Google Analytics en de AVG.

Mag je Google Analytics nog wel gebruiken?

Het zal je vast niet ontgaan zijn dat het gebruik van Google Analytics onder vuur ligt. Eind januari 2022 kwam het nieuws naar buiten dat deze tool, waarmee gegevens van websitebezoekers verzameld en geanalyseerd kunnen worden, niet zou voldoen aan de AVG-wetgeving en het gebruik hiervan dus in feite illegaal is. In deze blog leggen we je uit wat er speelt en wat dit voor jou als gebruiker betekent.

Wat is er aan de hand?

Het begon allemaal in 2018, toen de Algemene Verordening Gegevensbescherming (AVG) in werking trad en in geheel Europa dezelfde privacywetgeving ging gelden. Eén van de maatregelen in deze privacywet stelt dat een organisatie niet zomaar persoonsgegevens mag doorgeven aan personen of andere organisaties. Ondertussen geldt er in de Verenigde Staten een wet die aangeeft dat Amerikaanse inlichtingendiensten te allen tijde toegang mogen krijgen tot persoonsgegevens van niet-Amerikanen waarvan de data is opgeslagen in de VS. En dat is waar het begint te wringen.

Google reageerde hierop met een standaard contractuele clausule die al eerder werd goedgekeurd door de Europese Unie, maar de Oostenrijkse privacywaakhond nam hier geen genoegen mee en stelde een onderzoek in waaruit bleek dat het delen van identificatiegegevens (waaronder IP-adressen) inderdaad in strijd is met de AVG. IP-adressen zijn namelijk terug te leiden naar gebruikers en zo wordt hun privacy niet beschermd. 

Hoe nu verder?

Vooralsnog heeft de Nederlandse Autoriteit Persoonsgegevens in haar handleiding alleen een waarschuwing opgenomen dat het gebruik van Google Analytics mogelijk binnenkort niet meer is toegestaan. Tegelijkertijd doet de Autoriteit Persoonsgegevens (AP) onderzoek naar twee klachten over het gebruik van Google Analytics op Hollandse bodem. Naar verwachting wordt dit onderzoek begin 2022 afgerond en kan definitief worden geconcludeerd of het gebruik van Google Analytics wel of niet is toegestaan. 

Maak je Google Analytics zo AVG-compliant mogelijk

Zolang er nog geen definitieve uitspraak is gedaan, is het volgens DDMA – Nederlands grootste branchevereniging voor datagedreven marketing, sales en service – nog niet direct nodig om te stoppen met Google Analytics. Wel tippen zij de volgende punten om het gebruik van Google Analytics zo AVG-compliant mogelijk te maken.  

1. Zet de IP anonimiseringsfunctie in Google Analytics aan, zodat niet meer het volledige IP-adres wordt verwerkt. Hoewel je hiermee een gebruiker eigenlijk pseudonimiseert en niet volledig anonimiseert, vormt dit toch een privacybeschermende regel. Meer kun je als verantwoordelijke op dit gebied eigenlijk niet doen momenteel.
2. Google Analytics maakt het mogelijk om aanvullende data – zoals dimensies en events – te verwerken. Hiermee vergroot je het risico op het verzamelen van data. Vaker dan je denkt worden hiermee namelijk (onbewust) persoonsgegevens van een klant verzameld. Denk bijvoorbeeld aan klantspecifieke informatie in de URL. Probeer dit dus zoveel mogelijk te beperken.
3. In Google Analytics zijn verschillende instellingen om gegevens te delen beschikbaar. Hoewel een aantal van deze functionaliteiten zeker handig kunnen zijn om inzicht te krijgen in online gedrag etc., is het delen van deze informatie in strijd met de AVG. Schakel deze optie dus uit.
4. Google Analytics biedt de optie om advertentiefuncties dynamisch aan- of uit te zetten. Zo kan deze functie bijvoorbeeld dynamisch worden uitgezet als gebruikers aangeven dat ze niet willen dat hun gegevens worden gebruikt om advertenties te personaliseren. Het is aan te raden om deze functie aan te zetten.
5. Accepteer in je account de laatste verwerkersovereenkomst met Google. Hierin wordt Google Ireland Ltd. als verwerker aangemerkt en Google Inc. als sub-verwerker.
6. Wacht verdere ontwikkelingen af.  Mocht er uit het onderzoek van de Nederlandse Autoriteit Persoonsgegevens blijken dat het gebruik van Google Analytics niet in overeenstemming is met de AVG, dan is het niet onwaarschijnlijk dat er een aangepaste versie van Google Analytics gaat verschijnen die wél in lijn is met de AVG.

Zet de stap naar Google Analytics 4

Ondertussen heeft Google de nieuwste versie van Google Analytics, Google Analytics 4 (GA4), geïntroduceerd. Eén van de grootste verschillen tussen de huidige Universal Analytics en de nieuwe GA4 is dat GA4 geen IP-adressen meer opslaat. Google zegt hierover dat het in het huidige dataprivacy landschap, waar gebruikers meer privacybescherming en controle over hun data verwachten nodig is om deze stap te zetten. Deze nieuwe versie zal dus meer in lijn zijn met de AVG.

Bovendien heeft Google op 16 maart 2022 aangekondigd dat de huidige Universal Analytics per 1 juli 2023 geen hits meer op gaat nemen en hiermee dus buiten werking treedt. Des te meer reden om zo snel mogelijk de overstap naar GA4 te gaan maken, zodat je alvast een mooie hoeveelheid data hebt verzameld als UA straks komt te vervallen.

Wil je meer weten over GA4 lees dan deze blog!