Over een mogelijk verbod op Google Analytics en de alternatieven
Komt er een verbod op Google Analytics in Nederland? Die vraag doet ondertussen al ruim anderhalf jaar de ronde. De Autoriteit Persoonsgegevens is in 2022 een onderzoek gestart naar de website-tool. Zij waarschuwde daartoe zelf al dat het gebruik van Google Analytics mogelijk verboden wordt.[1] De uitkomst van dit onderzoek stond gepland voor eind 2022, maar is nog steeds niet bekend. Google Analytics is goed voor een marktaandeel van 85,2% in Nederland. En dus is het voor heel veel websitebeheerders relevant wat de uitkomsten van het onderzoek van de AP zijn.
Wat doet Google Analytics precies?
Google Analytics geeft websitebeheerders inzicht in het gebruik van diens website, zoals bezoekersaantallen en de duur van het bezoek. Google Analytics plaatst hiertoe onder andere analytische cookies op de website. In beginsel is voor gebruik van analytische cookies geen toestemming vereist. Dit omdat gebruik van analytische cookies voor eigen statistische doeleinden onder het gerechtvaardigd belang van de AVG valt (artikel 6 lid 1 sub f AVG). Echter, de cookies van Google Analytics gaan verder dan dat, en zijn daarom (mogelijk) deels tracking cookies. Dat betekent dat hiervoor op de website toestemming van de gebruiker moet worden gevraagd.
Waarom wordt Google Analytics waarschijnlijk verboden?
Het heeft er alle schijn van dat de Autoriteit Persoonsgegevens Google Analytics in zijn huidige vorm gaat verbieden. In andere Europese landen hebben de privacywaakhonden al wel een rapport gepubliceerd, welke allen strekken tot het verbieden van de dienst [1]. Het verbod heeft twee hoofdredenen: IP-adressen en de VS.
Het verzamelen van persoonsgegevens via IP-adressen
Ten eerste worden met gebruik van Google Analytics IP-adressen verzameld en verwerkt. De vraag of ieder IP-adres een persoonsgegeven is, laat onze eigen privacywaakhond tot nu toe onbeantwoord. Maar aangezien een persoonsgegeven ieder gegeven is dat direct of indirect herleidbaar is naar een natuurlijke persoon, valt een IP-adres hier naar mijn mening ook onder. De privacywaakhonden van andere Europese landen delen deze mening. Dat betekent dat Google niet zomaar IP-adressen mag verzamelen en verwerken zonder toestemming, zoals zij nu met Analytics wel doet.
VS: locatie van de verwerkte persoonsgegevens
De tweede reden voor het verbieden van Google Analytics is de locatie van de verwerkte gegevens. De persoonsgegevens worden door Google namelijk nog altijd in de Verenigde Staten opgeslagen. Uit het Schrems II-arrest blijkt dat persoonsgegevens nog altijd niet zonder waarborgen naar de VS mogen worden gestuurd. Daarmee is ook dit een mogelijke grond voor de Autoriteit Persoonsgegevens om Google Analytics een halt toe te roepen.
Verbod op Google Analytics
Het is belangrijk om als websitehouder voorbereid te zijn op een eventueel aankomend verbod op Google Analytics. Gebruik van Google Analytics na het verbieden van de Autoriteit Persoonsgegevens kan leiden tot een torenhoge boete. Het is daarom zaak om uw website hierop aan te passen. Daarvoor zijn twee belangrijke alternatieven te bedenken: een andere analytics-tool gebruiken of Google Analytics privacyvriendelijk instellen.
Alternatieven Google Analytics
Er zijn voldoende alternatieven voor Google Analytics die even gebruiksvriendelijk zijn, maar wel voldoen aan alle regelgeving. Het verschil is in veel gevallen dat de alternatieven betaald zijn, waar Google Analytics gratis is. Ook hier gaat evenwel het gezegde op: als een product gratis is, ben je zelf het product. Google verzamelt een enorme hoop (persoons)gegevens van je website, en mag deze op grond van haar algemene voorwaarden vervolgens ook zelf gebruiken. De alternatieven doen dit niet, en verdienen dus ook niet aan je websitegegevens. Ze zijn daarom betaald.
Google Analytics privacyvriendelijk instellen
Het tweede alternatief is het op een privacyvriendelijke manier instellen van Google Analytics [2]. Deze manier is op dit moment goedgekeurd door de Autoriteit Persoonsgegevens. Het betreft het aanpassen van de instellingen van Google Analytics op een wijze waarop deze voldoet aan de AVG. Kanttekening hierbij is wel dat het opslaan van gegevens in de VS door de toezichthouder nog niet is meegenomen. Het zou dus heel goed kunnen dat ook de privacyvriendelijke manier straks verboden wordt door de Autoriteit Persoonsgegevens.
Maak uw website toekomstbestendig
Om je website toekomstbestendig te maken is het altijd van belang om de huidige en toekomstige regelgeving mee te nemen. REIN helpt je hierbij. Neem voor al je vragen en advies omtrent privacy, websites en e-commerce contact op met Esmee Piening.
[1] Oostenrijk: https://www.dsb.gv.at/download-links/bekanntmachungen.html; Frankrijk: https://www.cnil.fr/en/use-google-analytics-and-data-transfers-united-states-cnil-orders-website-manageroperator-comply; Denemarken: https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2022/sep/brug-af-google-analytics-til-webstatistik en Italië: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9782874#english.
[2] Handleiding privacyvriendelijk instellen van Google Analytics, autoriteitpersoonsgegevens.nl.
Esmée Piening
Advocaat