Google Analytics meassurment protocol
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 09.03.2015Številka: 0712-10/2015
Kategorije: Svetovni splet Informacijski pooblaščenec (v nadaljevanju IP) je po pošti prejel vaš dopis, v katerem navajate, da ste digitalna agencija in da bi želeli v okviru prenove spletne strani za eno od vaših strank dodati tudi boljšo interpretacijo podatkov o uporabniških obiskih, in sicer s pomočjo orodja Google Analytics (v nadaljevanju GA). Pri tem bi se zavoljo boljše uporabniške izkušnje izrecno želeli izogniti uporabi piškotkov (__utm* za ga.js oz. __ga* za analytics.js, glej https://developers.google.com/analytics/devguides/collection/analyticsjs/cookie-usage) in s tem povezanih mehanizmov za obveščanja in pridobivanje privolitve posameznika.Da bi to dosegli, nameravate prilagodili način pošiljanja podatkov o uporabnikovi rabi spletne strani v GA. Podatki se tako več ne bi pošiljali preko standardnega GA javascript vtičnika (se pravi, iz uporabnikovega brskalnika), ampak bi jih pošiljali neposredno iz vašega strežnika, z uporabo posebnega protokola, ki ga za takšne namene ponuja GA (ti. Measurement protocol, https://developers.google.com/analytics/devguides/collection/protocol/v1/, v nadaljevanju MP). Navedeni protokol je sicer prvenstveno namenjen izvajanju analitike na napravah oz. v okoljih, kjer javascript vtičnik ne pride v poštev (razne na internet priključene naprave brez spletnega brskalnika), seveda pa se ga lahko uporablja tudi za običajne spletne aplikacije.Konkretno bi ga želeli uporabljati na sledeči način:1. uporabnik ob obisku spletne strani ne bi prejel posebnega obvestila, da stran zbira njegove podatke, niti ne bi prišlo do namestitve piškotkov;2. uporabnik bi imel možnost pregleda vseh podatkov, ki jih upravljavec spletne strani zbira, v posebnem pravnem obvestilu na sami spletni strani;3. že zaradi same funkcionalnosti MP zbrani podatki ne bi vsebovali kakršnih koli podatkov, ki bi lahko identificirali obiskovalca spletne strani (npr. IP in drugih podatkov brskalnika);4. stranka bi za uporabo GA orodja sklenila pogodbo z Googlom,da tako pridobljenih podatkov ne bodo uporabljali za svoje namene oz. jih posredovali tretjim strankam.Prosite za mnenje IP glede navedenega načina vodenja spletne analitike.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. tč. 1. odst. 49. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.Analitično orodje Google Analytics se po mnenju Pooblaščenca pod določenimi pogoji lahko šteje za nizko invazivno lastno analitiko in torej uporablja pod mehanizmom domnevne privolitve in že ob prvem obisku spletne strani. Navedeno velja ne glede na tehnični način, s katerim se zbirajo podatki o uporabnikovi rabi spletne strani.Obrazložitev:Kot se je IP že opredelil v svojem nedavnem mnenju št. 0712-1/2014/2942 z dne 15.9.2014, glej http://bit.ly/1CY1DzKm, je orodje GA in z njim povezane piškotke pod ustreznimi pogoji že dopustno uporabljati na podlagi t.i. domnevne privolitve, torej že ob prvem obisku strani, brez posebnega obvestila o rabi piškotkov (razen če je to potrebno zaradi drugih piškotkov) in brez izrecne privolitve uporabnika. Navedeno je dopustno v primeru, ko se GA ob vključitvi v spletno stran nastavi na način, da ga je mogoče šteti za lastno analitično rešitev in torej za nizko invazivno obdelavo osebnih podatkov; konkretno: če se uporablja zgolj za zbiranje agregatnih podatkov (»statistik«) o obisku posameznega spletne mesta, brez namena sledenja posameznemu uporabniku čez različna spletna mesta oz. brez namena profiliranja posameznih uporabnikov, če se ne vklaplja oglaševalskih funkcij (https://support.google.com/analytics/answer/2444872?hl=en) ali deljenja podatkov z Googlom ali tretjimi strankami, če se vklopi anonimizacijo IP naslovov oz. se teh na GA sploh ne pošilja, ter če se uporabnika o prisotnosti takšne analitike ustrezno obvesti in mu omogoči, da naknadno umakne privolitev za uporabo takšne analitične rešitve (opt-out).Sami navajate, da želite GA prav tako uporabljati zgolj za boljšo interpretacijo podatkov o uporabniških obiskih. Razlika napram običajni rabi GA je torej zgolj v tehničnem načinu pošiljanja podatkov na GA, ki je v vašem primeru izvedena na strežniški strani in s pomočjo posebnega protokola Measurement protkol (MP), namesto da bi bila izvedena na strani brskalnika in s pomočjo Googlovega javascript vtičnika (ga.js / analytics.js) in pripadajočih piškotkov.Ker gre torej za istovrstne podatke in za istovrstni namen obdelave, in ker se želite še posebej izogniti potrebi po izrecni privolitvi uporabnika, je treba preveriti, ali vaš predlog uporabe GA izpolnjuje v mnenju št. 0712-1/2014/2942 navedene pogoje za uporabo GA brez izrecne privolitve.Glede tega ste v točki 3 pogojev izvedbe mnenja, da pri rabi MP v GA ne boste posredovali kakršnih koli podatkov, preko katerih bi bilo mogoče identificirali obiskovalca spletne strani. Vendar pa IP ob pregledu tehnične dokumentacije za navedeni protokol (https://developers.google.com/analytics/devguides/collection/protocol/v1/reference) ugotavlja, da je za vsak poslani podatek o uporabnikovi aktivnosti še vedno potrebno poslati unikatni identifikator uporabnika (ClientID, cid[1]), na podlagi katerega lahko GA potem agregira posamezne podatke na enega uporabnika in potem tudi pripravlja pripadajoče statistike. Navedeni identifikator bi se v primeru rabe običajnega javascript vtičnika nastavil samodejno in v piškotke, v primeru uporabe MP protokola pa je skrb za njegovo generiranje seveda na strani spletne strani (tj. strežniške kode). Ta mora pri tem, tako ali drugače, poskrbeti, da bo ta identifikator enak za vse (ali vsaj večji del) obiskov istega uporabnika, sicer bo v analitičnih podatkov izgledalo, da njegovi obiski pripadajo več osebam. Ta identifikator se lahko zgenerira na več načinov, npr. z uporabo podatkov iz uporabniškega računa (če gre za prijavljenega uporabnika), številke seje za neprijavljenega uporabnika ali npr. z izračunom t.i. fingerprinta iz drugih parametrov, ki jih v svojih http zahtevkih posreduje uporabnik (tipično gre za zaglavna polja, npr. User-Agent, seznam podprtih vtičnikov in podobno). Prav tako tudi MP omogoča pošiljanje uporabnikovega IP naslova (polje uip), čeprav se to, seveda, lahko ustrezno maskira.Posledično IP ne more pritrditi vaši trditvi, da na GA ne bi pošiljali podatkov, ki bi omogočali identifikacijo uporabnika.V zvezi s takšnimi »alternativnimi« tehnikami identifikacije uporabnika je Delovna skupina po členu 29, ki združuje informacijske pooblaščence vseh držav članic EU, že izdala posebno mnenje št. 9/2014 z dne 25.12.2014 (http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp224_en.pdf). Ključni zaključek navedenega mnenja je, da naj tudi za takšne alternativne tehnike identifikacije uporabnika - še posebej pa, če so namenjene predvsem oz. izključno izogibanju obveznosti glede piškotkov – uporabljajo ista pravila kot za piškotke.Zatorej IP zaključuje, da morate za rabo MP analitike izpolniti vse pogoje kot zgoraj, in sicer:1. na ustreznem delu spletne strani (npr. pogojih uporabe ali v pravilniku zasebnosti), ki naj bo tudi enostavno dosegljiv že ob prvem obisku (npr. s povezavo v glavni ali nogi strani), navedete, da se podatki o uporabnikovi aktivnosti (mesta in časi obiska, identifikator, idr.) obdelujejo v okviru rešitve Google Analytics,2. poskrbite za anonimizacijo uporabnikovega IP-ja, tako da se ohranijo zgolj števke, ki omogočajo identifikacijo ponudnika interneta, ne pa uporabnika (pri IPv4 se črta zadnjih 8 bitov, pri IPv6 naslovu ustrezno več);3. poskrbite za možnost naknadnega umika privolitve (opt-out) od takšne obdelave osebnih podatkov, z ustrezno nastavitvijo na vaši spletni strani (ki se shrani v obstoječo uporabniško sejo ali pa v poseben piškotek, in je lahko omejenega trajanja);4. poskrbite, da se GA ne bo uporabljal tudi za bolj invazivne namene, kot so oglaševanje ali deljenje podatkov z Googlom ali drugimi osebami.S pozdravi,Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav.,pooblaščenka
[1] Glej navedeno dokumentacijo, odsek Payload data, pododsek Required values for all hits.