Google Analytics законен ли е? GDPR, Schrems II и какво реши ЕС-САЩ рамката

През 2022 г. три европейски надзорни органа — австрийският DSB, френският CNIL и италианският Garante — обявиха, че използването на Google Analytics нарушава GDPR заради трансфера на данни към САЩ. Година по-късно Европейската комисия прие решение за адекватност за EU-U.S. Data Privacy Framework и правната картина се обърна. Към август 2026 г. отговорът на въпроса „законен ли е Google Analytics" е: да, при изпълнени условия — но с висящо дело пред Съда на ЕС, което може да пренапише правилата за трети път. Тази статия проследява цялата хронология, обяснява какво точно промени рамката, кога се иска съгласие за бисквитките на GA4 и какво конкретно трябва да направи един български сайт.

Законно ли е да ползвам Google Analytics в България през 2026?

Зад този кратък отговор стоят два отделни правни въпроса, които в практиката постоянно се смесват — а те имат различни отговори, различни правни основания и различни рискове:

• Въпрос 1 — трансферът: може ли изобщо данни за посетителите на европейски сайт да се изпращат към сървъри на американска компания? Това е въпросът, който Schrems II постави и който Data Privacy Framework (засега) реши. Правната рамка е глава V от GDPR (чл. 44–49) — повече в статията ни за международния трансфер на лични данни.
• Въпрос 2 — бисквитките: може ли GA4 да записва и чете информация в устройството на посетителя без негово съгласие? Този въпрос няма нищо общо с трансфера — той се урежда от ePrivacy директивата и чл. 4а от Закона за електронната търговия, и отговорът му не се промени с приемането на рамката: съгласие трябва.

Незаконността, обявена от надзорните органи през 2022 г., се отнасяше само до първия въпрос — и то в правната обстановка отпреди рамката. Затова твърдения от рода на „Google Analytics е забранен в Европа", които все още се срещат в интернет, са остаряла информация. Огледалната грешка също е разпространена: „щом има рамка, значи не ми трябва банер за съгласие" — невярно, защото банерът обслужва втория въпрос, не първия.

Хронологията — от Schrems II до делото срещу рамката

Историята на Google Analytics в Европа е всъщност история на трансатлантическите трансфери на данни. Ето ключовите дати:

Три уточнения към таблицата. Първо, решенията от 2022 г. са разпореждания, а не глоби — органите наредиха на конкретните оператори да спрат или приведат в съответствие използването на инструмента, но не наложиха имуществени санкции за самия трансфер. Второ, адресати бяха операторите на сайтовете, не Google — отговорността за законосъобразността на трансфера носи администраторът, който е вградил инструмента. Този принцип е в сила и днес. Трето, решенията се отнасяха до Universal Analytics в правната обстановка преди рамката; те не са формално „отменени", но фактическото им основание — липсата на решение за адекватност — отпадна на 10 юли 2023 г.

Какво промени Data Privacy Framework?

DPF даде на трансферите към САЩ основание по чл. 45 GDPR — решение за адекватност от 10 юли 2023 г., валидно и към август 2026 г., макар и атакувано по висящото дело C-703/25 P.

EU-U.S. Data Privacy Framework (DPF) е третият опит за трайна правна основа на трансферите между ЕС и САЩ — след Safe Harbor (обявен за невалиден през 2015 г. по първото дело Schrems) и Privacy Shield (свален от Schrems II през 2020 г.). Механиката е следната: американските компании се самосертифицират пред Министерството на търговията на САЩ, че ще спазват принципите на рамката, а Европейската комисия признава с решение по чл. 45 GDPR, че за сертифицираните участници САЩ осигурява „по същество равностойна" защита. От американска страна опората е Изпълнителна заповед 14086 от октомври 2022 г., която въведе изисквания за необходимост и пропорционалност при достъпа на разузнавателните служби и създаде нов орган за правна защита — Data Protection Review Court, пред който европейски граждани могат да подават жалби.

За Google Analytics практическото значение е директно: Google LLC е сертифициран участник — компанията декларира това в собствените си условия за рамките за трансфер, а статусът е проверим в официалния регистър на dataprivacyframework.gov. Докато сертификацията е активна, изпращането на данни за посетители от български сайт към Google в САЩ има правно основание по чл. 45 GDPR и не изисква стандартни договорни клаузи, оценка на въздействието при трансфер или допълнителни технически мерки за покритите данни. Сертификацията се подновява ежегодно — затова проверката на актуалния статус в регистъра е част от добрата практика при годишния преглед на обработванията.

Какво рамката не промени

Решението за адекватност урежда само трансфера. Всичко останало от GDPR и ePrivacy остава непокътнато: принципите по чл. 5 (минимизация, ограничение на целите, прозрачност), задължението за договор за обработване по чл. 28 (за Google Analytics — Google Ads Data Processing Terms, които се приемат в администраторския интерфейс), информационните задължения по чл. 13 и — най-често пренебрегваното — съгласието за бисквитките, на което е посветена следващата секция. Отделно: ако ползвате американски доставчик, който не е сертифициран по рамката, за него нищо не се е променило — трябват стандартни договорни клаузи плюс оценка на въздействието при трансфер; работен шаблон има в статията ни TIA шаблон за трансфери към САЩ след Schrems II.

Колко е стабилна рамката?

Това е въпросът, който отличава 2026 г. от 2024 г. Френският депутат Филип Латомб атакува решението за адекватност още през 2023 г.; на 3 септември 2025 г. Общият съд на ЕС отхвърли жалбата му по дело T-553/23, като прие, че Data Protection Review Court е достатъчно независим и че гаранциите при масово събиране на данни от службите са адекватни. Латомб обжалва — делото C-703/25 P е образувано пред Съда на ЕС на 31 октомври 2025 г. и е висящо, без насрочено заседание към момента на писане. Междувременно доверието в американските гаранции ерозира и по политическа линия: през януари 2025 г. три от петте места в PCLOB — надзорния борд за защита на личните свободи, изрично цитиран в решението за адекватност — бяха освободени, и органът остана без кворум. И Комисията в първия си периодичен преглед, и Европейският комитет по защита на данните посочиха това като проблем за устойчивостта на рамката.

Трябва ли съгласие за GA4 бисквитките?

Да — и това е задължението, което най-често се нарушава на практика. Правилото идва не от GDPR, а от чл. 5, параграф 3 от ePrivacy директивата (2002/58/ЕО): съхраняването на информация или достъпът до вече съхранена информация в устройството на потребителя е допустимо само след ясна информация и съгласие, освен когато е строго необходимо за изрично поисканата услуга.

У нас текстът е транспониран в чл. 4а от Закона за електронната търговия. Бисквитките на Google Analytics (семейството _ga) измерват посещаемост — те не са строго необходими, за да се зареди страницата, и затова не попадат в изключението. Изводът е потвърден от Съда на ЕС по делото Planet49 (C-673/17): съгласието трябва да е активно действие, предварително отметнатите кутийки са невалидни, а правилото важи независимо дали съхраняваната информация представлява лични данни.

Тук е мястото да се разсее и едно упорито недоразумение около „анонимизацията". В GA4 Google декларира, че IP адресите на потребители от ЕС не се записват и не се съхраняват — те се отхвърлят при събирането, преди логване, а събирането за ЕС минава през европейски домейни и сървъри (старата настройка anonymize_ip от Universal Analytics вече е безпредметна). Това е добра новина за минимизацията, но не отменя съгласието: задължението по ePrivacy се задейства от самото записване и четене на информация в устройството, а идентификаторите в бисквитката _ga продължават да са онлайн идентификатори по смисъла на чл. 4, точка 1 GDPR.

Consent Mode v2 — какво е и защо е задължителен

От март 2024 г. Google изисква от сайтовете, които ползват Google Analytics и Google Ads за аудитории в ЕИП, да подават сигнали за съгласието чрез Consent Mode v2 — механизъм, въведен в контекста на Регламента за цифровите пазари (DMA). Четирите сигнала са: analytics_storage (аналитични бисквитки), ad_storage (рекламни бисквитки) и новите ad_user_data и ad_personalization (изпращане на потребителски данни към Google за реклама и персонализация). Коректната конфигурация за българския сайт: всички сигнали са denied по подразбиране, а банерът ги превключва на granted само след активен избор на посетителя. Без тези сигнали Google не обработва данни за нови посетители от ЕИП за рекламни цели — тоест некоректната имплементация се наказва не само правно, а и функционално: губите измерване на кампании.

Какво прави КЗЛД по темата? Българският орган не е издавал самостоятелна „кукис-практика" от мащаба на CNIL, но публикува секторни насоки и последователно препраща към Насоки 05/2020 на Европейския комитет по защита на данните за валидността на съгласието — включително за проблема с „cookie wall" (достъп срещу задължително приемане) и с интерфейси, които правят отказа по-труден от приемането. Санкционният риск в България е асиметричен: глобите по самия Закон за електронната търговия са символични (исторически 500–2 000 лв., ≈256–1 023 EUR), но невалидното съгласие означава обработване без правно основание — а това вече е нарушение на принципите по GDPR с таван 20 млн. EUR или 4% от оборота. Подробният разбор на банерите, категориите бисквитки и типичните грешки е в статията ни Бисквитки и съгласие — как да е законен банерът ви; ако държите онлайн магазин, където към аналитиката се добавят ремаркетинг и проследяване на реализации, вижте и GDPR за онлайн магазини.

Чеклист за български сайт — изискване, действие, основание

Таблицата по-долу събира на едно място какво трябва да е изпълнено, за да е GA4 законосъобразен на български сайт — както към август 2026 г.:

Ако предпочитате същото като работен списък за проверка:

• Банерът блокира GA4 до активно съгласие и позволява отказ с един клик
• Consent Mode v2 подава четирите сигнала с denied по подразбиране
• Google Ads Data Processing Terms са приети и архивирани
• Политиката за бисквитки описва _ga бисквитките, целта и срока им
• Политиката за поверителност споменава трансфера към САЩ и DPF
• Годишна проверка: статусът на Google в регистъра на рамката + преглед на дело C-703/25 P

Какви са алтернативите?

За част от сайтовете най-чистото решение на целия възел — трансфер, съгласие, зависимост от изхода на C-703/25 P — е да не изпращат данни към САЩ изобщо. Двата най-зрели инструмента:

Две уговорки за коректност. Първо, освобождаването от банер при тези инструменти стъпва на позицията на CNIL и на техническите им характеристики — КЗЛД не е публикувала еквивалентен официален списък, така че пълното премахване на банера в България е по-консервативна преценка, която си струва да мине през юрист. Второ, темата се движи: предложението „Digital Omnibus" на Европейската комисия предвижда изключение от съгласието за агрегирано измерване на посещаемост, но към август 2026 г. това е законодателно предложение, не действащо право. И обратната страна: ако бизнесът ви живее от Google Ads кампании, GA4 остава функционално най-силният избор — алтернативите не се интегрират с рекламната екосистема на Google.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 български компании — банки, застрахователи, телекоми и технологични фирми — по международни трансфери на данни, съответствие на уеб аналитика и маркетингови инструменти и подготовка за КЗЛД проверки. Публикуват месечен разбор на правоприлагането по GDPR в ЕС.