Google Analytics is in Nederland het meest gebruikte statistiekenprogramma voor websites. Door het Google Analytics-script toe te voegen aan je site, wordt er data verzameld over je bezoekers. Daarmee heb je waardevolle informatie in handen over de manier waarop bezoekers jouw website gebruiken.

Persoonsgegevens buiten de EU

Door data te verzamelen met Google Analytics, verwerk je persoonsgegevens met ‘analytische cookies’. Je moet daarbij voldoen aan de Telecommunicatiewet (je bezoekers informeren en om toestemming vragen) én aan de AVG. Volgens de AVG - ook wel bekend onder de Engelse afkorting GDPR- mogen persoonsgegevens alleen worden gedeeld met landen buiten de Europese Unie als organisaties kunnen waarborgen dat gegevens net zo goed beschermd worden als in de EU.

Google LLC, de onderneming achter Google Analytics, is gevestigd in de Verenigde Staten. Buiten de EU dus. En daar wringt ‘m de schoen.

Schrems, de man die alles aanzwengelde

De Oostenrijkse privacy-voorvechter Max Schrems speelt een centrale rol in dit alles. Zijn missie is om het recht op privacy – vastgelegd in de rechten van de mens- te beschermen. In juli 2020 behaalde hij succes met de historische Schrems II-uitspraak: de hoogste Europese rechter concludeerde dat de bescherming van persoonsgegevens in de VS ernstig tekortschiet. Dat komt vooral doordat opsporingsdiensten veel ruimere toegang tot persoonsgegevens hebben dan dat in Europa is toegestaan onder de AVG. Het Hof verklaarde het ‘Privacy Shield’ ongeldig. Dat zijn afspraken tussen de EU en de VS op basis waarvan bedrijven persoonsgegevens vanuit de EU mochten doorgeven aan de VS.

Klachten

Vanuit zijn organisatie NYOB heeft Max Schrems vervolgens bij privacytoezichthouders in heel Europa klachten ingediend over Google Analytics en diverse andere programma’s zoals Google Font (zie verderop). En hier en daar dus al met succes. Zo trok de Oostenrijkse privacytoezichthouder de conclusie dat Google Analytics persoonlijke data zoals user identifiers, IP-adressen en browserparameters naar de Verenigde Staten verstuurt. In strijd met de AVG dus.  

De situatie in Nederland

Ook de Nederlandse Autoriteit Persoonsgegevens heeft klachten ontvangen over het gebruik van Google Analytics. Een onderzoek loopt en wordt begin dit jaar afgerond. In aanloop naar de uitslag deelt de privacytoezichthouder al wel een waarschuwing: Let op, gebruik Google Analytics mogelijk binnenkort niet toegestaan.

Wat vindt Google zelf? 

Google heeft gereageerd op alle commotie en geeft aan dat Google Analytics niet wordt gebruikt om mensen of profielen op internet te volgen. Het bedrijf wijst onder meer op mogelijkheden om IP-adressen te anonimiseren en tools waarmee klanten persoonlijke informatie kunnen verwijderen die via Analytics op de servers van Google terecht is gekomen.

Ons advies

Alhoewel er ook diverse partijen in Europa opstaan tegen een mogelijk verbod, is het niet onverstandig alvast wat alternatieven voor Google Analytics te verkennen. Denk bijvoorbeeld aan Pipik. En blijf ons volgen voor updates over dit onderwerp. Wij houden de ontwikkelingen voor je in de gaten.

Een CDN is een clouddienst van, in dit geval, Google waar de betreffende fonts staan. Wanneer een bezoeker van de website de fonts ophaalt bij het CDN kan Google allerhande informatie verzamelen -zoals het IP-adres- en dit combineren met andere gegevens. Naast Google Fonts zijn er nog vele andere voorbeelden te vinden van Amerikaanse bedrijven die ook gebruik maken van een CDN zoals bijvoorbeeld Adobe Fonts. Ook voor dit soort diensten geldt dus: even alert blijven op de ontwikkelingen.