Webstatistik uden cookies: GDPR-venlige alternativer til GA4

Ja, du kan måle din hjemmesides trafik i Danmark uden cookies og uden samtykkebanner, så længe værktøjet ikke indsamler personoplysninger og ikke gemmer noget på den besøgendes enhed. Cookiefri værktøjer som Umami, Plausible og Matomo (i cookiefri opsætning), hostet i EU, er bygget til præcis det. Det, du ikke kan, er at køre almindelig Google Analytics 4 og springe samtykket over: GA4 gemmer identifikatorer på enheden og behandler personoplysninger, så efter cookiebekendtgørelsen og GDPR kræver det forudgående samtykke, og en stor del af dine besøgende afviser eller ignorerer banneret, så du alligevel ender med ufuldstændige tal.

Det er det korte svar. Det lange handler om, hvorfor GA4 blev en juridisk og praktisk belastning, hvad reglerne kræver af et måleværktøj, og hvordan alternativerne klarer sig. Dette indlæg handler bevidst om valget af værktøj. Selve reglerne står i cookiebanner: reglerne, og hvad et banner gør ved din sides hastighed og placering i Google, står i cookiebanner og SEO.

Jeg står for det tekniske hos NBS, herunder statistikken på vores eget site. Vi er udviklere, ikke jurister; det her er praktisk vejledning, ikke juridisk rådgivning.

Hvorfor Google Analytics blev et GDPR-problem

To adskilte juridiske problemer stødte sammen i Google Analytics, og det hjælper at holde dem hver for sig.

Problem ét: cookies og adgang til enheden. Cookiebekendtgørelsen, som gennemfører ePrivacy-direktivet, kræver samtykke, før der gemmes eller læses noget på brugerens enhed, medmindre det er strengt nødvendigt for at levere den tjeneste, brugeren har bedt om. Statistik er ikke strengt nødvendig. GA4 gemmer klient-id’er på enheden, så der skal indhentes samtykke, før det kører. Den del er afklaret og stort set ubestridt; det er derfor, bannerne findes.

Problem to: overførsel af data til USA. Mellem 2020 og 2023, efter at EU-Domstolens Schrems II-dom havde underkendt Privacy Shield, kiggede flere europæiske tilsyn specifikt på Google Analytics. Det østrigske tilsyn (januar 2022), franske CNIL (februar 2022) og italienske Garante (juni 2022) fandt hver især, at de opsætninger, de gennemgik, ulovligt overførte personoplysninger, herunder IP-adresser og online-id’er, til USA uden tilstrækkelige garantier. I september 2022 fulgte Datatilsynet med sin egen udmelding: Google Analytics kunne, som værktøjet var indrettet på det tidspunkt, ikke bruges lovligt i Danmark uden supplerende foranstaltninger. Rådet var at stoppe med at bruge værktøjet eller sætte en reverse proxy foran, som fjerner identificerende data, før noget når frem til Google. Meget få virksomheder valgte det sidste, for det er mere arbejde end at skifte værktøj.

I juli 2023 genskabte EU-US Data Privacy Framework en lovlig overførselsmekanisme for certificerede amerikanske virksomheder, Google inklusive. Det lettede problem to for nu, med tre forbehold. DPF står over for samme slags retssager, som fældede de to forgængere, så bygger du din måling på den, satser du på, at den overlever; baggrunden står i dansk hosting eller amerikansk cloud?. Afgørelserne før DPF handlede aldrig kun om en manglende ramme; de gik tæt på, om id’er plus metadata er personoplysninger, og om supplerende foranstaltninger overhovedet virker. Og DPF gør intet ved problem ét: Samtykke til cookies og id’er kræves stadig, uanset hvor dataene ender.

Det praktiske problem oven i det juridiske: Statistik bag et samtykke måler kun de besøgende, der siger ja. Accept-rater for statistik lander typisk et sted mellem 30 og 70 procent afhængigt af bannerets design og målgruppen. Googles svar, consent mode v2, udfylder hullet med cookiefri pings og modellerede konverteringer. Det er ærligt ingeniørarbejde, men det betyder, at en del af dine “data” er et statistisk skøn, og den avancerede variant sender stadig signaler før samtykke, hvilket flere europæiske tilsyn ser skævt til. Du ender med at vedligeholde en samtykkeplatform, et banner, der koster konverteringer, og et datasæt, der delvist er modelleret, alt sammen for at beholde et gratis værktøj.

Hvad GDPR-venlig statistik faktisk kræver

Renset for leverandørernes markedsføring ser kravene sådan ud:

1. Intet gemmes på eller læses fra enheden uden samtykke, medmindre det er strengt nødvendigt. Reelt cookiefri værktøjer, der tæller besøg uden at gemme id’er, udløser ikke kravet. Bemærk, at det ikke kun handler om cookies; al adgang til enheden tæller, og tilsynene sidestiller visse fingerprinting-teknikker med cookies.
2. Et lovligt grundlag for de personoplysninger, der behandles. Aggregeret, ikke-identificerende statistik kan som regel hvile på legitim interesse; alt med vedvarende id’er, sporing på tværs af sites eller annoncering kræver samtykke.
3. Dataminimering. Indsaml sidevisninger, henvisende sider og aggregerede enhedsdata; indsaml ikke det, du ikke bruger. IP-adresser bør smides væk eller afkortes ved modtagelsen.
4. Kendt placering af data og kendte databehandlere. Behandler en amerikansk udbyder dataene, læner du dig op ad DPF eller SCC’er plus supplerende foranstaltninger. EU-hostet eller selvhostet fjerner overførselsspørgsmålet helt.
5. Gennemsigtighed. Det, du kører, skal beskrives korrekt i din privatlivspolitik.

En brugbar tommelfingerregel: Jo færre spørgsmål din opsætning rejser, jo mere compliant er den som regel. Et værktøj, der ikke gemmer noget på enheder, ikke identificerer nogen og holder data i EU, rejser næsten ingen.

Værktøjerne sammenlignet: GA4, Matomo, Plausible, Umami

Et par fair bemærkninger til hver. GA4 er stadig et reelt stærkt værktøj, og kører din forretning på Google Ads, er integrationen svær at erstatte; prisen er juridisk kompleksitet og tal med huller i. Matomo er det mest kapable europæiske valg og det eneste, der nærmer sig GA4’s dybde, men at selvhoste det er en reel driftsopgave (opdateringer, skalering, backup), og i cookie-tilstand kræver det samtykke som alt andet. Plausible er det pragmatiske valg for de fleste små og mellemstore virksomheder: ét letvægtsscript, EU-hostet, og enkelheden er en styrke, for de fleste virksomheder bruger fem rapporter. Umami er glimrende, når du har vanen med at selvhoste og vil undgå licensomkostninger helt. Der findes andre troværdige muligheder i samme familie (Fathom, Simple Analytics, Pirsch); de fire ovenfor dækker valget.

Det, vi selv kører

nbsweb.dk kører en selvhostet Umami på en server i EU. Den sætter ingen cookies, gemmer intet på din enhed og afkorter IP-adresser ved modtagelsen, og det er derfor, dette site slet ikke har noget cookiebanner. Du kan tjekke det, mens du læser: Åbn udviklerværktøjerne, gå til Cookies, og der står ingenting. Det står også i vores privatlivspolitik.

Det, vi får ud af det, er det, en servicevirksomhed faktisk bruger: sidevisninger, henvisende sider, hvilke sider der fører til kontaktformularen, og hvilke lande og enheder de besøgende kommer fra. Det, vi giver afkald på, er individuelle brugerrejser på tværs af sessioner, remarketing-målgrupper og konverteringsmatch mod annonceplatforme. For et indholdssite, en servicevirksomhed eller de fleste webshops koster det ikke noget, du reelt bruger. For en virksomhed med store annoncebudgetter er det sædvanlige kompromis en hybrid: cookiefri statistik som den altid tændte sandhedskilde, plus annoncemåling bag samtykke kun dér, hvor forbruget retfærdiggør banneret.

Vi sætter det samme op for kunder som standard, ikke som tilvalg. Cookiefri statistik er inkluderet, når vi bygger en hjemmeside, og at holde den kørende er en del af driften fra 375 kr. om måneden (Basis), ekskl. moms; se priser.

Sådan flytter du fra GA4 uden at miste din historik

1. Eksportér det, der betyder noget. GA4-data kan ikke importeres andre steder, så eksportér månedlige totaler (sessioner, topsider, henvisende sider, konverteringer) til et regneark som reference.
2. Kør begge sideløbende i en måned eller to. Forvent, at det nye værktøj viser mere trafik end GA4, ofte 20–50 procent mere, fordi det ikke ligger bag et samtykke. Fastlæg den nye baseline, før du træffer beslutninger ud fra den.
3. Genskab mål og UTM-konventioner i det nye værktøj. Det er som regel en eftermiddag, ikke et projekt.
4. Fjern GA4 og, hvis statistik var bannerets eneste opgave, banneret med. Opdatér privatlivspolitikken, så den beskriver det nye værktøj. Er der andre scripts, der kræver samtykke (annoncer, indlejret video), bliver banneret, men dets omfang skrumper.
5. Skriv én side dokumentation: værktøj, hostingplacering, opbevaringstid, hvad der indsamles og ikke indsamles. Den side besvarer det meste af det, en kundes leverandørspørgeskema spørger om.

Konklusionen

Cookiefri statistik er ikke længere et kompromisprodukt. For flertallet af danske virksomheder er det ganske enkelt det bedre tekniske valg: juridisk stille, hurtigere sider, ingen bannerskat på konverteringer, og tal, der afspejler alle besøgende i stedet for dem, der sagde ja. Behold kun GA4, hvis du har en konkret, omsætningsbundet grund, typisk stor afhængighed af Google Ads, og accepter det samtykkemaskineri, der følger med.

Det er også her, privatliv og performance holder op med at være modsætninger: Den compliant opsætning er den hurtige. Sådan arbejder vi med måling og søgning generelt; se SEO, hvor cookiefri statistik er en del af standardopgaven, ikke et mersalg.

Ofte stillede spørgsmål

Er Google Analytics ulovligt i Danmark? Nej. Datatilsynets udmelding fra 2022 handlede om værktøjet, som det var indrettet dengang, og om overførslen til USA; DPF har siden genskabt en overførselsmekanisme. Men GA4 kræver stadig samtykke, før det kører, og den del har ikke ændret sig.

Skal jeg have cookiebanner til Umami eller Plausible? Ikke i deres standardopsætning. De gemmer intet på enheden og identificerer ingen, så der er ikke noget at give samtykke til. Banneret kan stadig være påkrævet for andre scripts på siden.

Mister jeg data ved at skifte? Du kan ikke flytte GA4-historik over i et andet værktøj, så eksportér de totaler, du går op i, først. Fremadrettet ser du typisk mere trafik, ikke mindre, fordi ingen skal sige ja først.

Kan jeg beholde konverteringssporing til Google Ads? Ja, men det kræver samtykke, så banneret bliver for det script. Mange virksomheder kører cookiefri statistik på alt og annoncesporing bag samtykke kun på kampagnesider.