Voor degenen die onze blogs nauwlettend in de gaten houden is het duidelijk: wij houden van Google Analytics en delen graag tips en tricks, zoals in het artikel 'Werken met de juiste data in Google Analytics'. De afgelopen weken wordt er echter volop gespeculeerd: is het einde van Google Analytics in Europa in zicht? Nieuws dat veel stof doet opwaaien, maar is dit scenario reëel of gaat het hier om een storm in een glas water?
De Oostenrijkse privacy-toezichthouder DSB pakte vorige maand groot uit met de boodschap dat Google Analytics in strijd handelt met de AVG, ofwel de Europese privacywetgeving. Dit oordeel werd geveld naar aanleiding van een klacht van privacy-organisatie noyb. Google verstuurt via haar analyseprogramma namelijk persoonsgegevens, zoals IP-adressen, naar servers in de Verenigde Staten. Deze data is daar toegankelijk voor derden (meer specifiek de Amerikaanse inlichtingendienst), zonder dat gebruikers daarvoor toestemming hebben (kunnen) gegeven, en zie daar het probleem.
Dit mag niet volgens de AVG, en dus zou het gebruik van Google Analytics verboden moeten worden. In navolging op Oostenrijk is onder andere de Nederlandse Autoriteit Persoonsgegevens (AP) een onderzoek gestart naar een tweetal klachten. Zij verwachten op korte termijn een antwoord te kunnen geven op de vraag: is Google Analytics toegestaan, ja of nee?
Sinds de intrede van de AVG in 2018 is al het nodige gedaan om bij gebruik van Google Analytics te voldoen aan de regelgeving. Zo dienen onder meer IP-adressen geanonimiseerd te worden. Google spreekt in dat geval echter van geanonimiseerde gegevens, waar de toezichthouders spreken van persoonsgegevens: met de resterende gegevens zou het namelijk nog steeds mogelijk zijn een uniek profiel te genereren dat is te herleiden naar een echt persoon.
Google verweert zich ondertussen door te stellen dat zij vanuit hun kant zoveel mogelijk effort steken in het helpen van hun gebruikers om te voldoen aan de geldende regelgeving. Tegelijkertijd wordt de oorzaak min of meer bij deze gebruikers neergelegd: die bepalen volgens Google namelijk welke data met gebruik van hun tool wordt verzameld.
Data is voor ons als digital agency extreem belangrijk en wij houden ons vanzelfsprekend aan de geldende privacyregels bij het opzetten of (her)inrichten van Google Analytics-accounts van onze klanten. Hierbij stellen we nauwkeurig in welke gegevens worden verzameld, en worden bijvoorbeeld standaard de IP-adressen van gebruikers geanonimiseerd.
Stel het komt tot een verbod, zijn er dan alternatieven? Zeker weten, deze zijn er voldoende. Zo is Mixpanel bijvoorbeeld US-based, maar maakt voor gebruikers in de EU gebruik van een datacenter in Nederland. Ook bij alternatieven als Matomo of Piwik staat privacy en gegevensbescherming centraal. Mocht je helemaal niet meer van derden afhankelijk willen zijn dan zijn dergelijke partijen het overwegen waard. Je bent hierbij zelf verantwoordelijk voor de hosting en het onderhoud, maar daar tegenover staat dat je wel alles in eigen hand hebt.
Wanneer je Google Analytics-gebruiker bent is het vanuit privacy-oogpunt uiteraard van belang dat je jouw account op dit moment al zo optimaal mogelijk hebt ingericht. Verder is het is erg onwaarschijnlijk dat Google de Europese markt zonder slag of stoot opgeeft, en bovendien is dit zeker niet de eerste keer dat een Amerikaanse techreus in opspraak komt. Google stelt zich in deze zaak afwachtend op en het ligt, gezien de grote belangen, in de lijn der verwachtingen dat zij zich zullen aanpassen aan de Europese wetgeving. Of dit gepaard gaat met bijvoorbeeld een aanpassingstermijn is nu nog niet bekend.
Ondanks de onduidelijkheid rondom deze hele situatie is paniek een slechte raadgever. Wij houden de ontwikkelingen de komende periode natuurlijk nauwlettend in de gaten. Mochten wij aanleiding zien om tot actie over te gaan dan horen onze klanten dit uiteraard als eerste.
Update 14 februari 2022: cookiepop-ups nu ook in strijd met AVG
In navolging op Google Analytics, is begin deze maand naar buiten gekomen dat ook de cookiepop-ups waar bijna iedere website gebruik van maakt, in strijd zijn met de AVG. Dit heeft de Belgische Gegevensbeschermingsautoriteit (GBA) begin deze maand bepaald. Sinds 2019 zijn hierover bij de GBA meerdere klachten binnengekomen. Opgeslagen voorkeuren in de cookiepop-up kunnen gecombineerd met cookies worden gekoppeld aan een IP-adres, waardoor gebruikers zijn te identificeren. IAB Europe, de branchevereniging voor de advertentie-industrie, is hierbij als verantwoordelijke aangewezen en heeft inmiddels een boete van € 250.000,- ontvangen. Dit laatste is niet zo vreemd: IAB Europe is namelijk de partij die het framework van de cookiepop-up heeft ontwikkeld. Hoewel de vereniging zich niet herkent in het oordeel (zij zijn naar eigen zeggen geen verwerkingsverantwoordelijke), hebben zij nu twee maanden de tijd gekregen voor een actieplan met corrigerende maatregelen.
Wordt ongetwijfeld vervolgd: we houden je op de hoogte!
Heb jij hulp nodig bij de juiste configuratie van Google Analytics? Neem dan vrijblijvend contact met ons op: we helpen je graag met jouw data-uitdagingen!
