Half januari 2022 maakte de Oostenrijkse privacytoezichthouder een besluit bekend dat veel marketeers raakt. Een website die Google Analytics gebruikte, overtrad volgens de toezichthouder de AVG. De reden: bezoekersgegevens gingen naar de Verenigde Staten, zonder dat die gegevens daar voldoende beschermd waren.
Dat klinkt ver weg, maar andere toezichthouders in Europa kijken mee, ook in Nederland. In dit artikel lees je wat er is besloten, wat het wel en niet voor jou betekent en welke stappen nu verstandig zijn. Je leest ook waarom meten via je eigen server een logische stap voor later is.
Wat er in Oostenrijk is besloten
De zaak begon met een klacht van de privacyorganisatie noyb. Zij vond dat een Oostenrijkse website via Google Analytics persoonsgegevens van bezoekers doorstuurde naar Google in de VS. De Oostenrijkse toezichthouder gaf de klager gelijk.
De kern van het besluit is dat de gegevens in de VS niet goed genoeg beschermd waren. Google had extra maatregelen genomen, maar die waren volgens de toezichthouder niet genoeg. Ook de IP-anonimisering loste het in deze zaak niet op.
Belangrijk om te weten: de uitspraak geldt formeel alleen voor deze zaak in Oostenrijk. Het is geen Europees verbod op Google Analytics. Wel is het een duidelijk signaal over hoe toezichthouders naar dit soort dataverkeer kijken.
Waarom het doorsturen naar de VS een probleem is
De AVG is de Europese privacywet. Die zegt dat persoonsgegevens alleen buiten de EU mogen komen als ze daar net zo goed beschermd zijn als hier. Voor de VS was daar lange tijd een afspraak voor, het Privacy Shield. In juli 2020 verklaarde het Europese Hof van Justitie die afspraak ongeldig. Reden was dat Amerikaanse overheidsdiensten onder bepaalde voorwaarden toegang kunnen eisen tot gegevens van bedrijven.
Sindsdien gebruiken veel bedrijven standaardcontractbepalingen. Dat zijn vaste contractafspraken tussen twee partijen over hoe ze met gegevens omgaan. Die zijn toegestaan, maar alleen als ze in de praktijk echt bescherming bieden. En precies dat bleek in Oostenrijk onvoldoende.
Wat zijn persoonsgegevens in dit verhaal? Meer dan je misschien denkt. Denk aan:
- het IP-adres van een bezoeker;
- unieke ID’s in cookies, waarmee je een bezoeker herkent;
- gegevens over het apparaat en de browser, zeker in combinatie met andere data.
Zodra je een bezoeker daarmee kunt herkennen of uitsluiten van andere bezoekers, kan het om een persoonsgegeven gaan.
Wat dit betekent voor jouw bedrijf in Nederland
In Nederland is Google Analytics op dit moment niet verboden. De Autoriteit Persoonsgegevens (AP) kijkt naar de Oostenrijkse uitspraak en de gevolgen ervan. Het kan dus zijn dat er later richtlijnen of besluiten komen. Welke dat zijn en wanneer, weet nu niemand.
Dat betekent niet dat je kunt achterover leunen. Jij bent als website-eigenaar zelf verantwoordelijk voor wat er met de gegevens van je bezoekers gebeurt. Ook als je een externe tool gebruikt.
Een veelvoorkomend beeld: een webshop heeft Google Analytics jaren geleden laten installeren. Er staat een cookiebanner op de site, maar niemand weet precies wat die doet. Analytics staat op de standaardinstellingen, het delen van gegevens met Google staat aan en er is geen verwerkersovereenkomst afgesloten. De eigenaar denkt: dat zal wel goed zijn. Bij een vraag van een bezoeker of een controle kan hij niet uitleggen welke gegevens waarheen gaan. Dat is het risico. Niet dat je morgen een boete krijgt, maar dat je je zaken niet op orde hebt als iemand ernaar vraagt.
Wat je nu verstandig doet
Je hoeft niet in paniek te stoppen met meten. Je kunt wel een aantal stappen zetten die je risico verkleinen en je beter voorbereiden. Loop deze lijst rustig door:
- Controleer je instellingen. Open Google Analytics en kijk wat er aan staat. Zet IP-anonimisering aan als dat nog niet zo is. Anonimiseren betekent dat het laatste deel van het IP-adres wordt weggehaald.
- Zet gegevensdeling uit. Deel geen gegevens met Google voor advertentiedoeleinden of andere eigen doelen van Google, tenzij je daar toestemming voor hebt.
- Regel de papieren kant. Sluit de verwerkersovereenkomst met Google af. Dat is een contract waarin staat hoe een partij met jouw gegevens omgaat.
- Vraag toestemming. Laat je cookiebanner toestemming vragen voor analytische cookies die niet anoniem zijn. Laat die cookies pas plaatsen nadat de bezoeker ja zegt.
- Bewaar niet langer dan nodig. Stel een korte bewaartermijn in voor gegevens. Je hebt meestal geen jarenlange details over individuele bezoekers nodig.
- Werk je privacyverklaring bij. Zeg eerlijk welke tools je gebruikt en welke gegevens je verzamelt.
Let op: toestemming via je cookiebanner is een goede stap, maar lost de vraag over doorgifte naar de VS niet in alle gevallen vanzelf op. Bespreek dit daarom met een privacyadviseur of jurist als je veel bezoekersdata verwerkt of met gevoelige gegevens werkt.
Wat je verder moet weten over je cookiebanner
Veel cookiebanners voldoen niet. Een banner met alleen een knop Accepteren is niet genoeg. Weigeren moet even makkelijk zijn als accepteren. En vooraf aangevinkte keuzes tellen niet als toestemming.
Een goede banner doet drie dingen:
- legt kort uit waarvoor je cookies gebruikt;
- laat de bezoeker per soort cookie kiezen;
- plaatst pas cookies na een duidelijke keuze.
Het nadeel is dat je minder bezoekers meet, omdat niet iedereen toestemming geeft. Dat is eerlijk gezegd het gevolg van de regels. Hoe je daar slim mee omgaat, lees je hieronder.
Denk vooruit met server-side tagging
Bij de gewone werkwijze sturen de scripts in de browser van je bezoeker gegevens rechtstreeks naar partijen als Google. Jij hebt daar weinig controle over.
Bij server-side tagging gaat het anders. De gegevens gaan eerst naar een server die jij beheert. Daar bepaal je wat je doorgeeft aan welke partij. Je kunt bijvoorbeeld het IP-adres weghalen of gegevens weglaten die je niet nodig hebt, voordat er iets naar buiten gaat.
Dat geeft je drie voordelen:
- je hebt meer controle over wat je doorstuurt;
- je kunt je privacykeuzes beter uitleggen en aantonen;
- je meting wordt vaak betrouwbaarder, omdat adblockers en browserbeperkingen minder snel roet in het eten gooien.
Het is geen toverstaf. Ook met een eigen server blijft de AVG gelden en heb je nog steeds een goede grondslag nodig, zoals toestemming. Maar het is een solide basis om op voort te bouwen.
Kijk daarnaast naar je totale meetopzet. Google Analytics 4, de nieuwere versie, slaat geen IP-adressen op. Er bestaan ook alternatieve analysetools die in Europa draaien en zijn gebouwd met privacy als uitgangspunt. Welke past, hangt af van wat je wilt weten en hoe groot je site is.
Veelgestelde vragen
Mag ik Google Analytics nog gebruiken?
In Nederland is er op dit moment geen verbod. De uitspraak uit Oostenrijk geldt formeel alleen daar. Toch loop je risico als je instellingen en afspraken niet op orde zijn. Pas je instellingen aan, vraag toestemming en houd de ontwikkelingen in de gaten.
Is IP-anonimisering genoeg om aan de AVG te voldoen?
Nee, niet in alle gevallen. Het helpt en je zet het dus beter aan. Maar in de Oostenrijkse zaak bleek het niet genoeg. Ook cookies met unieke ID’s en andere gegevens kunnen persoonsgegevens zijn.
Hoeveel werk is het om over te stappen op server-side tagging?
Dat verschilt per website. Bij een eenvoudige site met een paar tools is het overzichtelijk. Bij een webshop met veel advertentiekanalen duurt het langer. Het begint altijd met een inventarisatie van wat je meet en waarom. Daarna kun je stap voor stap overstappen.
Plan een gratis kennismaking van 30 minuten
Weet je niet zeker of jouw meting en cookiebanner op orde zijn? Of wil je weten wat server-side tagging voor jouw website kan betekenen? Plan dan een gratis kennismaking van 30 minuten met Adventio Marketing in Amersfoort. We kijken samen naar je huidige opzet, geven eerlijk advies over de volgende stappen en vertellen je wat je zelf kunt doen. Vrijblijvend en zonder verplichtingen.
