Google Analytics a RODO: czy w Polsce potrzebujesz zgody?

Czy Google Analytics wymaga zgody?

Google Analytics 4 podlega dwóm różnym zestawom przepisów i warto trzymać je osobno:

1. Przepis o cookies. W Polsce to art. 399 Prawa komunikacji elektronicznej, który wdraża art. 5 ust. 3 unijnej dyrektywy ePrivacy. GA4 zapisuje w przeglądarce odwiedzającego pliki cookie, takie jak _ga, i je odczytuje. Wymaga to wcześniejszej informacji i zgody, chyba że ma zastosowanie wyjątek.
2. RODO. GA4 przetwarza dane osobowe, takie jak identyfikatory plików cookie i informacje o urządzeniu. Potrzebna jest do tego podstawa prawna, przejrzystość, a gdy dane opuszczają Europę, także ważny mechanizm przekazywania danych. Nad tym czuwa Prezes UODO.

Polska ustawa zna tylko dwa wyjątki od zgody: gdy zapisywanie lub odczytywanie informacji jest konieczne do przesłania komunikatu albo do świadczenia usługi, o którą prosi odwiedzający (art. 399 ust. 3). Statystyki odwiedzin nie są konieczne do tego, żeby ktoś mógł przeczytać twoją stronę. Niektóre kraje UE dopuszczają pomiar oglądalności bez zgody na surowych warunkach, na przykład francuski CNIL: tylko do pomiaru oglądalności własnej strony, wyłącznie anonimowe statystyki, bez śledzenia między stronami i bez ponownego wykorzystywania danych przez dostawcę do jego własnych celów. W Polsce takiego zwolnienia nie ma. Dlatego w Polsce GA4 ładuj dopiero po zgodzie, także w oszczędnej konfiguracji.

Zgoda musi przy tym spełniać wymogi RODO (art. 400 Prawa komunikacji elektronicznej): dobrowolna, konkretna, świadoma i wyrażona wyraźnym działaniem. Więcej w poradniku Przepisy o plikach cookie w Polsce.

Co organy nadzorcze postanowiły w 2022 roku

Po skargach złożonych przez organizację noyb, działającą na rzecz ochrony prywatności, kilka europejskich organów nadzorczych przyjrzało się Google Analytics, wtedy jeszcze w starszej wersji Universal Analytics. Austriacki organ nadzorczy, francuski CNIL (luty 2022) i włoski Garante (czerwiec 2022) znalazły się wśród tych, które uznały, że konkretne strony przekazywały dane osobowe do Google w USA bez odpowiedniej ochrony przed dostępem amerykańskich służb wywiadowczych. Nakazały tym stronom dostosować sposób korzystania z narzędzia do przepisów albo z niego zrezygnować.

Sednem problemu było przekazywanie danych do USA, a nie sama analityka. TSUE unieważnił w 2020 roku wcześniejszy Privacy Shield (wyrok Schrems II), a organy nadzorcze uznały, że dodatkowe środki zastosowane przez Google nie wystarczają.

W portalu orzeczeń Prezesa UODO nie znaleźliśmy decyzji dotyczącej Google Analytics.

Co zmienił Data Privacy Framework

10 lipca 2023 Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony dla unijno-amerykańskich ram ochrony danych (EU-US Data Privacy Framework, DPF). Amerykańskie firmy, które uzyskały w ich ramach certyfikację, mogą otrzymywać dane osobowe z UE bez dodatkowych narzędzi przekazywania danych. Google LLC ma taką certyfikację, a Google deklaruje, że opiera się na DPF w swoich produktach reklamowych i analitycznych. CNIL zauważył, że ze względu na decyzję stwierdzającą odpowiedni stopień ochrony takie naruszenia w zakresie przekazywania danych nie mogą już prowadzić do nowych formalnych wezwań.

Ramy te zostały zaskarżone. 3 września 2025 Sąd Unii Europejskiej oddalił skargę francuskiego deputowanego Philippe’a Latombe’a (sprawa T-553/23) i potwierdził, że w chwili przyjęcia DPF Stany Zjednoczone zapewniały odpowiedni stopień ochrony. Latombe odwołał się do Trybunału Sprawiedliwości (sprawa C-703/25 P). W październiku 2026 odwołanie wciąż czeka na rozstrzygnięcie. Jeśli DPF upadnie, kwestia przekazywania danych powróci.

Co GA4 robi z danymi

Według dokumentacji samego Google:

• Adresy IP: GA4 nie loguje ani nie przechowuje adresów IP. W przypadku użytkowników z UE, Wielkiej Brytanii i Szwajcarii adres IP jest wykorzystywany na serwerach w UE do ustalenia przybliżonej lokalizacji, a potem usuwany.
• Warunki przetwarzania danych: w Google Analytics Google działa jako podmiot przetwarzający na podstawie Google Ads Data Processing Terms. Sprawdź w sekcji Administracja, w ustawieniach konta, czy zostały zaakceptowane.
• Funkcje reklamowe: jeśli włączysz Google Signals lub funkcje reklamowe albo połączysz Analytics z Google Ads, dane są wykorzystywane także do celów reklamowych. Google zaznacza, że w odniesieniu do tych funkcji jesteś wtedy jedynym administratorem.
• Ustawienia regionalne: możesz wyłączyć Google Signals oraz szczegółowe dane o lokalizacji i urządzeniu osobno dla każdego regionu.

Te ustawienia zmniejszają ilość danych, które trafiają do Google, ale w Polsce nie zwalniają ze zgody na pliki cookie.

Alternatywy

Niektórzy właściciele stron przechodzą na narzędzia, które zbierają mniej danych albo pozwalają przechowywać dane na własnym serwerze, takie jak Matomo. Pamiętaj jednak, że w Polsce zwolnienia dla analityki nie ma: jeśli takie narzędzie zapisuje pliki cookie lub inne informacje na urządzeniu odwiedzającego albo je odczytuje, także potrzebuje zgody. Według wytycznych EROD 2/2023 przepis o cookies obejmuje nie tylko pliki cookie, ale też local storage, piksele i niektóre formy fingerprintingu. Narzędzie, które niczego nie zapisuje na urządzeniu ani z niego nie odczytuje, nie podlega art. 399, ale jeśli przetwarza dane osobowe, nadal podlega RODO.

W praktyce

1. Blokuj GA4 do czasu wyrażenia zgody. W Polsce nie ma zwolnienia, na które mógłbyś się powołać.
2. Korzystaj z Google Consent Mode v2, żeby GA4 respektowało wybór odwiedzających i mogło modelować dane dla tych, którzy odmówią zgody. Zobacz Google Consent Mode v2 w pigułce.
3. Sprawdź Data Processing Terms oraz ustawienia udostępniania danych i Google Signals.
4. Wspomnij o Google Analytics w polityce cookies i informacji o prywatności, łącznie z przekazywaniem danych do USA i DPF. Skorzystaj z naszego wzoru polityki cookies.

Cookie Confirm blokuje Google Analytics do czasu wyrażenia zgody, wysyła wszystkie cztery sygnały Consent Mode i może stosować różne reguły w zależności od kraju odwiedzającego.

Źródła

• ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399 i 400)
• Dyrektywa ePrivacy 2002/58/WE (wersja skonsolidowana), art. 5 ust. 3
• UODO: Portal orzeczeń Prezesa UODO
• EROD: Wytyczne 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy ePrivacy
• CNIL: Rozwiązania dla narzędzi do pomiaru oglądalności (po francusku)
• CNIL: Korzystanie z Google Analytics i przekazywanie danych do Stanów Zjednoczonych
• Garante: Decyzja w sprawie Google Analytics z 9 czerwca 2022 (komunikat prasowy z 23 czerwca 2022)
• Komisja Europejska: Decyzja stwierdzająca odpowiedni stopień ochrony dla EU-US Data Privacy Framework
• Data Privacy Framework: Wpis Google LLC na liście uczestników
• TSUE: Sprawa T-553/23 i odwołanie C-703/25 P, Latombe przeciwko Komisji
• Google: Produkty reklamowe i analityczne, międzynarodowe przekazywanie danych
• Pomoc Google Analytics: Dane i prywatność w UE, Szwajcarii i Wielkiej Brytanii
• Pomoc Google Analytics: Data Processing Terms