Google Analytics verbod of niet, welk scenario kies je?

Het speelt al enige tijd dat er een kans is dat Google Analytics verboden of wellicht aan banden wordt gelegd. Besluitvorming in andere landen in Europa heeft daar in 2022 tot een verbod geleid maar in Nederland is door de Autoriteit Persoonsgegevens nog geen definitief besluit genomen. Hoe groot is het risico dat dit in 2023 gaat gebeuren en hoe bereid je je hier als organisatie op voor. In dit artikel gaan we in op de achtergrond en de risico’s en geven we een aantal oplossingsrichtingen waar je als organisatie aan kan werken. Door tijdig eenvoudige maatregelen te nemen beperk je de impact van een mogelijk verbod enorm en krijgt je er zelfs nu al een concurrentievoordeel.

Achtergrond mogelijk verbod

Alle analytics omgevingen moeten voldoen aan de Europese privacywetgeving, op grond van de GDPR/AVG. In Nederland ziet de Autoriteit Persoonsgegevens hier op toe en op hun website kan je een eenvoudige handleiding vinden die de wetgeving helder uitlegt. De Autoriteit Persoonsgegevens staat hierin niet alleen. Ook in andere landen wordt de europese privacy wetgeving gehandhaafd en in Oostenrijk, Frankrijk en recent ook Italië heeft dit al tot een verbod op het gebruik van Google Analytics geleid. Aan deze uitspraak lagen 2 belangrijke conclusies ten grondslag, namelijk:

• Als ‘provider of electronic communication services’ valt Google onder de wetgeving 50 US Code § 1881 (b) (4). Daarmee kan de Amerikaanse inlichtingendienst Google verplichten om toegang te geven tot alle data die zij beheren.
• De maatregelen die vervolgens zijn genomen in aanvulling op de Standard Contractual Clauses (SCC) zijn als niet afdoende beoordeeld door de EU, omdat deze de mogelijkheid tot monitoring van en toegang tot data door de Amerikaanse inlichtingendiensten niet uitsluit.
• Dit oordeel volgt weer op het ongeldig verklaren van de Safe Harbor- en Privacy Shield-verdragen tussen de Verenigde Staten en Europa. Deze verdragen zorgen ervoor dat er strikte regels waren voor Amerikaanse verwerkers van Europese persoonsgegevens, om de verwerking van persoonsgegevens in lijn te brengen met de GDPR. 
• Op 24 juni 2022 liet de Italiaanse privacy-toezichthouder Garante per la Protezione dei Dati Personali (GPDP) weten nóg een reden te zien om het gebruik van Google Analytics te verbieden. Zij stelt namelijk dat IP-adressen, die als persoonsgegeven worden beschouwd, niet standaard worden geanonimiseerd.

De uitspraken tot nu toe zijn wel voornamelijk gericht op Universal Analytics. Google Analytics 4 biedt extra mogelijkheden om de privacy van bezoekers te borgen. 

Mede door het verbod in andere landen in Europa zien wij de kans reëel dat er in Nederland ook aanvullende maatregelen komen. Of er echt een verbod komt is de vraag. Het is ook heel goed denkbaar dat het gebruik flink aan banden wordt gelegd waardoor je ook in dat geval al tijdig moet nadenken over maatregelen om de impact beperkt te houden.

Hoe bereid je je voor op een verbod op Google Analytics?

Er zijn meerdere oplossingen voor Google Analytics waarbij sommige oplossingen zoals bijvoorbeeld van Adobe potentieel dezelfde risico’s lopen. Vooral de analytics oplossingen die voldoen aan de privacywetgeving en de data beheren in Europa zijn aan te raden. Maar is dat wel echt nodig om te switchen. Er bestaat immers ook een kans dat Google Analytics gewoon gebruikt kan worden. Grofweg kunnen we een viertal scenario’s onderkennen:

Scenario 1 “ Niets doen en afwachten”

Dit scenario heeft de afgelopen jaren best succesvol gewerkt. Mocht het nooit tot een verbod komen dan heb je geen kosten gehad. Maar mocht je wachten tot het laatste moment dan loop je wel het risico dat je veel historische data niet meer mee kan nemen. 

Scenario 2 “Voorbereidende maatregelen nemen en GA4 implementeren

Je zorgt er voor dat je je houdt aan de regels zoals deze nu zijn gegeven door de Autoriteit persoonsgegeven en je implementeert GA4 zelfs al naast je Universal analytics. Door dit tijdig te doen bouw je veel data op en kan je GA4 ook goed vergelijken met UA waardoor je de verschillen en voordelen goed kan zien. Je kan zelfs gebruik maken van dashboards om de verschillen tussen GA4 en UA te bekijken. Een interessant artikel met een gratis dashboard staat o.a. op de website van OrangeValley.

Scenario 3 “Een alternatieve datacollectiemethode of tooling implementeren 

De alternatieve datacollectie functioneert dan naast Google Analytics zodat je nu al wel begint met het collecteren van de data en dat je als het nodig is vrij snel kan switchen. Je doet dit bij voorkeur in combinatie met scenario 2 waardoor je binnen Google Analytics bent voorbereid op het uitfaseren van UA. Het voordeel van dit scenario is dat je tegen relatief lage kosten een tweede datacollectie start die je pas hoeft te gaan gebruiken als het echt nodig is, maar tegelijkertijd is dit een mooie lifeline als er onverhoopt nu  al iets niet goed gaat in Google Analytics.

Scenario 4 overstappen op een andere analytics omgeving.

Mocht je voor dit scenario gaan dan zal je bij voorkeur twee omgevingen naast elkaar gaan gebruiken, zoals ook in scenario 3 maar heb je ook al besloten dat je op enig moment ook echt Google Analytics uit gaat zetten. De organisatie kan dan besparen op de (betaalde) versie van Google Analytics maar de kosten voor een migratie en de trendbreuk in historische data kunnen zeker complicerende factoren zijn.

Advies

Het dak kan je het best repareren als de zon schijnt. En de privacy wet- en regelgeving is ingevoerd en de verwachting is niet dat deze regelgeving op de middellange termijn wordt versoepeld. Gezien het verbod in andere landen van Europa en de aanhoudende ontwikkelingen rondom wetgeving in de EU en de US is het waarschijnlijker dat het gebruik van Google Analytics verder aan banden wordt gelegd. Oftewel die bui komt wel een keer over.

Van de bovengenoemde scenario’s is scenario 1 zeker niet aan te raden. Je kan het nog even volhouden, maar het is zeker dat Universal Analytics (UA) eindigt per 1 juli 2023. Het is al een paar keer uitgesteld maar er op gokken dat het weer wordt uitgesteld is zeer riskant. Het minimale scenario is scenario 2 waarbij er gemigreerd wordt naar GA4 maar dit scenario is ook niet zonder risico qua privacy wet- en regelgeving. De combinatie van scenario 2 en 3 is beter omdat je daarmee voldoende alternatieve data opbouwt, mocht er een verbod komen dan heb je ruim de tijd gehad om in je een alternatieve analyticsomgeving al data te collecteren. Bijkomend voordeel is dat je ook zaken kan meten waarin soms GA4 tekort schiet en je ook een vangnet hebt. Scenario 4 is veruit het meest arbeidsintensieve en kostbare scenario. Zeker een goed scenario maar wel kostbaar en met ook een aantal andere risico’s zoals genoemd.

Samenvattend is ons advies om te migreren naar GA4 en een alternatieve analytics omgeving er naast te zetten waar je al begint met het collecteren van data. Daarmee loop je het minste risico’s en houd je de kosten laag. Je kunt tijdens de migratie naar GA4 nog tot 1 juli UA er naast laten draaien zodat je met genoemde rapportage de verschillen kan monitoren. Er zijn daarnaast meer dan genoeg alternatieven Google Analytics omgevingen die je voor relatief weinig investering kan inzetten. Denk bijvoorbeeld aan Piwik (pro) of Matomo. Beide oplossingen worden inmiddels grootschalig gebruikt en het zijn daarmee voldoende toekomstvaste oplossingen.