德國法院裁定 GTM（Google Tag Manager）若未經用戶同意使用屬違法

近日，德國漢諾威（Hanover）行政法院（VG Hannover）就使用 Google Tag Manager（GTM）是否需要用戶事前同意作出重大裁決。該案不僅對德國網站營運者造成直接影響，也可能在歐洲範圍內引發廣泛連鎖反應。

裁決背景

• 裁決時間與法院：漢諾威行政法院發布判決，案號為 10 A 5385/22，判決日期為 2025 年 3 月 19 日
• 當事人：下薩克森（Lower Saxony）州資料保護監管機構（LfD）起訴一間新聞出版網站（運營 journalistic portal），指其在未獲有效同意下，就即刻載入 GTM。
• 爭議核心：是否在用戶尚未給出同意之前就載入 GTM，以及 GTM 載入本身是否構成「個人資料處理」（data processing）。

前因後果

原告：下薩克森州資料保護機構
被告：出版社的www.noz.de
事件時間軸：

• 2018年12月4日，下薩克森州資料保護機構投訴網站www.noz.de使用「Google Analytics」、「Google DoubleClick」、Facebook Inc.、OpenX Software Ltd.、Outbrain UK Limited和Teads SA等服務或服務提供者的大量Cookie。
• 2019年11月21日，網站www.noz.de增加了未經同意不得再將Cookie和第三方服務整合到網站，估計是安裝CMP
• 2019年11月28日，下薩克森州資料保護機構向漢諾威行政法院提起訴訟，網站www.noz.de多次重新設計網站上的同意橫幅
  2021年2月，，應下薩克森州資料保護機構的要求，網站www.noz.de完成了一份關於其網站上cookies、其他追蹤機制和第三方服務使用情況的問卷調查和補充Excel電子表格。
• 2022年7月27日，下薩克森州資料保護機構致函網站www.noz.de，告知其對重新設計網站的法律評估，並邀請原告提出意見。
• 2022年8月25日，網站www.noz.de回函，已按要求對其網站進行了調整，以確保符合資料保護規定。
• 2022年11月15日，下薩克森州資料保護機構在其IT實驗室對原告網站進行了技術測試。測試過程中，被告發現，首次造訪原告網站時，未經事先同意就訪問了美國服務Google Tag Manager。該服務有助於將其他程式碼片段以及其他服務整合到網站中。測試透過向Google傳輸ID並與美國伺服器www.googletagmanager.com建立連線來實現。用戶設備的數據，尤其是IP位址、設備配置、國家/地區和引薦來源網址（referrer URL）也被傳輸。隨後，Google在使用者裝置上儲存了一個名為gtm.js的Java腳本，該腳本針對每個使用者進行了個人化自訂。
• 2022年11月23日，網站www.noz.de發布駁斥下薩克森州資料保護機構的內容。
• 2022年12月22日，下薩克森州資料保護機構再次提起訴訟。
• 2025年3月19日，德國漢諾威行政法院裁定：在未事先獲得用戶同意的情況下使用 Google Tag Manager 服務，違反了《TTDSG》第 25（1）條以及GDPR 第 6 條第 (1) 款。

原因

CMP佈署錯誤，被下薩克森州資料保護機構取證記錄了，錯誤主要有兩個：

• 一個是CMP沒有起到該有的作用，不管用戶是否同意或決絕，都發送數據
• 一個是CMP的UI設定不對，將拒絕選項放到二級頁面

解決方案

正確佈署CMP。

一定要安裝CMP，因為不安裝，Ads的轉換會記錄不到的。

而且CMP要合規安裝，不要有小聰明。