Нужно ли согласие для Google Analytics?
К Google Analytics 4 применяются два разных набора правил, и их полезно различать:
- Правило о cookie (статья 5(3) Директивы ЕС о конфиденциальности и электронных коммуникациях, Директивы ePrivacy, и национальные законы, например статья 7.1 латвийского Закона об услугах информационного общества или часть 4 статьи 73 литовского Закона об электронных коммуникациях): GA4 сохраняет в браузере посетителя файлы cookie, например _ga. Для этого нужно согласие, если не действует исключение.
- Общий регламент ЕС по защите данных (GDPR): GA4 обрабатывает персональные данные, например идентификаторы cookie и сведения об устройстве. Для этого нужны правовое основание, прозрачность, а если данные покидают Европу, ещё и действительный механизм передачи.
В Директиве ePrivacy нет общего исключения для аналитики. Некоторые страны ЕС допускают измерение аудитории без согласия при строгих условиях, например французский CNIL: только для измерения аудитории самого сайта, только анонимная статистика, без отслеживания между сайтами и без повторного использования данных поставщиком в собственных целях. CNIL отмечает, что некоторые поставщики всё же используют данные повторно и что издатель должен проверить настройки. Стандартная настройка GA4 этим условиям не соответствует, поэтому в ЕС сначала нужно запросить согласие. Национальные правила различаются, так что проверьте правила своей страны. В странах Балтии вопрос решается просто: исключения для аналитики там нет (подробнее ниже).
Что решили регуляторы в 2022 году
После жалоб правозащитной организации noyb несколько европейских регуляторов изучили Google Analytics, тогда ещё в старой версии Universal Analytics. Австрийский орган, французский CNIL (февраль 2022 года) и итальянский Garante (июнь 2022 года) были среди тех, кто установил, что конкретные сайты передавали персональные данные Google в США без надлежащей защиты от доступа американских спецслужб. Они обязали эти сайты привести использование в соответствие с требованиями или прекратить его.
Главной проблемой была передача данных в США, а не аналитика как таковая. Суд ЕС в 2020 году отменил прежний механизм Privacy Shield (дело Schrems II), и регуляторы сочли, что дополнительных мер Google недостаточно.
Что изменила Data Privacy Framework
10 июля 2023 года Европейская комиссия приняла решение об адекватности защиты для Рамочной программы конфиденциальности данных ЕС и США (EU-US Data Privacy Framework, DPF). Американские компании, прошедшие по ней сертификацию, могут получать персональные данные из ЕС без дополнительных инструментов передачи. Google LLC сертифицирована, в том числе по британскому расширению (UK Extension) и швейцарско-американской программе, и Google сообщает, что опирается на DPF для своих рекламных и аналитических продуктов. CNIL отметил, что из-за решения об адекватности такие нарушения при передаче данных больше не могут приводить к новым официальным предписаниям.
Программу оспаривали. 3 сентября 2025 года Общий суд ЕС отклонил иск французского депутата Филиппа Латомба (дело T-553/23) и подтвердил, что на момент принятия DPF США обеспечивали адекватную защиту. Латомб подал апелляцию в Суд ЕС (дело C-703/25 P). По состоянию на октябрь 2026 года апелляция рассматривается. Если DPF будет отменена, вопрос о передаче данных вернётся.
Что GA4 делает с данными
Согласно собственной документации Google:
- IP-адреса: GA4 не записывает и не хранит IP-адреса. Для пользователей из ЕС, Великобритании и Швейцарии IP-адрес используется на серверах в ЕС для определения примерного местоположения, а затем удаляется.
- Условия обработки данных: Google выступает обработчиком для Google Analytics в соответствии с Google Ads Data Processing Terms. Проверьте в разделе «Администратор», в настройках аккаунта, что они приняты.
- Рекламные функции: если вы включаете Google Signals или рекламные функции либо связываете Analytics с Google Ads, данные используются и для рекламы. Google указывает, что для этих функций единственным контролёром становитесь вы. Для этого согласие нужно всегда.
- Региональные настройки: Google Signals и детальные данные о местоположении и устройстве можно отключить для каждого региона.
Что говорят регуляторы Латвии, Эстонии и Литвы
Ни один из трёх регуляторов не допускает аналитику без согласия:
- Латвия. Инспекция государственных данных (DVI) относит аналитические cookie, которые отслеживают поведение пользователей и собирают статистику, к тем, для которых нужно согласие. В нескольких опубликованных решениях DVI прямо указала на cookie Google Analytics (_ga, _gid): на db.lv они работали и после нажатия «Я отказываюсь» (решение от 28 августа 2024 года), в интернет-магазине Tet они ставились до выбора и после нажатия «оставить только технические cookie» (20 марта 2025 года), а на сайте AS Magnetiq Bank cookie Google Analytics ставились без всякого баннера (4 марта 2026 года). Во всех случаях DVI обязала компании исправить сайт к определённому сроку.
- Эстония. Инспекция по защите данных (AKI) называет аналитические cookie среди «дополнительных», для которых нужно предварительное добровольное согласие посетителя.
- Литва. Государственная инспекция по защите данных (VDAI) требует согласия для всех cookie, кроме строго необходимых, и считает законный интерес неподходящим основанием для необязательных cookie.
Подробнее в руководстве Правила о cookie в странах Балтии.
Альтернативы
Некоторые владельцы сайтов переходят на инструменты, которые можно настроить так, чтобы они собирали меньше данных или хранили их на собственных серверах, например Matomo. CNIL упоминает программы с открытым исходным кодом, такие как Matomo, которые вы настраиваете сами, и опубликовал руководство по их настройке для использования в рамках своего исключения для измерения аудитории. Проверить, подходит ли ваша настройка, обязаны вы как издатель.
На практике
- Блокируйте GA4 до согласия в ЕС, если только вы не уверены, что действует национальное исключение и вы выполняете все его условия. В Латвии, Эстонии и Литве такого исключения нет. Проверьте и то, что GA4 не загружается после отказа: именно это DVI находила на латвийских сайтах.
- Используйте Google Consent Mode v2, чтобы GA4 учитывал выбор посетителя и мог моделировать данные о тех, кто отказался. Смотрите Google Consent Mode v2 простым языком.
- Проверьте Data Processing Terms и настройки передачи данных и Google Signals.
- Упомяните Google Analytics в политике cookie и уведомлении о конфиденциальности, включая передачу данных в США и DPF.
Cookie Confirm блокирует Google Analytics до согласия и после отказа, передаёт все четыре сигнала Consent Mode и может применять разные правила для разных стран там, где это допускает закон.
Источники
- Директива ePrivacy 2002/58/ЕС (консолидированная версия), статья 5(3)
- CNIL: Решения для инструментов измерения аудитории
- CNIL: Памятка 16, Использование аналитики на сайтах и в приложениях
- CNIL: Использование Google Analytics и передача данных в США
- Garante: решение о Google Analytics от 9 июня 2022 года (пресс-релиз от 23 июня 2022 года)
- Европейская комиссия: Решение об адекватности для EU-US Data Privacy Framework
- Data Privacy Framework: запись об участнике Google LLC
- Суд ЕС: дело T-553/23 и апелляция C-703/25 P, Латомб против Комиссии
- Google: Рекламные и аналитические продукты, международная передача данных
- Справка Google Analytics: Данные и конфиденциальность для ЕС, Швейцарии и Великобритании
- Справка Google Analytics: Условия обработки данных
- Likumi.lv: Informācijas sabiedrības pakalpojumu likums, статья 7.1
- DVI: #DVIskaidro, что нужно знать о cookie (1 апреля 2022 года, на латышском)
- DVI: решение по Izdevniecība «Dienas bizness», 28 августа 2024 года (на латышском)
- DVI: решение по SIA «Tet», 20 марта 2025 года (на латышском)
- DVI: решение по AS Magnetiq Bank, 4 марта 2026 года (на латышском)
- AKI: вопросы и ответы об интернете и сайтах (на эстонском)
- e-seimas: Elektroninių ryšių įstatymas, статья 73
- VDAI: обзор практики использования cookie на сайтах (7 апреля 2025 года, на литовском)
- VDAI: напоминание о правильном использовании cookie (23 июля 2026 года, на литовском)