Google Analytics och GDPR: får du använda det i Sverige?

Kräver Google Analytics samtycke?

Ja. Google Analytics 4 sätter cookies som _ga i besökarens webbläsare, med ett unikt ID per besökare och en livslängd på två år som standard, och skickar uppgifterna till Google. Enligt cookielagen, 9 kap. 28 § lagen om elektronisk kommunikation, får du bara lagra eller hämta uppgifter på besökarens enhet om besökaren har fått information och samtyckt. Undantaget gäller bara lagring som är nödvändig för en tjänst som besökaren uttryckligen har begärt.

Statistik omfattas inte av undantaget. PTS skriver på sin webbplats att det inte handlar om vilka kakor du själv tycker är nödvändiga, till exempel för att samla in statistik. I tillsynen av Folkhälsomyndigheten 2023 krävde PTS samtycke även för kakorna från statistikverktyget Matomo, och konstaterade att statistik om besök och sidvisningar för att förbättra webbplatsen inte är undantagen. Sverige har alltså inget undantag för besöksmätning, till skillnad från till exempel Frankrike.

Använder du Google Analytics också för annonsering, till exempel genom att koppla det till Google Ads eller slå på Google-signaler, handlar det om spårning för marknadsföring, och då är samtycke självklart ett krav.

Vad beslutade IMY om Google Analytics?

Efter klagomål från integritetsorganisationen noyb granskade IMY hur CDON, Coop, Dagens Industri och Tele2 använde Google Analytics. Granskningen gällde en version av verktyget som användes från den 14 augusti 2020. I beslut den 30 juni 2023, som IMY meddelade den 3 juli 2023, kom IMY fram till följande:

• Uppgifterna som fördes över till Google i USA var personuppgifter, eftersom de kunde kopplas till andra unika uppgifter som också fördes över.
• Alla fyra företagen använde standardavtalsklausuler, men inga av deras ytterligare tekniska skyddsåtgärder räckte för att skydda uppgifterna mot amerikanska myndigheters åtkomst. EU-domstolen hade 2020 slagit fast i Schrems II att USA inte gav tillräckligt skydd.
• Tele2 fick en sanktionsavgift på 12 miljoner kronor. Bolaget hade redan slutat använda verktyget. CDON fick 300 000 kronor, eftersom bolaget inte hade vidtagit lika omfattande skyddsåtgärder som Coop och Dagens Industri. Coop och Dagens Industri förelades att sluta använda verktyget men fick ingen avgift.

IMY skrev att besluten kan ge vägledning även för andra organisationer som använder Google Analytics. Tele2 överklagade, men förvaltningsrätten avslog överklagandet den 17 oktober 2024 och kammarrätten den 15 oktober 2025.

Vad ändrades med Data Privacy Framework?

Den 10 juli 2023 antog Europeiska kommissionen ett beslut om adekvat skyddsnivå för dataskyddsramen mellan EU och USA (Data Privacy Framework, DPF). Amerikanska företag som har certifierat sig enligt ramverket får ta emot personuppgifter från EU utan extra överföringsverktyg. Google LLC är certifierat, och Google uppger att man förlitar sig på DPF för sina annons- och analysprodukter. IMY påpekar i sin nyhet om kammarrättens dom att beslutet om adekvat skyddsnivå nu gäller för överföringar till mottagare som omfattas av ramverket. IMY:s granskning gällde perioden före beslutet.

Ramverket har ifrågasatts. Den 3 september 2025 ogillade EU:s tribunal den franske parlamentsledamoten Philippe Latombes talan (mål T-553/23). Latombe har överklagat till EU-domstolen (mål C-703/25 P), och i oktober 2026 är överklagandet inte avgjort. Om DPF faller kommer överföringsfrågan tillbaka.

Vad gör GA4 med uppgifterna?

Enligt Googles egen dokumentation:

• IP-adresser: GA4 loggar eller sparar inga IP-adresser. För användare i EU, Storbritannien och Schweiz används IP-adressen på servrar i EU för att ta fram en ungefärlig plats, och kastas sedan.
• Villkor för databehandling: Google agerar personuppgiftsbiträde för Google Analytics enligt Google Ads Data Processing Terms. Kontrollera under Admin, i kontoinställningarna, att de har godkänts.
• Annonsfunktioner: om du slår på Google-signaler eller annonsfunktioner, eller kopplar Analytics till Google Ads, används uppgifterna också för annonsering. Google anger att du då är ensam personuppgiftsansvarig för de funktionerna.
• Consent Mode: med Google Consent Mode v2 och analytics_storage satt till denied sätter Google Analytics inga cookies innan besökaren har samtyckt.

De här åtgärderna minskar riskerna, men de ändrar inte utgångspunkten: cookien _ga känner igen besökare med ett unikt ID, och för det behöver du samtycke i Sverige.

Alternativ

Vissa webbplatsägare byter till verktyg som samlar in mindre data eller där de själva lagrar uppgifterna, till exempel Matomo. Tänk då på att samma regel gäller: sätter verktyget cookies eller läser det uppgifter från besökarens enhet krävs samtycke, precis som PTS konstaterade i fallet Folkhälsomyndigheten. Ett verktyg som varken lagrar eller hämtar något på besökarens enhet omfattas inte av 9 kap. 28 §, men GDPR gäller fortfarande om du behandlar personuppgifter. Kontrollera noga hur verktyget fungerar innan du slopar samtycket.

Så använder du Google Analytics enligt reglerna

1. Be om samtycke i din cookiebanner, med statistik som egen kategori och ”Neka” lika tydligt som ”Godkänn”.
2. Låt Google Analytics vänta tills besökaren har samtyckt, eller använd Consent Mode v2 med analytics_storage satt till denied som standard.
3. Stäng av funktioner du inte använder, som Google-signaler och kopplingar till annonsprodukter, eller be om samtycke även för dem.
4. Kontrollera villkoren för databehandling i kontoinställningarna i Google Analytics.
5. Nämn Google Analytics i din cookiepolicy och integritetspolicy, med cookiesen, ändamålet, lagringstiden och överföringen till USA.

Cookie Confirm blockerar Google Analytics tills besökaren har samtyckt, skickar valet vidare till Google Consent Mode v2 med alla fyra signalerna och skapar cookiepolicyn utifrån skanningen av din webbplats, så att Google Analytics cookies finns med. Det kostar 7,95 € per webbplats och månad, kan sägas upp varje månad och du kan prova gratis i 7 dagar utan kreditkort.

Källor

• Lag (2022:482) om elektronisk kommunikation, 9 kap. 28 § (riksdagen.se)
• PTS: Kakor (cookies)
• PTS: Underrättelse till Folkhälsomyndigheten om kakor, dnr 22-11376 (26 juni 2023)
• IMY: Fyra bolag måste sluta använda Google Analytics (3 juli 2023)
• IMY: Beslut efter tillsyn, Tele2 Sverige AB (Google Analytics)
• IMY: Tillsyn Tele2 Sverige AB (domstolarnas avgöranden)
• IMY: Kammarrätten bekräftar sanktionsavgift för Tele2 (16 oktober 2025)
• IMY: Tillsyn CDON AB
• Genomförandebeslut (EU) 2023/1795 om EU-US Data Privacy Framework (EUR-Lex)
• Data Privacy Framework: Google LLC i deltagarlistan
• EU-domstolen: mål T-553/23 och överklagande C-703/25 P, Latombe mot kommissionen
• Google: Advertising and analytics products, international data transfers
• Google Analytics-hjälpen: EU, Switzerland or UK-focused data and privacy
• Google Analytics-hjälpen: Data Processing Terms
• Google Analytics-hjälpen: Cookies från Google Analytics 4