Google Analytics: wat te doen na de beslissing van de CNIL?

Kunnen we Google Analytics nog gebruiken? Dat is de vraag die veel websitebeheerders zich vandaag stellen na de beslissing van de CNIL op 10 februari 2022. De Commission nationale de l’informatique et des libertés (de Franse gegevensbeschermingsautoriteit) oordeelde namelijk dat Google Analytics, zoals het standaard is geconfigureerd, niet voldeed aan de eisen van de Algemene verordening gegevensbescherming (AVG).

Het gevolg: heel veel website-eigenaren zijn vandaag op zoek naar een alternatief voor de tool van Google.

Net als zij hebt u misschien Google Analytics geïnstalleerd om gegevens over uw verkeer te verkrijgen en vraagt u zich waarschijnlijk af hoe u aan de AVG kunt voldoen.

Hier zijn enkele denkpistes en oplossingen die wij u kunnen voorstellen om de verkeersgegevens van uw content te volgen.

De beslissing van de CNIL over Google Analytics begrijpen

Even terug naar de feiten. Op 10 februari 2022 sommeert de CNIL een websitebeheerder om aan de AVG te voldoen. De oorzaak: het gebruik van Google Analytics en met name de doorgifte van gegevens naar de Verenigde Staten.

“De CNIL stelt vast dat de gegevens van internetgebruikers zo naar de Verenigde Staten worden doorgegeven in strijd met de artikelen 44 en volgende van de AVG. Zij sommeert de websitebeheerder dan ook om deze verwerkingen in overeenstemming te brengen met de AVG, indien nodig door te stoppen met het gebruik van de functie Google Analytics (onder de huidige voorwaarden) of door een tool te gebruiken die geen doorgifte buiten de EU met zich meebrengt. De betrokken websitebeheerder beschikt over een termijn van één maand om zich in overeenstemming te brengen…”

Zelfs met de toestemming van internetgebruikers via de Analytics-cookies oordeelt de CNIL immers dat de tool het niet mogelijk maakt om de gegevens volledig te anonimiseren.

Vanuit het oogpunt van de AVG vormt dit een probleem, want:

• Google zou in staat zijn om de identiteit van de bezoekers te achterhalen door deze gegevens te combineren met andere informatie waarover het beschikt.
• De CNIL is van mening dat Google onvoldoende garanties biedt over de beveiliging van de gegevens zodra deze naar de Verenigde Staten zijn doorgegeven.

Deze beslissing van de CNIL komt voort uit een actie van de Oostenrijkse ngo NOYB, geleid door de activist Max Schrems. In 2020 had die een klacht ingediend tegen 101 Europese bedrijven die volgens haar de AVG en het “Schrems II”-arrest niet naleefden.

De Oostenrijkse gegevensbeschermingsautoriteit oordeelde in januari dan ook dat Google Analytics wel degelijk in strijd was met de Europese verordening, kort daarna gevolgd door de CNIL. Beslissingen die door andere Europese toezichthouders zouden kunnen worden nagevolgd.

Bijgevolg hebben de sites die door deze beslissingen worden getroffen één maand de tijd om zich in overeenstemming te brengen en Google Analytics op te geven. Voorlopig is er echter nog geen financiële sanctie opgelegd aan de betrokken sites.

Google reageerde eveneens in een communiqué en liet weten dat het bedrijf nieuwe tools ter beschikking zou stellen.

Gegevensverzameling en de AVG: hoe werkt dat?

De Algemene verordening gegevensbescherming, of AVG, is in mei 2018 in werking getreden en heeft tot doel de persoonlijke en gevoelige gegevens van internetgebruikers te beschermen.

Met Google Analytics moeten sites bijvoorbeeld de toestemming van hun bezoekers vragen voor het verzamelen van hun gegevens. Er zijn zo twee belangrijke scenario’s.

➔ De internetgebruiker geeft geen toestemming voor het plaatsen van Analytics-cookies.

De Analytics- en advertentieoplossingen van Google blijven werken, maar op een beperktere manier en zonder cookies te plaatsen.

➔ De internetgebruiker geeft zijn toestemming

Dit leidt tot het plaatsen van een Google Analytics-cookie waarmee het volgende mogelijk wordt:

• het meten van het bezoek van de site,
• het personaliseren van advertentiecampagnes (bijv. Google Ads).

De gegevens die Google verzamelt om het bezoek te meten, zijn de volgende:

• het IP-adres: een uniek adres, eigen aan het verbonden apparaat.
• de client id (identificator waarmee een individueel navigatietraject op uw site kan worden gevolgd, UA-XXXXX-X).

Let op: sommige oplossingen voor het verzamelen van informatie vereisen geen toestemming van de gebruikers als de verzamelde gegevens volledig geanonimiseerd zijn.

Wat is een cookie? 🍪

Een cookie is een klein tekstbestand dat door de internetbrowser van een gebruiker wordt opgeslagen wanneer deze een website bezoekt.

Er bestaan twee soorten cookies:

First-party- of interne cookies. Ze worden gehost door de server van de bezochte website en maken het onder meer mogelijk om de gebruikerservaring te verbeteren door een aantal gegevens over de bezoeker te bewaren: taalvoorkeur, inloggegevens, bezochte pagina’s, inhoud van een winkelmandje, enz.

Ze kunnen ook voor advertentiedoeleinden worden gebruikt.

Third-party-cookies. Ze worden gehost door een ander domein dan dat van de bezochte site. Ze stellen externe applicaties in staat om te zien welke pagina’s zijn bezocht en om een aantal gegevens over de gebruiker te verzamelen. Ze worden veel gebruikt om advertenties te richten. Google heeft overigens het einde van dit soort cookies aangekondigd voor 2023.

Google Analytics en de AVG: hoe reageert u?

In deze situatie hebt u verschillende oplossingen om de AVG-conformiteit van Google Analytics te optimaliseren.

Oplossing 1: afwachten…

Veel bedrijven wachten immers af tot Google op Europees niveau aan de AVG voldoet, maar ook tot de Verenigde Staten en Europa het eens worden over een versoepeling van de wet. Dat zou bijvoorbeeld kunnen via het hosten van de Google Analytics-gegevens in Europa, via een Europees bedrijf.

Oplossing 2: Google Analytics aanpassen

Als u vertrouwd bent met Google Analytics, kunt u Google Analytics ook zo configureren dat het beter voldoet aan de eisen van de AVG.

Er is nog geen bevestigde oplossing om de conformiteit van Google Analytics met de eisen van de AVG te garanderen.

Volgens ons onderzoek zijn er echter verschillende denkpistes en hypothesen om Google Analytics beter te laten voldoen aan de eisen van de AVG.

Dat kan onder meer via:

• het anonimiseren van de IP-adressen vóór opslag,
• het verkorten van de levensduur van de Google Analytics-cookies,
• het ondertekenen van een gegevensbeschermingsovereenkomst (Data Protection Agreement) met Google,
• het beveiligen van de Google Analytics-cookies dankzij de toestemming van de bezoekers,
• het beperken van de gegevensverzameling door de GA-cookies,
• enz.

Deze aanbevelingen zijn voorlopig niet erg eenvoudig toe te passen en vergen veel inspanning. Daarom is het misschien verstandiger om naar een aanvullende oplossing te kijken.

Oplossing 3: kiezen voor alternatieve oplossingen

Geen paniek: er bestaan ook talrijke alternatieven als aanvulling op Google Analytics.

De CNIL biedt bijvoorbeeld een lijst met AVG-conforme oplossingen. Hier zijn er enkele:

Namen	Belangrijkste kenmerken
Analytics Suite Delta ontwikkeld door AT Internet	Aanbevolen door de CNIL. Tarief op aanvraag, afhankelijk van het aantal webpagina’s. Er is een Semji-connector ontwikkeld om alle gegevens van uw site te kunnen ophalen.
Abla Analytics	Gratis onder de 5.000 paginaweergaven per maand ( zie de tarieflijst). Deze oplossing staat op de officiële lijst van de CNIL.
Matomo self-hosting	Gratis en open source. De tool is beschikbaar als self-hosting, waardoor u eigenaar blijft van uw gegevens. Deze oplossing staat op de officiële lijst van de CNIL.
Etracker Analytics	Gratis onder de 25.000 paginaweergaven per maand.
Fathom	Canadees bedrijf dat de AVG naleeft en de opslag en verwerking van Europese gegevens in Duitsland uitvoert.
Plausible	Geen cookies. Hosting in Europa.

Het standpunt van Semji

Wat ons betreft hebben wij ervoor gekozen om af te wachten of de onderhandelingen tussen Google en de CNIL tot een akkoord leiden.

Welk alternatief u ook kiest, wij kunnen de continuïteit van uw trackinggegevens waarborgen. Wij beschikken vandaag over een connector met AT Internet. Maar het is perfect mogelijk om koppelingen voor andere analytics-oplossingen te ontwikkelen.

Neem gerust contact met ons op om van gedachten te wisselen over de analytics-oplossing die u hebt gekozen. In afwachting daarvan kunt u Semji gratis uitproberen om de ROI van uw content te maximaliseren!