Nie ma jednego przełącznika „zgodne”
Ocena GA4 zależy od celu, sposobu ładowania tagu, ustawień usługi, połączenia z Google Ads, wysyłanych zdarzeń, umów, transferów i informacji pokazanej użytkownikowi. Samo dodanie banera albo nazwy Google do polityki nie przesądza wyniku.
Dla prostej polskiej strony firmowej zacznij od zasady: opcjonalny tag nie jest ładowany, dopóki użytkownik nie wybierze analityki. Następnie ogranicz dane i sprawdź zachowanie techniczne w przeglądarce.
PKE i RODO odpowiadają na różne pytania
Art. 399 Prawa komunikacji elektronicznej dotyczy przechowywania informacji w urządzeniu końcowym i uzyskiwania dostępu do informacji już zapisanej. Przepis wymaga uprzedniej informacji oraz zgody, chyba że operacja jest konieczna do transmisji komunikatu albo dostarczenia usługi wyraźnie żądanej przez użytkownika.
RODO ma znaczenie, gdy operacja obejmuje dane osobowe. Trzeba wtedy ustalić między innymi administratora, cel, podstawę, odbiorców, retencję, prawa i ewentualne transfery. Zgoda na dostęp do urządzenia nie zastępuje całej analizy RODO.
Basic i Advanced Consent Mode to różne wdrożenia
Oficjalna dokumentacja Google rozróżnia dwa warianty:
| Wariant | Zachowanie opisane przez Google przed zgodą |
|---|---|
| Basic Consent Mode | Tagi Google są zablokowane; przed zgodą nie są wysyłane dane, nawet domyślny stan zgody |
| Advanced Consent Mode | Tagi ładują się ze stanem domyślnym; przy odmowie mogą wysyłać pomiary bez cookies |
Dla Site Starter przyjęto wariant Basic. Oznacza to, że komponent GA4 nie powinien pojawić się w stronie ani rozpocząć żądań do Google przed zgodą analityczną. Jeżeli w przyszłości wdrożenie przejdzie na Advanced, trzeba ponownie ocenić przepływ i poprawić publiczny opis.
Consent Mode nie wyświetla banera i nie ocenia zgodności prawnej. Przekazuje do tagów wybory uzyskane przez własny CMP. Google wymienia osobne typy zgody, między innymi analytics_storage, ad_storage, ad_user_data i ad_personalization. Analityki nie należy automatycznie łączyć z reklamą.
Co GA4 robi z adresem IP w ruchu z EOG
Google podaje, że dla użytkowników z UE nie rejestruje ani nie przechowuje indywidualnych adresów IP. Adres jest używany na serwerach w UE do wyprowadzenia przybliżonej lokalizacji, a następnie odrzucany przed zapisaniem danych.
Nie oznacza to, że cały zbiór staje się anonimowy. Identyfikatory przeglądarki, parametry zdarzeń, identyfikator użytkownika, dane urządzenia i połączenie z funkcjami reklamowymi nadal wymagają kontroli. Nie wysyłaj do GA4 adresów e-mail, telefonu, NIP-u, treści formularza ani danych osobowych w adresach URL.
Konfiguracja minimalizująca dane
Przed uruchomieniem:
- Określ kilka pytań biznesowych, na które analityka ma odpowiadać.
- Zbuduj allowlistę nazw zdarzeń i parametrów bez danych osobowych.
- Wyłącz funkcje reklamowe, sygnały i łączenie z Ads, jeżeli nie są potrzebne.
- Wybierz okres retencji danych na poziomie użytkownika i zdarzenia. Dla standardowej usługi Google udostępnia ustawienie dwóch albo czternastu miesięcy; to ustawienie nie usuwa standardowych raportów zagregowanych.
- Ogranicz dostęp do usługi i okresowo przeglądaj użytkowników konta.
- Zweryfikuj ustawienia udostępniania danych oraz rolę Google wynikającą z konkretnych warunków.
- Sprawdź domeny i parametry żądań w narzędziach deweloperskich.
Czternaście miesięcy nie jest „minimum”. Wybierz najkrótszy okres wystarczający do określonego celu.
Transfery i role Google
Nie wpisuj automatycznie, że każdy transfer do USA opiera się na SCC. Oficjalna informacja Google wskazuje, że w określonych sytuacjach firma korzysta z EU–U.S. Data Privacy Framework, a w innych z SCC. Właściwy opis zależy od usługi, podmiotu umownego, ustawień udostępniania i aktualnych warunków.
Podobnie rola Google nie musi być jednakowa dla wszystkich danych. Google opisuje sytuacje, w których działa jako procesor dla danych Analytics, oraz ustawienia udostępniania, przy których jest administratorem danych używanych w dodatkowych celach. Sprawdź stan konkretnej właściwości zamiast kopiować uniwersalny zapis.
Co pokazać użytkownikowi
Warstwa ustawień powinna rozdzielać analitykę i reklamę, umożliwiać wybór „tylko niezbędne” oraz pozwalać później wrócić do ustawień. Informacja o GA4 powinna odpowiadać na pytania:
- kto używa GA4 i w jakim celu;
- kiedy tag jest ładowany;
- jakie zdarzenia i parametry są wysyłane;
- czy usługa jest połączona z Google Ads;
- jakie ustawienia retencji i udostępniania wybrano;
- jakie podmioty otrzymują dane i jak opisano transfery;
- jak wycofać zgodę na stronie.
Polityka Google wymaga również identyfikacji stron otrzymujących dane, dostępnej informacji o użyciu danych przez Google, przechowywania rejestrów zgody oraz jasnej instrukcji jej wycofania. To wymagania produktu Google; nie zastępują przepisów.
Test przed i po zgodzie
Uruchom czystą sesję bez zapisanego wyboru:
- przed interakcją nie powinien ładować się skrypt GA ani powstawać żądanie pomiarowe;
- „tylko niezbędne” nie powinno uruchamiać GA4;
- zgoda wyłącznie analityczna powinna uruchomić analitykę, ale nie reklamę;
- wycofanie powinno zablokować kolejne zdarzenia i zaktualizować zapisaną decyzję;
- zdarzenia nie mogą zawierać danych formularza, adresu e-mail ani identyfikatorów zamówienia pozwalających zidentyfikować osobę;
- wersja, czas i zakres zgody powinny być możliwe do odtworzenia bez tworzenia zbędnego profilu użytkownika.
Site Starter nie obejmuje zaawansowanego remarketingu, Customer Match, enhanced conversions, profilowania ani połączeń danych online i offline.
Metryka redakcyjna
- Autor i redakcja: Redakcja regulaminrodo.pl
- Metoda źródłowa: Warstwę prawną sprawdzono w RODO i art. 399 PKE; zachowanie tagów, adresów IP, retencji, ról i transferów opisano wyłącznie na podstawie aktualnych stron Google.
- Data przeglądu: 7 sierpnia 2026 r.
- Zakres: podstawowa analityka GA4 na prostej polskiej stronie firmowej, bez funkcji reklamowych i profilowania.
- Ograniczenie: materiał ma charakter edukacyjny i nie jest indywidualną opinią prawną; dokumentacja Google opisuje produkt, a nie wydaje oceny prawnej konkretnego wdrożenia.
Źródła pierwotne
- RODO — rozporządzenie (UE) 2016/679
- Prawo komunikacji elektronicznej — ustawa z 12 lipca 2024 r., art. 399
- Google: Basic i Advanced Consent Mode
- Google: dane i prywatność dla ruchu z UE, Szwajcarii i Wielkiej Brytanii
- Google: ustawienia retencji danych GA4
- Google: role przy udostępnianiu danych Analytics
- Google: EU User Consent Policy
- Google: informacje o międzynarodowych transferach danych reklamowych i analitycznych