Google Analytics verboden?

Afgelopen week, op donderdag 13 januari, heeft de Autoriteit Persoonsgegevens (AP) melding gedaan dat zij onderzoek doen naar Google Analytics. Hierbij hebben ze een opvallende titel gebruikt om dit aan te kondigen: “Let op: gebruik Google Analytics mogelijk binnenkort niet toegestaan”. Aanleiding hiervoor is een case uit Oostenrijk die onderzocht is door de Oostenrijkse privacytoezichthouder naar het gebruik van Google Analytics door een Oostenrijkse website. Gezien Google Analytics een veelvuldig gebruikte tool is in de markt zorgt dit dan ook voor veel vragen van gebruikers.

De Autoriteit Persoonsgegevens omschrijft de case als volgt

“Google Analytics blijkt volgens de Oostenrijkse toezichthouder in dit onderzochte geval niet aan de Algemene verordening gegevensbescherming (AVG) te voldoen. De AP onderzoekt op dit moment twee klachten over het gebruik van Google Analytics in Nederland. Na afronding van dat onderzoek, begin 2022, kan de AP zeggen of Google Analytics nu is toegestaan of niet” (Autoriteit Persoonsgegevens, 2021)

Concreet gaat het om het delen van persoonsgegevens van Europa naar de Verenigde Staten. Volgens de Oostenrijkse toezichthouder kan Google in dit specifieke geval dit niet garanderen (DDMA, 2021). Saillant detail is dat het in dit geval wel ging om een website die geen geanonimiseerde IP-adres gebruikte, volgens de rechter zal dit echter geen invloed hebben gehad op de uitspraak van de Oostenrijkse rechter (DSB, 2021)

De reactie van Google

Op 13 januari heeft Google direct gereageerd met een blogpost. Hierin geven ze aan dat organisaties en gebruikers zelf controle hebben over hun dataverzameling in Google Analytics. Volgens Google verzamelt Google Analytics geen persoonlijke informatie over het internet en kan de Google Analytics gebruiker zelf de IP-anonimisatie inschakelen.

Verder geeft Google aan dat het data eerst op lokale (EU) servers opslaat waar de IP-adressen geanonimiseerd worden, nog voordat het de data verplaatst gaat worden naar de Verenigde Staten. Hiermee gaat Google in op het onderzoek dat loopt vanuit de Autoriteit Persoonsgegevens:

“Google Analytics operates data centers globally, including in the United States, to maximize service speed and reliability. Before data is transferred to any servers in the United States, it is collected in local servers, where users’ IP addresses are anonymized (when the feature is enabled by customers).”

En wat nu?

Het onderzoek is nog in volle gang en dit betekent dat we de uitkomst van het onderzoek eerst moeten afwachten. Of het ook daadwerkelijk tot een verbod komt van Google Analytics, een geldboete of aanvullende maatregelen is nog niet bekend. In het geval dat het onderzoek van de Autoriteit Persoonsgegevens leidt tot sancties of wijzigingen, dan kan het ook mogelijk gevolgen hebben voor andere tools.

Wat kun je zelf doen?

• Wacht de onderzoeken van de Autoriteit Persoonsgegevens af.
• Wij adviseren om je Google Analytics instellingen te controleren om te zorgen je in ieder geval aan de huidige richtlijnen voldoet. Staat dit goed ingesteld? Controleer de account instellingen, property instellingen en view instellingen aan de hand van deze handleiding van de Autoriteit Persoonsgegevens.

Meer informatie is beschikbaar op de website van de DDMA, de onafhankelijke brancheorganisatie voor marketing en data.

Heb je vragen over Google Analytics of wil je een scan uitvoeren of de instellingen van je Google Analytics account goed zijn ingesteld? Neem dan direct contact met ons op.