Cookie Confirm

Google Analytics og GDPR: kan du bruke det i Norge?

Trenger du samtykke for Google Analytics 4 i Norge? Hva ekomloven § 3-15 krever, hva Datatilsynet bestemte i Google Analytics-saken mot Telenor, og hva som endret seg med EU–US Data Privacy Framework.

Sist sjekket 16 oktober 2026

Kort fortalt

  • Google Analytics 4 krever samtykke i Norge før det setter cookies. Ekomloven har ikke noe unntak for analyse.
  • I 2023 kom Datatilsynet frem til at Telenors bruk av Google Analytics hadde vært ulovlig på grunn av overføringer til USA, og ga en irettesettelse.
  • Siden juli 2023 dekker Data Privacy Framework overføringene til Google i USA. Datatilsynet skrev at det store problemet med verktøyet virker å være løst.
  • Bruk Google Consent Mode v2 for å sende valget til de besøkende videre til Google.

Krever Google Analytics samtykke?

Ja. To regelsett gjelder for Google Analytics 4, og det hjelper å holde dem fra hverandre:

  1. Cookieregelen i ekomloven § 3-15: GA4 lagrer cookies som _ga, med en unik ID per besøkende og en varighet på to år, i nettleseren til den besøkende. Det krever samtykke som oppfyller kravene i personvernforordningen, med mindre et unntak gjelder.
  2. Personvernforordningen (GDPR): GA4 behandler personopplysninger, som cookie-ID-er og enhetsinformasjon. Det krever et rettslig grunnlag, åpenhet og, når data forlater EØS, et gyldig overføringsgrunnlag.

Ekomloven har bare to unntak fra samtykke: teknisk lagring som utelukkende skal overføre kommunikasjon, og lagring som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om. Nkom skriver at det siste bare gjelder når cookien er en forutsetning for å levere tjenesten. Statistikk om besøkende er ikke det.

Noen EU-land tillater publikumsmåling uten samtykke på strenge vilkår, for eksempel Frankrike og Nederland. Et slikt unntak finnes ikke i norsk lov. Mer om reglene i Cookieloven i Norge.

Bruker du Google Analytics i tillegg til annonsering, for eksempel med Google-signaler eller en kobling til Google Ads, er det uansett snakk om sporing som krever samtykke.

Hva Datatilsynet bestemte i Google Analytics-saken

Etter klager fra personvernorganisasjonen noyb så flere europeiske tilsynsmyndigheter på Google Analytics, den gang fortsatt den eldre Universal Analytics. Det østerrikske datatilsynet, franske CNIL (februar 2022) og italienske Garante (juni 2022) kom frem til at bestemte nettsteder overførte personopplysninger til Google i USA uten tilstrekkelig beskyttelse mot tilgang fra amerikanske etterretningstjenester.

I Norge gjaldt klagen Telenor. I et vedtak av 26. juli 2023 kom Datatilsynet frem til at Telenor hadde overført personopplysninger til USA i strid med kapittel V i personvernforordningen da selskapet brukte Google Analytics, og ga Telenor en irettesettelse (ikke et gebyr). Med Datatilsynets egne ord: bruken av Google Analytics var ulovlig.

Kjerneproblemet var overføringen til USA, ikke analyse i seg selv. EU-domstolen hadde kjent det tidligere Privacy Shield ugyldig i 2020 (Schrems II), og Datatilsynet mente at overføringene ikke oppfylte vilkårene i kapittel V. Telenor hevdet blant annet at opplysningene var pseudonymisert, men fikk ikke medhold.

Hva som endret seg med Data Privacy Framework

  1. juli 2023 vedtok EU-kommisjonen en beslutning om tilstrekkelig beskyttelsesnivå for EU–US Data Privacy Framework (DPF). Datatilsynet skrev samme dag at reglene gjelder umiddelbart. Amerikanske selskaper som er selvsertifisert under ordningen, kan motta personopplysninger fra EØS uten ekstra overføringsverktøy. Google LLC står på listen, og Google sier at selskapet bygger på DPF for sine annonse- og analyseprodukter.

Da Datatilsynet publiserte vedtaket mot Telenor, skrev tilsynet at det som til da hadde vært et stort problem med Google Analytics, virker å være løst, men at det ikke utelukker andre personvernutfordringer med verktøyet.

Rammeverket er blitt utfordret. 3. september 2025 avviste EU-retten søksmålet fra det franske parlamentsmedlemmet Philippe Latombe (sak T-553/23). Datatilsynet skrev etter dommen at virksomheter kan fortsette å bruke adekvansbeslutningen som grunnlag for overføringer til USA. Latombe anket til EU-domstolen (sak C-703/25 P), og per oktober 2026 er anken fortsatt til behandling. Faller DPF, kommer overføringsspørsmålet tilbake.

Hva GA4 gjør med data

Ifølge Googles egen dokumentasjon:

  • IP-adresser: GA4 verken logger eller lagrer IP-adresser. For brukere i EU, Storbritannia og Sveits brukes IP-adressen på servere i EU til å utlede omtrentlig plassering, og forkastes deretter.
  • Vilkår for databehandling: Google opptrer som databehandler for Google Analytics under Google Ads Data Processing Terms. Sjekk under Administrator, i kontoinnstillingene, at de er godtatt.
  • Annonsefunksjoner: slår du på Google-signaler eller annonsefunksjoner, eller kobler Analytics til Google Ads, brukes dataene også til annonsering. Google oppgir at du da er eneste behandlingsansvarlige for disse funksjonene. Dette krever alltid samtykke.
  • Regionale innstillinger: du kan slå av Google-signaler og detaljerte plasserings- og enhetsdata per region.

Dette er nyttige tiltak, men de endrer ikke utgangspunktet: med cookien _ga kjenner Google Analytics igjen besøkende ved en unik ID, og det krever samtykke i Norge.

Hva Datatilsynet ser etter

Datatilsynet sier ikke noe eget om Google Analytics i veiledningen om sporingsverktøy, men reglene er de samme for alle verktøy:

  • Hovedregelen er at sporingsverktøy krever et gyldig samtykke, og at brukerne skal kunne avvise og likevel bruke tjenesten.
  • Kartlegg hvilke verktøy du bruker, og vær særlig oppmerksom på verktøy som kan bruke opplysningene til egne formål.
  • Kan besøket ditt avsløre noe sensitivt, for eksempel om helse, eller retter tjenesten seg mot barn, anbefaler Datatilsynet sterkt å stanse verktøy som deler data med tredjeparter.
  • Har du ikke kontroll over et verktøy, bør du fjerne det.

I tilsynet med seks nettsteder som ble publisert i juni 2025, fant Datatilsynet at alle delte personopplysninger om de besøkende med tredjeparter uten rettslig grunnlag. Det tilsynet gjaldt først og fremst annonsepiksler, men lærdommen gjelder også analyse. Se Bøter for cookies.

Alternativer

Noen nettstedseiere bytter til verktøy som kan konfigureres til å samle inn færre data, eller der de kan lagre dataene selv, som Matomo. Husk at også slike verktøy krever samtykke i Norge hvis de lagrer eller leser informasjon på enheten til den besøkende, og at du må informere om dem i cookieerklæringen din.

Slik bruker du Google Analytics etter reglene

  1. Be om samtykke i cookiebanneret, med statistikk som egen kategori og «Avvis» ved siden av «Godta».
  2. La GA4 måle først etter samtykke, eller bruk Consent Mode v2 med analytics_storage satt til «denied» som standard. Se Google Consent Mode v2 forklart.
  3. Slå av funksjoner du ikke bruker, som Google-signaler og koblinger til annonseprodukter, eller be om samtykke også til dem.
  4. Sjekk Data Processing Terms i kontoinnstillingene i Google Analytics.
  5. Nevn Google Analytics i cookieerklæringen og personvernerklæringen din, med cookiene, formålet, varigheten og overføringen til USA under DPF.

Cookie Confirm blokkerer Google Analytics til den besøkende samtykker, sender valget til Google Consent Mode v2 med alle de fire signalene og lager cookieerklæringen ut fra skanningen av nettstedet ditt, altså også med cookiene fra Google Analytics. For €7,95 per nettsted per måned, med 7 dagers gratis prøveperiode.

Kilder

Ofte stilte spørsmål

Er Google Analytics forbudt i Norge?

Nei. Datatilsynet kom i juli 2023 frem til at Telenors bruk av Google Analytics hadde vært ulovlig, fordi personopplysninger ble overført til USA uten gyldig grunnlag. Samtidig skrev Datatilsynet at det som til da hadde vært et stort problem med verktøyet, virker å være løst med den nye adekvansbeslutningen for USA. Du trenger likevel samtykke til cookiene.

Kan jeg bruke Google Analytics 4 uten cookiebanner i Norge?

Nei. GA4 setter cookies som _ga på enheten til den besøkende, og ekomloven § 3-15 har bare unntak for overføring av kommunikasjon og det som er strengt nødvendig for tjenesten den besøkende ber om. Statistikk er ikke strengt nødvendig, og norsk lov har ikke noe eget unntak for analyse slik noen EU-land har.

Lagrer GA4 IP-adresser?

Ifølge Google verken logger eller lagrer GA4 IP-adresser. For brukere i EU, Storbritannia og Sveits bruker Google IP-adressen på servere i EU bare til å utlede omtrentlig plassering, og forkaster den deretter. Det gjør likevel ikke cookien _ga, med en unik ID, fri for samtykke.

Trenger jeg fortsatt Consent Mode hvis jeg bruker et cookiebanner?

Consent Mode sender den besøkendes valg videre til Googles tagger. Kobler du Analytics til Google Ads, krever Google samtykkesignaler for brukere i EØS, og Norge er med i EØS. Det lar også GA4 modellere data for besøkende som avviser.

Hva skjer med overføringen til USA hvis Data Privacy Framework blir kjent ugyldig?

Da trenger overføringene igjen et annet grunnlag, for eksempel standardavtalebestemmelser med ekstra garantier, slik som før 2023. Anken over avgjørelsen fra EU-retten (sak C-703/25 P) var fortsatt til behandling i EU-domstolen i oktober 2026.

Denne veiledningen er generell informasjon, ikke juridisk rådgivning. Vi sjekker den jevnlig, men lover og veiledning endres. Usikker på hva som gjelder for deg? Spør en advokat.

Les videre

Flere veiledninger

Alle veiledninger →

Prøv de første 7 dagene helt gratis

Opprett en gratis konto og se om Cookie Confirm passer for deg. Live på 5 minutter.

  • Ingen kredittkort nødvendig
  • Deretter €7,95 per måned
  • Plug & play-installasjon
Start gratis prøveperiode

4,9/5 5 000+ nettsteder