تحلیل وب منطبق با GDPR در سال 2026: راهنمای عملی برای صاحبان سایت در اروپا

این ماه GDPR هشت ساله شد. متن مواد 5، 6 و 7 تغییری نکرده، اما رویهٔ قضایی، اولویت‌های اجرایی و معیار عملی «منطبق بودن» برای تحلیل وب در 18 ماه گذشته به‌شدت جابه‌جا شده است. اگر سامانهٔ آنالیتیکس‌تان را بین سال‌های 2018 تا 2024 راه‌اندازی کرده‌اید و از آن زمان به آن سر نزده‌اید، این راهنما به شما می‌گوید رگولاتورها واقعاً الان چه انتظاری دارند، و چطور به‌جای ماست‌مالی کردن خطرناک‌ترین الگوها، آن‌ها را از اساس از طراحی کنار بگذارید.

این مطلب، قطعهٔ دوم از یک سری کوتاه است که Statnive Live را معرفی می‌کند؛ همان سکوی آنالیتیکس مستقلی که در کنار افزونهٔ وردپرس خودمان عرضه می‌کنیم. قطعهٔ اول درخت تصمیم «افزونهٔ وردپرس در برابر Live» را مرور کرد. Statnive Live داده‌ها را در نورنبرگ آلمان پردازش می‌کند، روی هر پلن یک DPA طبق مادهٔ 28(3) عرضه می‌کند، و بر اساس همان رویهٔ قضایی زیر طراحی شده است. هرجا ادعایی مقرراتی مطرح می‌کنیم، شمارهٔ تصمیم، تاریخ و مرجع را در پاورقی می‌بینید؛ هرچه به آن شک دارید، خودتان راستی‌آزمایی کنید.

چشم‌انداز مقرراتی اتحادیه اروپا در سال 2026

پنج چیز در آوریل 2026 درست است که دو سال پیش درست نبود.

1. GA4 پرپرچم‌خورده‌ترین ردیاب در اجرای فعال آلمان است

مرجع حفاظت داده هامبورگ (HmbBfDI) در گزارش فعالیت سال 2025 خود (Tätigkeitsbericht Datenschutz 2025)، 1000 وب‌سایت مستقر در هامبورگ را بررسی کرد. 185 سایت از آن‌ها پیش از هرگونه رضایت، در همان بارگذاری اولیهٔ صفحه ردیابی شخص ثالث را فعال می‌کردند. از آن 185 سایت، 110 سایت — یعنی حدود 60% — از Google Analytics استفاده می‌کردند، و پس از آن Google Maps با 51، Google Ads با 42، YouTube با 20 و Facebook با 15 سایت قرار داشتند. به متصدیان شش ماه فرصت داده شد تا وضعیت را اصلاح کنند.

تصمیم‌های دسامبر 2021 و مه 2022 مرجع DSB اتریش دربارهٔ GA (D155.027 / 2021-0.586.257) و تصمیم ژوئن 2022 مرجع Garante ایتالیا در پروندهٔ Caffeina Media (اقدام 9782890) — که هر دو انتقال داده از اتحادیه اروپا به آمریکا در GA را بر مبنای Schrems II غیرقانونی دانستند — با هیچ حکمی در بازهٔ 2024 تا 2026 نقض نشده‌اند. سوابق GA در سال 2022 همچنان رویهٔ قضایی جاری در سال 2026 هستند.

2. چارچوب حریم خصوصی داده اتحادیه اروپا و آمریکا محل مناقشه است، نه قطعی‌شده

چارچوب DPF نخستین چالش حقوقی خود را پشت سر گذاشت؛ یعنی پروندهٔ Latombe v Commission، T-553/23، که دادگاه عمومی اتحادیه اروپا در 3 سپتامبر 2025 دربارهٔ آن رأی داد (پوشش IAPP). تصمیم کفایت کمیسیون اروپا مورخ 10 ژوئیه 2023 پابرجاست. اما Latombe در 31 اکتبر 2025 به دیوان دادگستری اتحادیه اروپا (CJEU) استیناف داد، و noyb هم از یک چالش موازی خبر داده است (تحلیل WilmerHale). وضعیت آیینی پرونده در CJEU تا لحظهٔ نگارش این مطلب، در دست بررسی است.

بنابراین پاسخ معماری استوار برای هر عرضهٔ تازه در اروپا در سال 2026، همان پاسخی است که Schrems II در سال 2020 پیشنهاد داد: اصلاً از همان ابتدا دادهٔ شخصی اروپایی را به کشور ثالث منتقل نکنید. نگه‌داشتن داده‌ها فقط در اروپا، مواد 44 تا 49 را به‌کلی از دامنهٔ موضوع خارج می‌کند.

3. CNIL تأیید کرده که «ما یک بنر داریم» دیگر دفاع به حساب نمی‌آید

CNIL در 1 سپتامبر 2025 دو جریمهٔ رکوردشکن هم‌زمان صادر کرد، آن هم نه برای زنجیرهٔ پایین‌دستی تبلیغات، بلکه برای خودِ تجربهٔ کاربری بنر رضایت کوکی:

Google: مبلغ 325 میلیون یورو، مصوبهٔ SAN-2025-006 — شامل 200 میلیون یورو علیه Google LLC به‌علاوهٔ 125 میلیون یورو علیه Google Ireland — برای نمایش تبلیغ درون Gmail «بین ایمیل‌ها» بدون رضایت و برای ارائهٔ معیوب رضایت کوکی.
Shein: مبلغ 150 میلیون یورو، مصوبهٔ SAN-2025-005 — برای قرار دادن کوکی‌های تبلیغاتی و مخاطب‌سنجی در همان بارگذاری اول صفحه، نبود توضیح دربارهٔ هدف تبلیغاتی، فعال کردن 10 کوکی اضافی هنگام پس گرفتن رضایت، و تنظیم یک کوکی مخاطب‌سنجی ده‌ساله بدون رضایت.

این‌ها بزرگ‌ترین جریمه‌های رضایت کوکی هستند که تا کنون در اتحادیه اروپا صادر شده‌اند. این جریمه‌ها در کنار کارزار شکایت 226+500 noyb — که در آن 81% صفحات بررسی‌شده گزینهٔ «رد کردن» در صفحهٔ اول نداشتند و 73% از تضاد رنگ با الگوی فریبنده استفاده می‌کردند — کاری می‌کنند که خودِ بنر به مسئولیت مقرراتی تبدیل شود، نه فقط کوکی‌های پشت آن.

4. قانون کوکی آلمان تغییر نام داده (اما تغییر نکرده)

مادهٔ 25 TTDSG در 14 مه 2024 و با لازم‌الاجرا شدن مادهٔ 4 از قانون پیاده‌سازی قانون خدمات دیجیتال آلمان، به مادهٔ 25 TDDDG تبدیل شد (خلاصهٔ Robin Data). محتوای آن تغییری نکرده است؛ یعنی برای هر ذخیره‌سازی یا دسترسی غیرضروری روی تجهیزات کاربر، همچنان رضایت پیشین لازم است. اگر در اعلامیهٔ حریم خصوصی‌تان هنوز به «TTDSG» استناد می‌کنید، آن را به‌روز کنید. آیین‌نامهٔ داوطلبانهٔ مدیریت رضایت (EinwV) در 1 آوریل 2025 لازم‌الاجرا شد، اما مادهٔ 25 TDDDG را لغو نمی‌کند؛ سایت‌هایی که در این آیین‌نامه شرکت نمی‌کنند، همچنان موظف به دریافت رضایت بنری هستند.

5. IP درهم‌سازی‌شده همچنان دادهٔ شخصی است

EDPB در صدویکمین نشست عمومی خود در 16 ژانویه 2025، دستورالعمل 01/2025 دربارهٔ نام‌مستعارسازی را تصویب کرد. این دستورالعمل دوباره تأکید می‌کند که دادهٔ نام‌مستعارسازی‌شده — از جمله IP درهم‌سازی‌شده، شناسهٔ کوکی، درهمینهٔ بازدیدکنندهٔ BLAKE3/HMAC و رشتهٔ TC — هر زمان که شناسایی دوباره از طریق ابزارهای دردسترسِ کنترل‌کننده یا هر شخص ثالث «به‌طور معقول محتمل» باشد، همچنان دادهٔ شخصی باقی می‌ماند. رأی CJEU در پروندهٔ IAB Europe (C-604/22، 7 مارس 2024) و پیگیری 14 مه 2025 دادگاه تجدیدنظر بروکسل این موضوع را فراتر از رشتهٔ TC و به هر شناسه‌ای که با یک IP جفت شده باشد، تعمیم می‌دهند.

نام‌مستعارسازی خطر را کاهش می‌دهد، اما معافیتی از GDPR نیست. وقتی پایین‌تر ساختار نمک روزانهٔ Statnive Live را توضیح می‌دهیم، دوباره به این نکته برمی‌گردیم؛ ما ترجیح می‌دهیم درهمینه‌های خود را دادهٔ شخصی کم‌خطر بدانیم تا این‌که بیش از حد ادعای «ردیابی ناشناس» کنیم.

چهار نقطهٔ داغ حقوقی برای آنالیتیکس

هر سامانهٔ آنالیتیکس در سال 2026 باید به چهار پرسش پاسخ دهد. مواد قانون کوتاه‌اند؛ تحلیل‌های زیر، نسخهٔ عملی آن‌ها هستند.

فصل پنجم GDPR، انتقال دادهٔ شخصی به کشورهای ثالث را تنظیم می‌کند. DPF تصمیم کفایت فعلی برای آمریکاست؛ این چارچوب زنده اما محل مناقشه است (ادعای بالا). تمیزترین پاسخ معماری، و همان چیزی که Statnive Live عرضه می‌کند، این است که کل پردازش را درون منطقهٔ اقتصادی اروپا (EEA) نگه دارید؛ کاری که فصل پنجم را به‌کلی از دامنهٔ موضوع خارج می‌کند. برای دیدن متن مواد، به gdpr-info.eu/chapter-5/ سر بزنید.

شش مبنا وجود دارد؛ برای آنالیتیکس، تنها رضایت (الف)، قرارداد (ب) و منافع مشروع (و) واقع‌بینانه‌اند. مبنای (و) به یک «ارزیابی منافع مشروع» مستند نیاز دارد؛ راهنمای نسخهٔ 1.2 نوامبر 2024 DSK یک استثنای محدودِ منافع مشروع را برای آنالیتیکس کاربردی شخص اول طبق مادهٔ 6(1)(و) به رسمیت می‌شناسد، اما تنها در صورتی که شرط دسترسی به تجهیزات کاربرِ مادهٔ 25 TDDDG به‌طور مستقل برآورده شود (یعنی استثنای «کاملاً ضروری» برقرار باشد، یا برای ذخیره‌سازی و دسترسی، رضایت جداگانه داشته باشید).

سه لایه اینجا روی هم می‌نشینند. مادهٔ 5(3) دستورالعمل ePrivacy هر چیزی را که از تجهیزات کاربر بخواند یا روی آن بنویسد تنظیم می‌کند، و دستورالعمل 2/2023 نسخهٔ 2.0 EDPB (مصوب 7 اکتبر 2024) این دامنه را به‌صراحت فراتر از کوکی برد و ردیابی از طریق نشانی و پیکسل، ردیابی صرفاً مبتنی بر IP و خواندن شناسهٔ یکتا را نیز شامل کرد. آلمان این را به‌شکل مادهٔ 25 TDDDG پیاده می‌کند. سپس مادهٔ 7 GDPR خودِ رضایت را تنظیم می‌کند؛ رضایت باید آزادانه داده شود، مشخص، آگاهانه و بدون ابهام باشد، مستندِ قابل اثبات داشته باشد و قابل پس گرفتن باشد.

راه تمیز خروج این است که عاملِ ذخیره‌سازی و دسترسی را از طراحی سامانه حذف کنید. نه کوکی، نه localStorage، نه آزمون اثر انگشت؛ و آن‌گاه مادهٔ 5(3) اصلاً فعال نمی‌شود.

"Kept in a form which permits identification of data subjects for no longer than is necessary." رأی CJEU در پروندهٔ Schrems v Meta (C-446/21، 4 اکتبر 2024) این را تقویت کرد؛ نگه‌داری بی‌پایان پروفایل‌های رفتاری «بدون محدودیت زمانی و بدون تمایز در نوع داده» نقض نامتناسب مادهٔ 5(1)(ج) است.

برای آنالیتیکس، این یعنی: یک بازهٔ نگه‌داری تعیین کنید، دلیل ضرورتش را مستند کنید، و واقعاً سرِ وقت حذف کنید.

بنرها چه هزینه‌ای در سنجش از دست‌رفته دارند

مطالعهٔ بنر کوکی Plausible — که فاصلهٔ میان ترافیک پیش و پس از افزودن بنر را سنجید — نشان داد بنرهای رضایت حدود 55.6% از بازدیدکنندگان را در آنالیتیکس از دست می‌دهند. دقیق‌تر بگوییم: بازدیدکنندگان همچنان به سایت می‌آیند، اما بنر را رد یا بسته می‌کنند و دیگر در ابزار آنالیتیکس شمرده نمی‌شوند. شما 55.6% از درآمدتان را از دست نمی‌دهید؛ بلکه 55.6% از دیدتان نسبت به ترافیک خودتان را از دست می‌دهید.

این، استدلال عملی برای آن است که بنر را از آنالیتیکس کنار بگذارید؛ نه به‌عنوان فرار از مقررات، بلکه چون یک سامانهٔ آنالیتیکس که پشت بنر گیر افتاده، هر سال که خستگی از بنرها بیشتر می‌شود، کمتر و کمتر دربارهٔ سایت شما به شما می‌گوید.

«منطبق بودن از طریق معماری» واقعاً چه شکلی است

Statnive Live بر اساس همان رویهٔ قضایی بالا طراحی شده است. این یعنی دقیقاً چه چیزی، در عمل:

بدون کوکی، از پایه. نه کوکی، نه localStorage، نه sessionStorage؛ در DevTools → Application راستی‌آزمایی کنید؛ سهمیهٔ ذخیره‌سازی صفر می‌ماند. مادهٔ 5(3) ePrivacy فعال نمی‌شود، چون هیچ ذخیره‌سازی یا دسترسی روی تجهیزات کاربر رخ نمی‌دهد. همچنین خبری از آزمون canvas، WebGL، شمارش فونت یا navigator.plugins هم نیست؛ قاعدهٔ gdpr-code-review در CI، این‌ها را در ردیاب ممنوع می‌کند.

نمک‌های روزانهٔ چرخشی BLAKE3-HMAC. درهمینه‌های بازدیدکننده به‌شکل HMAC(master_secret, site_id || YYYY-MM-DD) ساخته می‌شوند. نمک درون پردازش محاسبه می‌شود و هیچ‌گاه ذخیره نمی‌شود. یک بازدیدکنندهٔ واحد در دوشنبه و سه‌شنبه دو درهمینهٔ متفاوت می‌گیرد؛ بنابراین شناسایی دوبارهٔ او بین دو روز، از اساس ناممکن است. طبق دستورالعمل 01/2025 EDPB، این درهمینه‌ها همچنان دادهٔ شخصی‌اند (و ما با آن‌ها همین‌طور رفتار می‌کنیم)، اما چرخش روزانه آن‌ها را به سرِ کم‌خطرِ طیف می‌برد.

IP خام پیش از ذخیره دور انداخته می‌شود. IP فقط برای جست‌وجوی موقعیت جغرافیایی (GeoIP) وارد خط لوله می‌شود و سپس، پیش از آن‌که نویسندهٔ دسته‌ای ردیف را ببیند، دور انداخته می‌شود. یک آزمون یکپارچگی در internal/enrich/geoip.go این را تضمین می‌کند؛ و DPA مشتری همین را کلمه‌به‌کلمه مستند می‌کند.

DNT و Sec-GPC پیش از درهم‌سازی، مدار را قطع می‌کنند. وقتی Sec-GPC: 1 یا DNT: 1 تنظیم شده باشد، درخواست پیش از محاسبهٔ شناسهٔ بازدیدکننده کنار گذاشته می‌شود. برای بازدیدکننده‌ای که اجازه نمی‌دهد، هیچ شناسهٔ نام‌مستعاری ساخته نمی‌شود؛ پس چیزی برای حذف کردن نیست، چون اصلاً چیزی ساخته نشده است.

مسیر داده فقط در اروپا، با ردیاب شخص اول. سرویس SaaS موجود در Statnive Live داده‌ها را در نورنبرگ آلمان، روی یک سرور مجازی Netcup VPS 2000 G12 NUE پردازش می‌کند؛ نه انتقال طبق فصل پنجم، نه پرسش کفایت کشور ثالث. اسکریپت جاوااسکریپت ردیاب از همان مبدأ نورنبرگ و از طریق go:embed زبان Go ارائه می‌شود: نه CDN شخص ثالث، نه مدیر تگ شخص ثالث، و نه رشتهٔ TC؛ بنابراین الگوی «رشتهٔ TC + IP = دادهٔ شخصی» در پروندهٔ IAB Europe از اساس بی‌اثر می‌شود.

هیچ‌کدام از این‌ها Statnive Live را «معاف از GDPR» نمی‌کند. بلکه Statnive Live را به سامانه‌ای تبدیل می‌کند که در آن بیشتر کارِ انطباق از پیش انجام شده است؛ اعلامیهٔ حریم خصوصی‌تان کوتاه‌تر، DPIA شما ساده‌تر، و موارد بالا بیشترِ خطرناک‌ترین عامل‌های اجرایی را از میان برمی‌دارند.

خودمیزبان در برابر SaaS خصوصی اروپایی — زاویهٔ قراردادی

همان فایل اجرایی Statnive Live در دو شکل کار می‌کند، با دو موضع کاملاً متفاوت در نقش کنترل‌کننده و پردازشگر.

Statnive Live خودمیزبان: خودتان فایل اجرایی را روی سرور خودتان اجرا می‌کنید. ما دادهٔ بازدیدکنندگان شما را نمی‌بینیم، ذخیره نمی‌کنیم و منتقل نمی‌کنیم. شما کنترل‌کننده هستید و هیچ DPA میان Statnive و شما برای امضا وجود ندارد؛ چیزی نیست که ما پردازشگر آن باشیم. یک آزمون یکپارچگی تأیید می‌کند که فایل اجرایی زیر iptables -P OUTPUT DROP (یعنی صفر خروجی لازم) اجرا می‌شود؛ پس ادعای «بدون ترافیک خروجی» قابل بازتولید است.

Statnive Live به‌شکل SaaS: ردیاب خود را به نقطه پایانی مدیریت‌شدهٔ ما در نورنبرگ وصل می‌کنید. شما کنترل‌کننده هستید و ما پردازشگر. یک DPA طبق مادهٔ 28(3) GDPR هنگام ثبت‌نام امضا می‌شود، روی هر پلن از جمله پلن رایگان. پیش‌نویس فعلی DPA هر هشت بند فرعی مادهٔ 28(3) را پوشش می‌دهد: فقط بر اساس دستور (الف)، رازداری (ب)، امنیت طبق مادهٔ 32 (ج)، مجوز پردازشگر فرعی (د)، کمک برای حقوق صاحب داده (ه)، کمک به تعهدات کنترل‌کننده برای مواد 32 تا 36 (و)، حذف یا بازگرداندن داده هنگام پایان قرارداد (ز)، و حق ممیزی (ح).

این همان بده‌بستان کلیدی است که مقایسهٔ افزونهٔ وردپرس در برابر Statnive Live با جزئیات بیشتری آن را مرور می‌کند. اگر وضعیت انطباق شما به یک توافقنامهٔ پردازشگر امضاشده نیاز دارد — صنعت تحت مقررات، پرسش‌نامه‌های مشتری برای ISO 27001، تدارکات بزرگ — مسیر SaaS این را به شما می‌دهد. اما اگر وضعیت شما می‌گوید «هیچ شخص ثالثی نباید به داده دست بزند، تمام»، مسیر خودمیزبان این را به شما می‌دهد.

آنچه با `statnive.live` می‌آید

وقتی سرویس SaaS موجود در Statnive Live در سال 2026 راه‌اندازی شود، خط پایهٔ قراردادی از همان ابتدا همراهش می‌آید:

DPA طبق مادهٔ 28(3) روی هر پلن، از جمله پلن رایگان، با تاریخ امضای 2026-04-24.
به‌روزرسانی فهرست پردازشگرهای فرعی ظرف 7 روز پس از هر تغییر بالادستی، با اعلام 14 روز پیش از آن‌که یک پردازشگر فرعیِ جدید به‌کار بیفتد؛ تا بتوانید پیش از وقوع تغییر اعتراض کنید (طبق بند 5.4 از DPA).
سطح خدمت اعلام نقض: 48 ساعت از زمان آگاهی، هماهنگ با مادهٔ 33 GDPR.
بازهٔ 30 روزه برای خروجی‌گیری مشتری هنگام پایان قرارداد، و سپس حذف کامل جدول‌های خام، جدول‌های تجمیعی، نسخه‌های پشتیبان (در چرخهٔ پشتیبان بعدی ≤ 24 ساعت) و گزارش‌های ممیزی؛ مگر آن‌جا که قانون اتحادیه یا یک کشور عضو، نگه‌داری را لازم بداند.
بدون انتقال طبق فصل پنجم. کل پردازش دادهٔ شخصی اروپایی در نورنبرگ آلمان.

این DPA، دفترِ ثبت پردازشگرهای فرعی و اعلامیهٔ حریم خصوصی، هنگام عمومی‌شدن SaaS روی https://statnive.live/dpa (و نشانی‌های هم‌ارز) منتشر می‌شوند. تا آن زمان، متن پیش‌نویس در مخزن statnive-live زیر docs/dpa-draft.md قرار دارد، تحت کنترل نسخه و قابل بازبینی.

پرسش‌های رایج

آیا هنوز به بنر کوکی نیاز دارم؟

این به پاسخ دو پرسش بستگی دارد: (الف) آیا سامانهٔ شما از تجهیزات کاربر می‌خواند یا روی آن می‌نویسد (ePrivacy مادهٔ 5(3) / مادهٔ 25 TDDDG)؟ و (ب) مبنای قانونی شما طبق مادهٔ 6 GDPR چیست؟

یک سامانهٔ آنالیتیکس کاربردی شخص اولِ بدون کوکی که هیچ ذخیره‌سازی یا دسترسی روی دستگاه کاربر انجام نمی‌دهد — مانند Statnive Live — می‌تواند طبق استثنای نسخهٔ 1.2 نوامبر 2024 DSK اغلب بر مبنای منافع مشروع مادهٔ 6(1)(و) و بدون بنر پیش برود. اما این تحلیل به حوزهٔ قضایی بستگی دارد، و یک متصدی محتاط در حریم خصوصی ممکن است باز هم یک اعلامیهٔ حریم خصوصی نمایش دهد؛ فقط نه یک دروازهٔ رضایت. ما افسر حفاظت دادهٔ (DPO) شما نیستیم؛ پیش از تغییر بنرتان با یک نفر مشورت کنید.

بستگی به مورد دارد. باید یک «ارزیابی منافع مشروع» انجام دهید — هدف، ضرورت، و آزمون توازن در برابر حقوق و انتظارات معقول صاحب داده — و آن را مستند کنید. راهنمای نسخهٔ 1.2 نوامبر 2024 DSK، این مسیر را برای آنالیتیکس کاربردیِ شخص اول و به‌اشتراک‌گذاشته‌نشده به رسمیت می‌شناسد. اما آنالیتیکس شخص ثالثی که داده را برای اهداف خودِ آن شخص ثالث با Google یا Meta به اشتراک می‌گذارد، همان مسیر نیست.

دربارهٔ دادهٔ بریتانیا و سوئیس چطور؟

بریتانیا قانون UK GDPR را به‌علاوهٔ DPA 2018 و PECR اجرا می‌کند. تصمیم کفایت کمیسیون اروپا دربارهٔ بریتانیا در میانهٔ سال 2025 تمدید شد، بنابراین انتقال داده از اتحادیه اروپا به بریتانیا در حال حاضر به بندهای قراردادی استاندارد (SCC) نیازی ندارد؛ تاریخ دقیق پایان آن را با DPO خودتان راستی‌آزمایی کنید. سوئیس قانون revFADP (لازم‌الاجرا از 1 سپتامبر 2023) را اجرا می‌کند و تصمیم کفایت دیرینه‌ای از کمیسیون دارد؛ چارچوب DPF میان سوئیس و آمریکا هم در 15 سپتامبر 2024 معتبر اعلام شد. در عمل، همان قاب «فقط نورنبرگ، فقط اروپا» در این مطلب، برای هر دو مورد همان پاسخ دفاعی است: نه انتقالی، نه پرسشی.

آیا استفاده از GA4 در اروپا الان امن است؟

نه. تصمیم‌های سال 2022 مرجع DSB اتریش، CNIL فرانسه، Garante ایتالیا و مرجع حفاظت دادهٔ دانمارک که Google Analytics را بر مبنای Schrems II ممنوع کردند، با هیچ حکمی در بازهٔ 2024 تا 2026 نقض نشده‌اند. پایش هامبورگ (60% تخلفات ردیابی پیش از رضایت) قوی‌ترین سیگنال سال 2025 است. هر اتفاقی هم که استیناف DPF در CJEU سرانجام بر سرِ تصویر حقوقی بیاورد، تصویر اجرایی در سال 2026 همچنان GA4 را پیش‌فرضی پرخطر می‌داند.

مگر IP درهم‌سازی‌شده ناشناس نیست؟

نه، و EDPB در دستورالعمل 01/2025 (16 ژانویه 2025) همین را به‌صراحت گفت. دادهٔ نام‌مستعارسازی‌شده هر زمان که شناسایی دوباره به‌طور معقول محتمل باشد، دادهٔ شخصی است. چرخش روزانهٔ نمک، شناسایی دوباره را بین روزها کاهش می‌دهد و دلیلِ انجام دادن آن هم همین است؛ اما درهمینه‌های حاصل، در طول یک روز همچنان دادهٔ شخصی‌اند و ما هم با آن‌ها همین‌طور رفتار می‌کنیم.

جمع‌بندی

در سال 2026، تحلیل وب منطبق با GDPR یک مسئلهٔ طراحی است، نه یک مسئلهٔ متن‌نویسی. هر کدام از چهار نقطهٔ داغ — انتقال‌ها، مبنای قانونی، رضایت و نگه‌داری — یک پاسخ معماری دارند که دفاع از آن قطعاً ساده‌تر از پاسخ قراردادی است. دو جریمهٔ هم‌زمان CNIL در سپتامبر 2025 راه دفاع «ما یک بنر داریم» را بست؛ دستورالعمل نام‌مستعارسازی EDPB راه دفاع «ما IP را درهم می‌سازیم» را بست؛ و پایش هامبورگ، pre-consent GA tag را به تخلف نمونه تبدیل کرد. تمیزترین سامانهٔ سال 2026 آن است که در آن خطرناک‌ترین عامل‌ها فعال نمی‌شوند، چون اصلاً در کدبیس نیستند.

Statnive Live دقیقاً برای همین است. بدون کوکی. فقط اروپا. DPA طبق مادهٔ 28(3) روی هر پلن. بدون اثر انگشت، بدون CDN شخص ثالث، و بدون نیاز به بنر، از طریق معماری. به‌زودی در statnive.com/live. تا آن زمان، افزونهٔ وردپرس روی WordPress.org رایگان در دسترس است، قطعهٔ مقایسه توضیح می‌دهد کدام محصول به کدام سایت می‌خورد، و مرور اولیهٔ حریم‌خصوصی‌محور نسخهٔ یک‌صفحه‌ای همین مطلب است.

اگر چیزی اینجا اشتباه از آب درآمد، برای من بنویسید؛ هر استناد مقرراتی یک نشانی دارد، و ما ترجیح می‌دهیم یک پاورقی را اصلاح کنیم تا این‌که یک نیمه‌حقیقتِ صیقل‌خورده را منتشر کنیم.