Frågor och svar kring Google Analytics 4 och GDPR

Under sommaren kom två uppmärksammade besked: IMYs (Integritetsskyddsmyndigheten) beslut om att fyra stora svenska bolag bryter mot GDPR genom användningen av Google Analytics – Universal Analytics, och EU – US Data Privacy Framework som godkänner dataöverföring av personuppgifter till USA. Det har varit mycket information under en kort period så vi tog ett samtal med vår kursledare på Google Analytics 4 – Ted Solomon. Ted är grundare av den datadrivna marknadsföringsbyrån Ctrl Digital och en av Sveriges ledande experter på digital analys och teknisk marknadsföring.

 

Hej Ted, kan du kort beskriva vad som skett under de senaste månaderna?

Absolut, en kort sammanfattning av vad som har hänt är följande:

• Integritetsskyddsmyndigheten (IMY) beslutade i början av juli (2023) att fyra stora svenska bolag bryter mot GDPR genom användningen av Google Analytics (GA) versionen Universal Analytics. IMY ansåg att bolagens användning av GA innebär en otillåten överföring av personuppgifter till USA, eftersom USA inte har en adekvat skyddsnivå för personuppgifter. Exempel på personuppgifter som samlas in och skickas över till USA skulle kunna inkludera användarens IP-adress, webbläsarinformation eller ifyllda formulärfält.

• Strax efter IMYs beslut godkände EU och USA ett nytt dataskyddsavtal, EU-USA Data Privacy Framework (DPF). DPF är ett försök att lösa de problem som IMY identifierade med Google Analytics. Ramverket innebär bland annat att amerikanska företag måste uppfylla vissa villkor för att få överföra personuppgifter från EU. Till exempel att de måste ha vidtagit lämpliga skyddsåtgärder för att skydda personuppgifterna.

Värt att notera är att DPF har mötts av kritik från vissa experter som anser att det inte går långt nog för att skydda personuppgifter. Andra experter är mer positiva till DPF, och anser att det är ett steg i rätt riktning.Det är fortfarande för tidigt att säga hur DPF kommer att påverka företagens användning av GA eller andra verktyg för datainsamling. Det är dock tydligt att DPF kommer att ha en betydande inverkan på dataskyddsområdet i EU och USA.

Vad innebär detta för verksamheter som använder eller ska börja använda Google Analytics 4?

Ramverket ger ett visst skydd för EU-medborgarnas personuppgifter men det är fortfarande viktigt att verksamheter vidtar lämpliga säkerhetsåtgärder för att skydda insamlad data. Risken är fortfarande att vissa implementerar Google Analytics 4 (GA4) på ett sätt som bryter mot GDPR. Många funktioner som rör Googles annonsaffär är påslagna som standard. För att verksamheter ska kunna säkerställa att deras användning av GA4 är GDPR-kompatibel är det viktigt att de:

• Säkerställer att de endast samlar in den data som är nödvändig för att uppnå sina affärsmål

• Implementerar lämpliga säkerhetsåtgärder för att skydda den insamlade datan

• Få samtycke från användarna och ge information om hur du använder GA4 och hur de kan hantera sina data

• Överväger om de behöver använda alla funktioner i Google Analytics 4 såsom till exempel retargeting och viss användarsegmentering.

Vilka valmöjligheter finns?

Det finns flera olika valmöjligheter och vad som är bäst val för en verksamhet beror på en rad faktorer, till exempel verksamhetens riskaptit, analysbehov, budget och tekniska kapacitet. Här är några valmöjligheter som våra kunder ställer sig inför.

• Migrera till Google Analytics 4 och konfigurera verktyget efter branschrekommendationer och vidta de nödvändiga åtgärderna för att säkerställa att användningen är GDPR-kompatibel. 

• Använd en proxyserver som Google Tag Manager Server-side (GTMss). GTMss är ett verktyg som gör det möjligt för verksamheter att samla in data från webbplatser och appar via en server som mellanhand. Detta innebär att data samlas in först till egen server innan data skickas vidare till 3:e parts verktyg såsom GA4 eller annonsnätverk. Detta ger verksamheter granulär kontroll över vad för data (IP-adresser, webbläsarinformation, cookie id) som samlas in, hur det används, och vad för data man önskar att redigera eller filtrera bort innan man skickar det vidare till GA4 eller något annat verktyg. 

• Skriv ner den insamlade Google Analytics datan direkt från webbplatser eller appar till ett eget datavaruhus/databas istället för att skicka det till Google eller andra webbanalysverktyg. Detta säkerställer den absolut tryggaste privacy och compliance åtgärder som vi arbetar med när det kommer till insamlad data.

• Använd ett annat webbanalysverktyg: Det finns ett antal andra webbanalysverktyg tillgängliga, till exempel Adobe Analytics, Matomo och Piwik. Vissa av dessa alternativa verktyg har servrar enbart EU vilket mitigrerar risken kring överföring av data mellan EU och USA.

Hur ska man tänka om man överväger en kurs i Google Analytics 4?
Om du vill lära dig mer om Google Analytics 4 är en handledd kurs ett bra alternativ. Handledda Google Analytics 4-kurser är ett effektivt sätt att lära sig om verktyget från grunden till mer avancerade begrepp och tekniker. Med en erfaren handledare kan du få feedback på ditt arbete och öka dina färdigheter snabbare.

Också något annat – om Google Analytics 4 var en superhjälte, vilken superkraft skulle den då ha enligt dig?

GA skulle kanske vara ett orakel som andra superhjältar vänder sig till när de stöter på problem som de inte lyckas knäcka själva. Superkraften skulle vara att koppla upp sig mot olika datakällor som övervakningskameror och databaser, analysera skurkaktiviteter och visualisera insikter som visioner åt andra hjältar. Alla hjältar behöver lite av en sidekick.

Till hösten kan du gå två utbildningar inom Google Analytics 4 hos Webbdagarna Academy:

• Google Analytics 4 – introduktion
• Google Analytics 4 – certifiering