Er Google Analytics 4 GDPR-kompatibel? Det du trenger å vite i 2026
GA4 er ikke GDPR-kompatibel som standard. Å installere det og gå videre er et brudd. Men med riktig oppsett kan du bruke Google Analytics lovlig i EU. Denne guiden forklarer nøyaktig hva det oppsettet krever, hva tilsynsmyndigheter har sagt, og hvordan du sjekker ditt eget nettsted uten å gjette.
Er GA4 faktisk lovlig i EU?
Ja, betinget. GA4 er betinget lovlig i de fleste EU-land i 2026, men kun hvis du blokkerer skriptet før samtykke, konfigurerer IP-anonymisering og signerer en databehandleravtale med Google. Å laste GA4 som standard, uten et samtykke-gjerde, er et brudd på både GDPR og ePersonvernforordningen.
Flere datatilsynsmyndigheter har allerede handlet på dette. Østerrike, Frankrike, Italia, Danmark og Norge slo alle fast at Google Analytics brøt GDPR på grunn av dataoverføringer til USA uten tilstrekkelig beskyttelse. EU-US Data Privacy Framework fra 2023 løste overføringsspørsmålet for de fleste brukstilfeller, men samtykkekravet er fortsatt fullt gjeldende.
Hva samler GA4 faktisk inn?
GA4 samler inn IP-adresser, enhetsidentifikatorer, atferdsdata og øktinformasjon. Alt dette kvalifiserer som personopplysninger under GDPR. GA4 trunkerer IP-adresser som standard, men IP-trunkering er ikke full anonymisering etter loven. Informasjonskapslene GA4 setter, inkludert _ga og _gid, regnes fortsatt som ikke-nødvendige under ePersonvernforordningen og krever eksplisitt samtykke før de settes.
Den vanligste feilen: laste GA4 før samtykke
De fleste nettsteder gjør denne feilen på samme måte. GA4 legges til nettstedet under oppsett, ofte via Google Tag Manager, og et samtykkebanner legges til separat etterpå. Banneret vises. GA4 lastes under det. Ingen sporing blokkeres faktisk.
Sporing før samtykke er et gjentakende etterlevelsesproblem i faktiske implementeringer, og tilsynsmyndigheter har gått fra advarsler til håndhevelse. Løsningen er enkel: GA4 må ikke initialiseres før den besøkende har akseptert analyse-informasjonskapsler. Det betyr å blokkere skriptet helt, ikke utsette eller lazy-laste det.
Hva er Google Consent Mode v2, og trenger du det?
Google Consent Mode v2 er et system som forteller Google hvilke data det kan samle inn basert på den besøkendes samtykkevalg. Det erstatter ikke behovet for å blokkere GA4 før samtykke. Det sitter på toppen av et samtykke-gjerdet oppsett og lar Google bruke anonymiserte, informasjonskapsel-frie signaler for modellering når brukere avslår. Consent Mode har vært obligatorisk for EU-annonsører siden mars 2024.
Det finnes to versjoner: Basic og Advanced. Basic blokkerer alle tags til samtykke er gitt. Advanced laster tags umiddelbart, men sender informasjonskapsel-frie pinger når brukere avslår. Advanced-modus er et juridisk gråsoneområde i EU siden du fortsatt behandler signaler fra ikke-samtykket brukere. For de fleste små nettsteder er Basic-modus det sikrere valget. For større nettsteder som kjører Google Ads kan Advanced-modus gjenopprette mer konverteringsdata. Rådfør deg med din juridiske avdeling før du velger Advanced.
Slik setter du opp GA4 på en GDPR-kompatibel måte
Her er minimumoppsettet som kreves:
- Blokker GA4 før samtykke. Skriptet må ikke laste inn før den besøkende aktivt aksepterer analyse-informasjonskapsler. Et samtykkebanner som bare vises mens GA4 kjøres, er ikke etterlevende.
- Aktiver IP-anonymisering. GA4 gjør dette som standard, men verifiser at det er aktivt i konfigurasjonen din.
- Konfigurer Google Consent Mode v2. Sett standard samtykketilstander til «denied» og oppdater dem basert på brukerens valg.
- Sett dataoppbevaring til minimum. GA4s korteste oppbevaringsperiode er to måneder. Sett det i GA4-admin under Data Settings.
- Deaktiver Google Signals med mindre du spesifikt trenger sporing på tvers av enheter og har dokumentert et rettslig grunnlag for det.
- Signer databehandleravtalen. Aksepter Googles DPA i GA4-admin under Account Settings.
- Oppdater personvernerklæringen din. Opplys om at du bruker GA4, hvilke data det samler inn, og hvordan brukere kan reservere seg.
Du kan se hvordan Consentify håndterer GA4-integrasjonen i dokumentasjonen. Integrasjonen blokkerer GA4 til samtykke er bekreftet, og aktiverer det automatisk når den besøkende aksepterer analyse.
Slik tester du at GA4 faktisk er blokkert før samtykke
Åpne nettstedet ditt i et inkognitovindu. Før du klikker på noe i samtykkebanneret, åpne nettleserens utviklerverktøy og gå til Nettverk-fanen. Filtrer på «google-analytics» eller «gtag». Hvis noen GA4-forespørsler vises før du klikker Aksepter, lastes GA4 uten samtykke og oppsettet ditt er ikke etterlevende. Du skal se null GA4-nettverksaktivitet før samtykke er gitt.
Denne testen tar to minutter og forteller deg nøyaktig hvor du står. De fleste nettsteder som tror de er etterlevende, feiler den. Consentifys domeneskanner markerer også aktive sporere på nettstedet ditt, inkludert ukategoriserte skript som kan kjøres uten samtykke.
Gjør IP-anonymisering i GA4 den GDPR-kompatibel alene?
Nei. IP-trunkering utgjør ikke full anonymisering under GDPR. Informasjonskapsel-identifikatorer og atferdsdata er fortsatt personopplysninger. Anonymisering som begrep under GDPR krever irreversibel avidentifisering slik at re-identifisering er umulig. GA4s trunkering oppfyller ikke dette kravet fordi de gjenværende datapunktene fortsatt kan, i kombinasjon, identifisere enkeltpersoner.
Konklusjon
GA4 er ikke ulovlig. Å bruke det uten et samtykke-gjerde er det. Løsningen er ikke komplisert, men den krever faktisk å blokkere skriptet, ikke bare vise et banner. Sett opp et etterlevende samtykkeverktøy, konfigurer Consent Mode v2, signer DPA, og test med Nettverk-fanen. Hvis GA4-forespørsler vises før samtykke, er oppsettet ditt feil uavhengig av hvor bra banneret ser ut.
For en komplett gjennomgang av å sette opp et etterlevende banner fra bunnen av, se steg-for-steg-oppsettguiden. Vil du vite hvilke informasjonskapsler som kjøres på nettstedet ditt, start med den gratis domeneskanneren.
Klar til å komme i gang? Prøv Consentify gratis — ett domene, ingen vannmerke, ingen tidsbegrensning.