Oh nee: Google Analytics in strijd met AVG

Vrijwel elke website maakt gebruik van Google Analytics. Het geeft immers veel inzichten. Hoeveel bezoekers komen er dagelijks, wekelijks en maandelijks? Welke pagina’s vinden zij wel of niet interessant? Dit is bijvoorbeeld handig voor marketingdoeleinden. Zo kan je goed inspelen op de wensen van de bezoekers. Het gebruik van Google Analytics is binnenkort misschien niet meer toegestaan, omdat het in strijd zou zijn met de AVG. Dit kan grote gevolgen hebben. Wat is er aan de hand? Lees meer in deze blog.

Google Analytics: wat doet het?
Google Analytics is een gratis dienst van Google waarmee allerlei informatie wordt verzameld over het gebruik van een website. Zo kan de websitebeheerder met Google Analytics zien hoeveel bezoekers de website trekt, welke pagina’s het meest worden bekeken en de gemiddelde tijd die een bezoeker op de site doorbrengt. Voor het verzamelen van deze informatie worden cookies gebruikt. De cookies sturen informatie over het surfgedrag door naar de servers van Google in de VS. Bij deze informatie zit onder meer het IP-adres van de websitebezoeker en andere informatie die wordt aangemerkt als ‘persoonsgegevens’ in de zin van de Algemene Verordening Gegevensbescherming (AVG).

AVG
De AVG is dus van toepassing. De AVG bepaalt dat het uitwisselen van persoonsgegevens vanuit de EU naar de VS alléén is toegestaan als daarvoor geschikte, extra contractuele, technische en organisatorische beschermingsmaatregelen zijn genomen. Dit is nodig, omdat Amerikaanse bedrijven (zoals Google) verplicht kunnen worden door inlichtingendiensten om inzage te geven in de persoonsgegevens van EU burgers.

Privacy Shield ongeldig
In 2016 werd het Privacy Shield-verdrag tussen de EU en de VS in het leven geroepen. Het verdrag bevatte afspraken over extra beschermingsmaatregelen die Amerikaanse bedrijven moesten treffen voor het verwerken van persoonsgegevens uit de EU. De gedachte was dat door dit verdrag uitwisseling met de VS op een veilige manier kon. Maar in 2020 heeft het Europees Hof van Justitie geoordeeld dat het verdrag onvoldoende veiligheid biedt en heeft het verdrag ongeldig verklaard.

101 klachten
Naar aanleiding van die uitspraak heeft de privacy-activist Max Schrems bij privacy toezichthouders in de hele EU 101 klachten ingediend tegen websites die gebruikmaken van Google Analytics. De klacht: door gebruik te maken van Google Analytics worden persoonsgegevens uitgewisseld met de VS, terwijl erop dit moment onvoldoende beschermingsmaatregelen zijn. De Oostenrijkse privacy toezichthouder was het hiermee eens. Inmiddels heeft ook de Noorse privacy toezichthouder organisaties geadviseerd te stoppen met Google Analytics.

Google Analytics in Nederland
Na publicatie van de Oostenrijkse uitspraak heeft de Nederlandse toezichthouder (Autoriteit Persoonsgegevens) laten weten dat Google Analytics mogelijk binnenkort niet meer is toegestaan. De privacy-activist Max Schrems heeft ook bij de Nederlandse toezichthouder klachten ingediend. Hoe het verder gaat, is nog niet bekend. Uiteraard houden we je op de hoogte mocht er iets wijzigen.

Tot slot
Maakt jouw website of bedrijf (veelvuldig) gebruik van Google Analytics en wil je weten wat je kan doen om de privacy van jouw websitebezoekers te verbeteren? Neem dan gerust contact op met Menno Loos.

Bronnen:
https://noyb.eu/en/101-complaints-eu-us-transfers-filed
https://noyb.eu/sites/default/files/2022-01/E-DSB%20-%20Google%20Analytics_EN_bk.pdf
https://www.privacyshield.gov/Program-Overview
https://autoriteitpersoonsgegevens.nl/nl/nieuws/privacy-shield-voor-doorgifte-naar-vs-ongeldig-verklaard
https://www.agconnect.nl/artikel/stop-met-google-analytics-zegt-noorse-privacywaakhond