Mogelijk heb je het al voorbij zien komen, nieuwskoppen als “gebruik van Google Analytics wordt verboden” of soortgelijken. In de laatste paar weken is er veel rumoer geweest omtrent Google Analytics. In dit artikel lichten we graag verder toe wat er nou allemaal speelt, wat de verwachte implicaties hiervan zullen zijn en nog belangrijker wat er allemaal wel en niet waar is van de vele verhalen die je kunt vinden.
Het begin: Oostenrijkse Autoriteit Persoonsgegevens maakt bezwaar
Allereerst, waar ligt het begin van alle ophef? Op 13 Januari kwam de Oostenrijkse privacy toezichthouder met een oordeel dat het gebruik van Google Analytics in strijd is met de Europese privacywetgeving genaamd de Algemene Verordening Gegevensbescherming (AVG). Vanwaar dit oordeel? Dit oordeel bouwt voort op de Schrems-II uitspraak van het Hof van Justitie van de Europese Unie uit 2022. Eén van de breekpunten destijds was dat het niet is toegestaan om zo maar gegevens vanuit Europa door te geven naar organisaties in de Verenigde Staten, dit omdat de overheid daar vrij eenvoudig toegang kan verkrijgen tot alle persoonsgegevens van bedrijven die daar gevestigd zijn.
En laat onze internetgigant Google nou net daar gevestigd zijn. Dit zou dus inhouden dat de Amerikaanse overheid veel gegevens zou kunnen verkrijgen door deze simpelweg bij Google toegang te vereisen. Enige manier waarop het verbod van deze data doorgifte kan worden omzeild is wanneer de datastroom voldoende beveiligd wordt om de toegang vanuit de Amerikaanse overheid te beperken.
Vergelijkbare situatie: Mailchimp
Voor de privacy-experts onder ons zal deze situatie waarschijnlijk wel wat bekend voorkomen, het lijkt namelijk vrij veel op een eerdere situatie met een andere marketingtool. Over Mailchimp werd namelijk eerder in 2021 bekend dat ook het gebruik van deze software niet in lijn was met wat de AVG voorschrijft. Dit gezien het feit dat ook Mailchimp haar data louter opslaat buiten de Europese Unie en de Amerikaanse overheid ook hier vergaande toegang verleent kan worden. Mailchimp meldt zelf op hun website dat zij hier wel maatregelen voor hebben getroffen, zoals encryptie van data, toegangscontroles en contracten waarin zij benadrukken geen gebruikersdata te verkopen, verhuren en ruilen.
Het verdict: hoe verder met Google Analytics?
De brandende vraag die natuurlijk blijft hangen; hoe verder met Google Analytics? Eigenlijk is hier voor de gemiddelde Nederlandse website eigenaar op het moment van schrijven nog geen duidelijkheid over. Gekeken naar de klacht die er ligt is deze volledig gegrond en is het zelfs wanneer je alle privacy maatregelen zoals IP anonimisering inricht handel je nog steeds niet volledig in lijn met de Europese privacywetgeving. De door Google verwerkte data worden nog steeds beschouwd als persoonsgegevens en de Amerikaanse overheid kan hier dus toegang tot verkrijgen zonder expliciete toestemming van jouw bezoeker.
Wordt het gebruik van Google Analytics dan echt helemaal verboden? De tijd zal het leren. De Autoriteit Persoonsgegevens onderzoekt momenteel namelijk twee klachten over het gebruik van Google Analytics, en de uitspraak wordt begin 2022 verwacht. Stel dat deze uitspraak negatief uitvalt voor Google dan betekent dit echter niet direct het einde van Google Analytics. Echter betekent het wel het einde van Google Analytics in haar huidige vorm, Google zal namelijk aanpassingen moeten doorvoeren om de softwaretool toch in lijn met de AVG wetgeving te blijven. Gezien de omvang van Google zullen zij dit natuurlijk waar mogelijk wel doorvoeren.
De gevolgen: alternatieve tools, morele kwestie en onderzoeken
Tenslotte, wat kan jij nou als webshop of website eigenaar met deze informatie? Waar moet je nu mee bezig gaan om je nog beter te wapenen in een steeds privacy gevoeligere samenleving? Eén van de eerste punten om mee bezig te gaan is het onderzoeken van de datastromen die jouw webshop of website faciliteert. Zitten hier datastromen bij die niet binnen de Europese Economische Ruimte blijven? Dan is het raadzaam om erover na te denken of de tool die hiervoor zorgt te vervangen is. Natuurlijk is dit niet altijd mogelijk, maar in een ideaal scenario zou je dit wel willen zodat je soortgelijke situaties als met Google Analytics kan voorkomen indien dit soort problemen ook in de toekomst bij een andere tool ook gaan voor komen.
Ook moet je jezelf kritisch af gaan vragen of het nog moreel verantwoord is om deze tool dan te gaan blijven gebruiken. Opereer je in een branche waarin jouw bezoekers veel om privacy geven? Dan zullen deze bezoekers als eerste bij jou aankloppen dat ze niet blij zijn dat hun persoonsgegevens door de overheid in de Verenigde Staten vrij opvraagbaar is. Een interessant alternatief voor Google Analytics kan bijvoorbeeld Matomo zijn. Deze web analytics tool is self-hosted en open source. Hierdoor kan je jouw data opslaan op een eigen server en blijf je dus 100% in het bezit van de data. Nadeel van deze en vergelijkbare tools? Minder opties dan je bij Google Analytics gewend bent en in sommige gevallen niet gratis.
Conclusie: Google Analytics is niet privacyvriendelijk
Uit de uitspraak kunnen we allereerst halen dat Google Analytics geen privacyvriendelijke tool is, en het dus ook nooit geweest is. Voor de meesten als het goed is geen schokkende verrassing. Wat echter wel verrassend is, is dat wanneer je het nog privacyvriendelijk probeert in te stellen dat dit nauwelijks verschil uitmaakt. De Amerikaans overheid heeft de gegevens die jij naar Google staat immers alsnog eenvoudig voor handen. Met name dit laatste kan voor een webshop eigenaar een reden zijn om alternatieven te overwegen. De toekomst zal uitwijzen hoe Google hierop gaat reageren, en of zij bijvoorbeeld met Google Analytics 4 een werkelijke AVG-proof tool gaan ondersteunen, of dat deze ook niet privacyvriendelijk genoeg wordt.
