GDPR och Google Tag Manager: vad du behöver ha koll på

Google Tag Manager och GDPR är en kombination som skapar mer oro än den behöver. Det viktigaste först: GTM i sig sätter inga spårningscookies och samlar ingen statistik. Det är taggarna du lägger i containern som gör jobbet, och därmed också skadan om de skjuter utan samtycke. En sak till innan vi börjar: jag är tekniker, inte jurist, så det här är teknikerns perspektiv och ingen juridisk rådgivning.

Sätter Google Tag Manager några cookies?

Nej, inte för spårning. GTM är ett distributionssystem, en behållare som laddar de skript du lagt i den. Behållaren mäter ingenting själv. Vad verktyget är och hur det fungerar i grunden förklarar jag i inlägget om vad Google Tag Manager är.

Det betyder inte att GTM är neutralt ur integritetssynpunkt. Allt du lägger i containern körs i besökarens webbläsare, så du ansvarar för lasten även om lastbilen är oskyldig. En GA4-tagg sätter cookies, en annonspixel skickar data till tredje part, och båda gör det i samma sekund som du publicerar containern.

Vad behöver samtycket styra?

Grundprincipen är enkel: taggar som sätter cookies eller skickar personuppgifter får inte köra förrän besökaren sagt ja. Tekniskt löser du det genom att standardläget för samtycke sätts till nekat innan några taggar kör, att taggarna väntar på signalerna och att besökarens val i bannern uppdaterar läget. Signalsystemet bakom detta heter consent mode, och jag förklarar det i detalj i inlägget om consent mode v2. Den praktiska uppsättningen med banner och GTM finns steg för steg i Cookiebot och GA4.

Hur hänger Google Tag Manager och GDPR ihop i praktiken?

Min erfarenhet är att GTM oftare hjälper än stjälper GDPR-arbetet. Containern är en inventarielista över alla mätskript på sajten, samlad på ett ställe. Alternativet är taggar inklistrade direkt i temafiler och sidmallar, där ingen längre minns vad som ligger var.

Det vanligaste felet jag ser i granskningar är just bortglömda taggar: pixlar från kampanjer för flera år sedan som fortfarande skjuter data till plattformar ingen använder längre. Varje sådan tagg är ett dataflöde du ska kunna redogöra för.

Dataminimering hör också hemma här. Skicka inte in mer än du behöver, och framför allt inga personuppgifter i GA4. Klassikern är ett formulär som lägger e-postadressen i URL:en efter inskick, så att adresserna hamnar i GA4:s sidrapporter. Det är ett städjobb du vill slippa. På plussidan sparar GA4 inga IP-adresser i rapporterna, men det befriar dig inte från ansvaret för vad du själv skickar in. Hur GA4 ska ställas in i grunden beskrivs i GA4-guiden.

Vad bör jag dokumentera?

Ett enkelt dokument räcker långt. För varje tagg i containern noterar du vad den skickar, till vilket företag datan går, varför taggen finns och vem som bad om den. Uppdatera dokumentet när något läggs till, och låt din cookiepolicy spegla verkligheten i containern i stället för en gissning.

Det låter byråkratiskt, men det är tvärtom en genväg. Den dag någon frågar vad sajten samlar in svarar du på fem minuter i stället för att beställa en utredning. När jag går igenom en sajt som webbanalys och spårning ingår ofta en sådan städning av containern, och dokumentet är det som gör att städningen håller över tid.

Var går gränsen mellan teknik och juridik?

Tekniken kan jag svara på: när taggar skjuter, vad de skickar och vart datan tar vägen. Juridiken kan jag inte: vilken rättslig grund du lutar dig mot, vilka avtal du behöver med leverantörerna och hur överföring av data till länder utanför EU ska hanteras. De frågorna hör hemma hos en jurist, och de blir enklare att ställa när tekniken är dokumenterad.

Mitt råd är därför konkret: öppna din container i dag och gå igenom taggarna en och en. Den som ingen kan förklara pausar du. En pausad tagg som ingen saknar efter en månad kan tas bort helt.