GTM被德國法院裁定違法

裁決結果

德國漢諾威行政法院於2025年3月19日裁定：Google追蹤代碼管理器 (GTM) 需要根據《一般資料保護規範》(GDPR) 和德國《追蹤與資料保護規範》(TTDSG) 獲得用戶明確同意，才可以載入。

判決的原因是：GTM會將技術識別碼（例如 IP 位址和瀏覽器元資料）傳輸到 Google 伺服器，這些伺服器通常位於美國等第三國。法院裁定，這種處理對於提供使用者明確要求的服務並非絕對必要。因此，根據《資料保護規範》(TTDSG) 第 25(1) 條和《一般資料保護規範》(GDPR) 第 6(1)(a) 條，這種處理需要獲得使用者同意。

前因後果

原告：下薩克森州資料保護機構
被告：出版社的www.noz.de
事件時間軸：

• 2018年12月4日，下薩克森州資料保護機構投訴網站www.noz.de使用「Google Analytics」、「Google DoubleClick」、Facebook Inc.、OpenX Software Ltd.、Outbrain UK Limited和Teads SA等服務或服務提供者的大量Cookie。
• 2019年11月21日，網站www.noz.de增加了未經同意不得再將Cookie和第三方服務整合到網站，估計是安裝CMP
• 2019年11月28日，下薩克森州資料保護機構向漢諾威行政法院提起訴訟，網站www.noz.de多次重新設計網站上的同意橫幅
  2021年2月，，應下薩克森州資料保護機構的要求，網站www.noz.de完成了一份關於其網站上cookies、其他追蹤機制和第三方服務使用情況的問卷調查和補充Excel電子表格。
• 2022年7月27日，下薩克森州資料保護機構致函網站www.noz.de，告知其對重新設計網站的法律評估，並邀請原告提出意見。
• 2022年8月25日，網站www.noz.de回函，已按要求對其網站進行了調整，以確保符合資料保護規定。
• 2022年11月15日，下薩克森州資料保護機構在其IT實驗室對原告網站進行了技術測試。測試過程中，被告發現，首次造訪原告網站時，未經事先同意就訪問了美國服務Google Tag Manager。該服務有助於將其他程式碼片段以及其他服務整合到網站中。測試透過向Google傳輸ID並與美國伺服器www.googletagmanager.com建立連線來實現。用戶設備的數據，尤其是IP位址、設備配置、國家/地區和引薦來源網址（referrer URL）也被傳輸。隨後，Google在使用者裝置上儲存了一個名為gtm.js的Java腳本，該腳本針對每個使用者進行了個人化自訂。
• 2022年11月23日，網站www.noz.de發布駁斥下薩克森州資料保護機構的內容。
• 2022年12月22日，下薩克森州資料保護機構再次提起訴訟。
• 2025年3月19日，德國漢諾威行政法院裁定：在未事先獲得用戶同意的情況下使用 Google Tag Manager 服務，違反了《TTDSG》第 25（1）條以及GDPR 第 6 條第 (1) 款。

原因

CMP佈署錯誤，被下薩克森州資料保護機構取證記錄了，錯誤主要有兩個：

• 一個是CMP沒有起到該有的作用，不管用戶是否同意或決絕，都發送數據
• 一個是CMP的UI設定不對，將拒絕選項放到二級頁面

解決方案

正確佈署CMP。

一定要安裝CMP，因為不安裝，Ads的轉換會記錄不到的。

而且CMP要合規安裝，不要有小聰明。