2026-08-04

Google Analytics en de AVG: is het illegaal in Europa?

Je las de kop in 2022. Oostenrijk noemde Google Analytics onwettig. Daarna Frankrijk. Daarna Italië.

Je runt een webwinkel. Je bent geen jurist. Je hebt een trackingcode op elke pagina en een toezichthouder die boetes kan opleggen.

Dus deed je wat de meeste mensen deden. Je wachtte af wat er daarna zou gebeuren.

Toen gebeurde er niets opvallends en zakte de vraag stilletjes naar onderen op je lijst. Ze staat er nog. En er is nog steeds een echt antwoord op.

Dit is de eerlijke versie, zonder schrikkoppen en zonder de draai van leveranciersblogs. Wat er echt gebeurde, wat er sindsdien veranderde en de twee vragen die bepalen of je een probleem hebt.

Eén opmerking vooraf. Dit is geen juridisch advies. Het is een kaart van de beslissingen, zodat je je eigen jurist een scherpere vraag kunt stellen.

Wat er echt gebeurde, in data

Het verhaal is kort en kent vier momenten.

Wil je de juridische geschiedenis overslaan, dan is het korte antwoord een alternatief voor GA4.

Juli 2020. Het Hof van Justitie van de Europese Unie deed de uitspraak die bekendstaat als Schrems II. Die verklaarde het Privacy Shield ongeldig, het kader dat gegevensdoorgifte van de EU naar de VS eenvoudig had gemaakt. De reden was de Amerikaanse wetgeving over toezicht, die het hof onverenigbaar vond met de bescherming in de EU.

13 januari 2022. De Oostenrijkse privacytoezichthouder besliste in een proefzaak die de privacyorganisatie noyb had aangespannen. De conclusie: een website die via Google Analytics persoonsgegevens naar de VS doorgaf, schond de AVG.

10 februari 2022. De Franse CNIL kwam tot dezelfde conclusie en gaf de organisatie een maand om het op te lossen.

In de loop van 2022. Italië en andere lidstaten volgden met vergelijkbare beslissingen. De Oostenrijkse zaak was een van de 101 klachten die noyb in heel Europa indiende, dus dit was een gecoördineerde golf en geen plaatselijk ongeluk.

"Instead of actually adapting services to be GDPR compliant, US companies have tried to simply add some text to their privacy policies and ignore the Court of Justice."

Max Schrems, erevoorzitter van noyb, 13 januari 2022

In plaats van hun diensten echt aan de AVG aan te passen, probeerden Amerikaanse bedrijven gewoon wat tekst aan hun privacyverklaring toe te voegen en het Hof van Justitie te negeren. Zo stond het er ongeveer achttien maanden voor. Daarna verschoof de juridische grond.

Wat er in 2023 veranderde

10 juli 2023. De Europese Commissie nam een adequaatheidsbesluit aan voor het EU-US Data Privacy Framework.

Eenvoudig gezegd zegt een adequaatheidsbesluit dat een land persoonsgegevens goed genoeg beschermt, zodat doorgifte daarheen geen extra waarborgen nodig heeft. Voor bedrijven die onder het kader gecertificeerd zijn, verdween het specifieke probleem achter de uitspraken van 2022.

Dat deel is in de meeste artikelen uit 2022 nooit bijgewerkt.

Het is ook het deel dat leveranciers in beide richtingen overdrijven. Het adequaatheidsbesluit verklaarde Google Analytics niet conform. Het nam één bezwaar weg, het bezwaar over de doorgifte, voor gecertificeerde ontvangers.

Twee dingen blijven open.

Het kader wordt betwist. De twee vorige regelingen, Safe Harbour en Privacy Shield, werden allebei door hetzelfde hof onderuitgehaald. Er lopen juridische procedures tegen dit kader. Niemand kan je beloven dat het over drie jaar nog overeind staat.

De cookievraag ging nooit over doorgifte. Die staat er los van en niets in 2023 raakte eraan.

Is het vandaag dus illegaal?

Het nuttige antwoord is geen ja of nee. Het is: bij welke van de twee verplichtingen loop je risico?

Verplichting één: toestemming voor opslag op het apparaat. Die komt uit de ePrivacy-regels, die elke lidstaat in eigen nationale wetgeving omzet. Plaats je een cookie die niet strikt nodig is voor de dienst, dan heb je vooraf toestemming nodig. Analytics is niet strikt nodig.

Dat geldt los van de situatie rond doorgifte. Het gold voor 2022 en het geldt nu.

Verplichting twee: een rechtsgrond en waarborgen voor persoonsgegevens. Dat is de AVG. IP-adressen en apparaatkenmerken zijn persoonsgegevens. Doorgifte naar de VS is op dit moment gedekt door het adequaatheidsbesluit, als de ontvanger gecertificeerd is.

De meeste winkels die in de problemen komen, doen dat bij verplichting één, niet bij twee. De banner is verkeerd ingesteld, laat de tag afgaan voor de toestemming of biedt geen echte keuze.

Nog steeds bij de les? Mooi, want het volgende deel gaat over wat een inspectie echt bekijkt.

Wat een toezichthouder echt controleert

Toezichthouders zijn praktisch. Bij een inspectie na een klacht kijken ze naar een korte lijst concrete dingen.

• Gaat de tracker af voor de toestemming? Open je site in een privévenster en kijk in het tabblad Netwerk. Gaat er een verzoek uit voordat je ergens op klikt, dan is dat de meest voorkomende bevinding.
• Is weigeren even makkelijk als accepteren? Een opvallende knop Accepteren naast een verstopte link Instellingen is in de hele EU een gedocumenteerd probleem.
• Klopt je privacyverklaring met de werkelijkheid? Noemt ze drie tools en laadt de pagina er vijf, dan zie je dat verschil in dertig seconden.
• Kun je het toestemmingsregister laten zien? Je moet kunnen aantonen dat toestemming gegeven is, dus je moet die opslaan.
• Heb je een verwerkersovereenkomst? Voor elke tool die namens jou persoonsgegevens verwerkt.

Voor geen van deze punten heb je een jurist nodig. Voor allemaal heb je iemand nodig die echt kijkt.

Drie manieren om het risico te verkleinen, op volgorde van effect

1. Haal de verplichting weg in plaats van haar te beheren. Slaat je analytics niets op het apparaat op en verzamelt ze geen persoonsgegevens, dan vallen voor die tool beide verplichtingen weg. Er is geen toestemming te verzamelen, geen doorgifte te rechtvaardigen en geen register bij te houden.

2. Houd de data in de EU. Draait je analytics op servers in de EU bij een Europese aanbieder, dan speelt de vraag over doorgifte helemaal niet, wat er ook met het adequaatheidskader gebeurt.

3. Houd je Google Analytics, los dan eerst de banner op. Blokkeer de tag tot er toestemming is, maak weigeren één klik, leg de toestemming vast en werk je privacyverklaring bij. Dit haalt het risico niet weg, het beheert het. Het betekent ook dat je de bezoekers die weigeren blijft verliezen.

Merk op dat de eerste twee een hele categorie risico weghalen, terwijl de derde het alleen verkleint. Dat verschil telt zwaarder dan welke uitspraak ook.

Wat het je kost als je niets doet

Boetes halen de krantenkoppen, maar ze komen zelden als eerste. Een klacht begint meestal met een verzoek om informatie en een termijn.

De echte kosten zijn stiller.

Je besteedt uren aan toestemmingstools. Je legt een klant of partner uit waarom hun data naar een Amerikaans bedrijf gaat. Je houdt een punt in je risicoregister dat nooit wordt opgelost. En je neemt beslissingen op verkeerscijfers die iedereen missen die nee zei.

Waar StatJolt past

StatJolt is zo gebouwd dat beide verplichtingen niet meer gelden.

Het plaatst geen cookies en schrijft niets naar het apparaat van de bezoeker. Daarmee vervalt de toestemmingsplicht uit ePrivacy voor de analytics zelf.

Het verzamelt geen persoonsgegevens en bouwt geen bezoekersprofielen. Er valt geen rechtsgrond voor vast te stellen.

De servers staan in de EU, in Duitsland en Finland. Er ontstaat geen vraag over doorgifte en die ontstaat ook niet als het adequaatheidskader weer verandert.

Bij een audit maakt dat van een lang gesprek een kort gesprek. Er is geen toestemmingsregister voor analytics te tonen, omdat er geen toestemming te verzamelen is.

Als je maar één kader leest

Verschillende EU-toezichthouders noemden Google Analytics in 2022 onwettig vanwege de doorgifte van data, en het adequaatheidsbesluit van 2023 nam dat specifieke bezwaar weg voor gecertificeerde ontvangers. De toestemmingsplicht voor cookies werd door niets daarvan geraakt en daar lopen de meeste winkels in werkelijkheid risico. Wil je de vraag afsluiten in plaats van beheren, gebruik dan analytics die niets op het apparaat opslaat en in de EU draait.

Terug