Google Analytics eller personvernvennlig analyse: slik velger du lovlig

Når du måler trafikk, berører du to sett regler samtidig. Personvernforordningen stiller krav om at du har et behandlingsgrunnlag, at du informerer de besøkende, at du har avtale med den som behandler dataene for deg, og at du har grunnlag for å overføre data ut av EØS. I tillegg kommer reglene om informasjonskapsler, som bygger på at lagring og lesing av informasjon på brukerens enhet som hovedregel krever samtykke, med unntak for det som er strengt nødvendig for at tjenesten skal fungere.

I praksis er det sjelden selve verktøyet som er problemet. Det er rekkefølgen. Hvis analyseskriptet lastes i det øyeblikket siden åpnes, har du allerede samlet inn data før brukeren har tatt stilling til noe som helst. Et samtykkebanner som vises, men som ikke stopper skriptet, løser ingenting. Derfor bør du velge cookiebanner ut fra hvordan det blokkerer skript før samtykke, og hvor mye arbeid du vil legge i oppsett og oppfølging.

Hva som er strengt nødvendig, og hvordan behandlingen skal beskrives, avhenger av hva du faktisk måler. Du finner en samlet gjennomgang av regler for nettsider og netthandel, inkludert hvordan personvernerklæringen bør bygges opp.

Google Analytics bygger i hovedsak på informasjonskapsler og enhets-ID-er, og gir detaljert innsikt i brukerreiser, målgrupper og kobling mot annonsering. Data behandles av Google, og modellen innebærer overføring til land utenfor EØS. Det er ikke ulovlig, men det utløser krav: du må ha overføringsgrunnlag, databehandleravtale og en samtykkeløsning som fungerer.

Personvernvennlige alternativer finnes i flere varianter. Noen kan installeres på din egen server, som Matomo. Andre er skybaserte og lager statistikk uten informasjonskapsler, som Plausible, Fathom og Umami. Felles for dem er at de samler mindre data per besøkende, ofte bare sidevisning, kilde, enhetstype og land, og at de ikke bygger profiler over tid.

Men personvernvennlig er en beskrivelse, ikke en garanti. Et verktøy som markedsføres som GDPR-kompatibelt, kan fortsatt lagre data hos en underleverandør i et tredjeland. Det du må sjekke, er hvor dataene ligger, hvem som er databehandler, hvilke underleverandører som brukes, og om løsningen bruker informasjonskapsler i det hele tatt.

Rekkefølgen under er den samme enten du bruker Google Tag Manager eller legger koden inn direkte:

• Bestem hva du skal bruke tallene til, og hvilke hendelser som faktisk betyr noe for bedriften.
• Sett opp en samtykkeløsning som blokkerer all sporing til brukeren har samtykket, og koble den til samtykkemodus i Google.
• Slå av funksjoner du ikke bruker, som annonsespersonalisering og signaler for tilpasset annonsering.
• Sett lagringstiden så kort som mulig, og samtidig lang nok til at du får sammenlignet over tid.
• Signer databehandleravtalen og dokumenter hvilket overføringsgrunnlag du støtter deg på.
• Beskriv verktøyet, formålet og lagringstiden i personvernerklæringen.
• Test i et privat vindu: ingen forespørsler skal gå til analyseverktøyet før du har trykket ja.

Det siste punktet er det mange hopper over. Åpne utviklerverktøyet i nettleseren, gå til nettverksfanen og last siden på nytt uten å samtykke. Da ser du raskt om noe sendes likevel.

Vil du forstå tallene bedre selv, finnes det kurs og ressurser for å lære SEO selv. Det gjør det lettere å vurdere hvilke målinger du faktisk trenger.

Bytt ikke verktøy bare fordi det høres tryggere ut. Bytt fordi du trenger noe enklere, eller fordi kundene dine etterspør det. Spørsmålene under gir deg et sammenligningsgrunnlag:

• Hvor lagres dataene, og hvem eier dem?
• Bruker løsningen informasjonskapsler, eller måler den uten?
• Kan den kjøres på egen server eller i en norsk sky?
• Finnes databehandleravtale og dokumentasjon på underleverandører?
• Får du rapportene du faktisk bruker, som kilder, sider og konverteringer?
• Kan du koble målingen mot Google Ads hvis du annonserer?

Det siste punktet overrasker mange. Velger du bort Google Analytics, mister du også den enkleste koblingen mot Google Ads og Search Console. Noen personvernvennlige verktøy har egne integrasjoner, men de er sjelden like detaljerte. Er annonsering en viktig kanal for deg, må du ta høyde for det før du bytter.

En enkel tommelfingerregel for de fleste små og mellomstore bedrifter:

• Velg Google Analytics hvis du trenger detaljert attribusjon, kobling mot annonsering og rapporter som markedsføreren din allerede kjenner, og du er villig til å vedlikeholde samtykke og dokumentasjon.
• Velg et personvernvennlig alternativ hvis du bare trenger å se hvor mange som besøker sidene, hvor de kommer fra og hva de gjør, og du vil slippe cookiebanner for målingen.
• Velg en løsning du kan hoste selv eller hos en norsk leverandør hvis kundene dine er i offentlig sektor eller stiller spørsmål ved overføring.
• Velg å måle mindre hvis du ikke bruker tallene. Et verktøy du aldri leser, er bare en risiko.

For mange små bedrifter er svaret at de trenger langt mindre enn de har satt opp. Sidevisninger, kilde og hvilke tjenester som blir sett på, dekker de fleste behov. Det er først når du skal optimalisere annonsering over tid at detaljene blir verdt bryet.

Disse går igjen i oppsett vi gjennomgår:

• Sporingskode i head som kjører før samtykke.
• Gammel kode fra Universal Analytics som fortsatt ligger i malen.
• Piksler fra sosiale medier som ikke er nevnt i personvernerklæringen.
• Tro på at IP-anonymisering alene gjør behandlingen lovlig.
• Samtykkebanner som vises, men som ikke stopper skript.
• Manglende avtale med den som behandler dataene for deg.

Kjøper du nettside fra en leverandør, bør du spørre hvilke skript som ligger i malen og hvem som er ansvarlig for dem. Ansvaret ligger hos deg som behandlingsansvarlig, uansett hvem som limte inn koden. Har du håndverkere eller lokale tjenester som kunder, gjelder de samme kravene der, se også nettside for snekkere for hva som bør være med.

Bruker du leverandører utenfor EØS, finnes en egen gjennomgang av hva du bør sjekke før du signerer avtale med utenlandske leverandører.

Da er det viktigste å rydde opp raskt og kunne vise hva du har gjort. Rekkefølgen:

1. Kartlegg alle skript som samler data, også de som ligger i Google Tag Manager og som du kanskje har glemt.
2. Stopp det som kjører uten grunnlag, eller sett det bak samtykke.
3. Oppdater personvernerklæringen med formål, verktøy, lagringstid og grunnlag.
4. Skriv en kort intern rutine for hvem som legger til nye skript og hvordan det godkjennes.
5. Vurder om data du allerede har samlet, bør slettes.

Du trenger ikke nødvendigvis å slette alt. Men du bør kunne forklare hvorfor dataene ble samlet, og hva du har gjort for å bringe behandlingen i orden.

Start med å åpne nettsiden i et privat vindu og se hva som lastes før du trykker på noe. Det svaret gir deg en pekepinn om du har et reelt problem, eller om du bare trenger å oppdatere teksten og stramme inn oppsettet.

Trenger du hjelp til å rydde i målingen, eller vil du heller ha en nettside der sporing og samtykke er satt opp riktig fra starten, kan du se tjenesten vår eller book en demo. Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og vi setter opp måling og samtykke som en del av leveransen.