser med supplerende foranstaltninger, som før 2023. Appellen af EU-Rettens dom i sagen Latombe verserer ved EU-Domstolen. Datatilsynet opfordrede i juli 2026 virksomheder til at genbesøge deres vurderinger af overførsler til USA og deres exit-strategier.

Denne vejledning er generel information, ikke juridisk rådgivning. Vi tjekker den jævnligt, men love og vejledninger ændrer sig. I tvivl om din situation? Spørg en advokat.

Læs videre

Flere vejledninger

Alle vejledninger →

De første 7 dage helt gratis

Opret en gratis konto, og se, om Cookie Confirm passer til dig. Live på 5 minutter.

  • Intet betalingskort nødvendigt
  • Derefter 7,95 € pr. måned
  • Plug & play-installation
Start min gratis prøveperiode

4,9/5 5.000+ websites