2026-08-06

Privacy-audit: zo sluit je het analyticsrisico voorgoed af

De vragenlijst komt op een dinsdag in je inbox.

Twaalf tabbladen. Eén ervan heet Externe verwerkers. Ergens daarin staat een rij voor webanalytics en een kolom die vraagt welke persoonsgegevens de organisatie verlaten.

Je weet dat het eerlijke antwoord ingewikkeld is. Je weet ook dat het schrijven van dat ingewikkelde antwoord je een week kost waarin je achter mensen aan zit die niet aan jou rapporteren.

Ik heb compliance-verantwoordelijken dit probleem twee keer zien oplossen. De eerste keer documenteren ze zich erdoorheen. De tweede keer zien ze dat een van de rijen gewoon kan ophouden te bestaan.

Dit artikel gaat over de tweede aanpak. Het begint bij wat de auditor echt vraagt, want je kunt geen proces inkorten dat je nooit uitgeschreven hebt gezien.

Eerst één opmerking. Dit is geen juridisch advies en je eigen jurist bepaalt wat voor jou geldt. Het is een kaart van de vragen.

De zes vragen die een auditor over analytics stelt

Het zijn altijd dezelfde, ongeveer in deze volgorde.

1. Welke persoonsgegevens verwerkt de tool? IP-adressen en apparaatkenmerken tellen mee. Net als alles wat je in een aangepaste dimensie stopt, en daar zitten meestal de verrassingen.

2. Wat is je rechtsgrond? Voor niet-essentiële analytics in de EU is dat normaal gesproken toestemming en die toestemming moet aan een norm voldoen en niet alleen als vinkje bestaan.

3. Waar gaat de data naartoe? Welk bedrijf, welk land, welke servers.

4. Wie heeft er nog meer toegang toe? Subverwerkers, supportmedewerkers, de eigen analytics van de leverancier op jouw analytics.

5. Hoe lang bewaar je het? Een bewaartermijn die je kunt noemen en die de tool ook echt afdwingt.

6. Kun je al het bovenstaande aantonen? Deze vraag maakt van een gesprek van twee uur een project van twee weken.

Merk op dat de eerste vijf vragen over de tool gaan en de zesde over jou.

Het papierwerk dat elk antwoord oplevert

Elk ja levert een document op dat je moet maken, actueel moet houden en moet verdedigen.

• Een regel in het verwerkingsregister. Artikel 30 van de AVG vereist een register van verwerkingsactiviteiten. Analytics is één rij, met doel, soorten gegevens, ontvangers en bewaartermijn.
• Een verwerkersovereenkomst. Artikel 28 vereist er een met elke verwerker die persoonsgegevens voor je verwerkt.
• Een beoordeling van de doorgifte, als data de EER verlaat. Het huidige adequaatheidskader maakt dit eenvoudiger voor gecertificeerde ontvangers in de VS, maar de beoordeling blijft een document waar iemand verantwoordelijk voor is.
• Toestemmingsregisters. Je moet kunnen aantonen dat toestemming gegeven is. Dat betekent dat je haar opslaat en op verzoek voor een bepaalde bezoeker kunt tonen.
• Een DPIA, als de verwerking een hoog risico heeft. Grootschalige profilering van gedrag kan je over die grens duwen.
• Een regel in de privacyverklaring die bij al het bovenstaande past en blijft passen als iemand een tag verandert.

Dat zijn zes levende documenten voor één tool. Geen ervan maakt je marketing beter. Allemaal hebben ze een eigenaar nodig.

"Ensure that personal data are automatically protected in any given IT system or business practice, so that if an individual does nothing, their privacy still remains intact."

Ann Cavoukian, Privacy by Design: The 7 Foundational Principles, over privacy als standaardinstelling

Zorg dat persoonsgegevens in elk IT-systeem of elke bedrijfspraktijk automatisch beschermd zijn, zodat de privacy van iemand die niets doet toch intact blijft. Cavoukian schreef dat in 2009. De AVG legde het idee later vast in artikel 25, gegevensbescherming door ontwerp en door standaardinstellingen.

Wat je hieruit meeneemt, is structureel. Bescherming die afhangt van iemand die een instelling goed configureert, is zwakker dan bescherming die bestaat omdat er niets te beschermen valt.

Nog steeds bij de les? Mooi, want hier scheiden de twee wegen zich.

Waarom documenteren de dure weg is

Documentatie is geen eenmalige kostenpost. Het is een abonnement.

De tool brengt een functie uit en je register is verouderd. Iemand voegt een tag toe voor een campagne en vergeet hem weg te halen. Een subverwerker verandert en niemand vertelt het aan de persoon die het register beheert.

Dan is er het deel waar niemand budget voor heeft. Elk van die documenten moet bij de volgende audit opnieuw gevonden worden, bij de volgende grote deal en telkens als een klant je zijn eigen vragenlijst voor leveranciers stuurt.

In een bedrijf van dertig mensen is dit meestal een deeltijdtaak van één persoon die niemand ooit een naam gaf.

De kortere weg: schrap de categorie

Dit is de versie die een middag kost in plaats van een kwartaal.

Verwerkt je analytics geen persoonsgegevens en slaat ze niets op het apparaat van de bezoeker op, dan vallen de meeste van de zes vragen weg.

• Vraag één heeft een kort antwoord. Geen persoonsgegevens.
• Vraag twee verdwijnt. Er is geen verwerking van persoonsgegevens om een grondslag voor te vinden en geen opslag op het apparaat om toestemming voor te vragen.
• Vraag drie is één regel als de servers in de EU staan.
• Vraag vijf weegt minder zwaar als de bewaarde data niet aan een persoon te koppelen is.
• Vraag zes wordt veel makkelijker, omdat er geen toestemmingsregisters te tonen zijn.

Je hebt het papierwerk niet beter gemaakt. Je hebt de rijen weggehaald die het opleverden.

Dat is het verschil tussen een beheersmaatregel en een eliminatie en auditors behandelen die twee heel verschillend. Een beheersmaatregel moet getest worden. Een eliminatie moet één keer gecontroleerd worden.

Wat je nog steeds moet doen

Ik zou je misleiden als ik zei dat het antwoord nul papierwerk is.

Je houdt nog steeds een regel in het verwerkingsregister bij, ook als die zegt dat de data niet persoonlijk is, omdat de beoordeling zelf het opschrijven waard is.

Je hebt nog steeds een contract met de leverancier nodig. Je beschrijft de tool nog steeds in je privacyverklaring en die beschrijving moet nog steeds kloppen met de werkelijkheid.

En je hebt nog steeds alle andere systemen in de vragenlijst. Analytics is één rij op twaalf tabbladen. Als je die goed afsluit, kun je de week besteden aan de rijen waar echt een oordeel voor nodig is.

Zo controleer je het in tien minuten

Geloof een leverancier hierover niet op zijn woord, ook mij niet. Controleer het zoals een auditor dat zou doen.

Open je site in een privévenster en kijk in de ontwikkelaarstools naar Cookies en Lokale opslag. Leeg is leeg.

Bekijk het netwerkverzoek dat de analytics verstuurt. Kijk wat erin zit. Kun je niet zien wat er verstuurd wordt, dan is dat je antwoord.

Vraag waar de servers staan en krijg het land op papier.

Vraag wat de leverancier van het IP-adres van de bezoeker opslaat. Het opslaan ervan en het kort gebruiken om een land af te leiden zijn verschillende dingen en dat verschil telt.

Die vier controles leveren bewijs op dat je aan het dossier kunt toevoegen. Dat is meer waard dan welke compliancepagina op de website van een leverancier ook.

Waar StatJolt past

StatJolt is zo gebouwd dat de rij voor analytics voor een auditor niet meer interessant is.

Het plaatst geen cookies en schrijft niets op het apparaat van de bezoeker, dus er is geen toestemming te verzamelen en geen toestemmingsregister te tonen.

Het verzamelt geen persoonsgegevens en bouwt geen bezoekersprofielen, dus er is geen vraag over een rechtsgrond voor persoonsgegevens te beantwoorden.

De servers staan in de EU, in Duitsland en Finland, dus de vraag over doorgifte speelt niet, wat er ook gebeurt met het huidige adequaatheidskader.

Voor je vragenlijst maakt dat van een rij vol voorbehouden een rij met een kort antwoord, plus bewijs dat je zelf in tien minuten kunt controleren.

Als je maar één kader leest

Een auditor stelt zes vragen over analytics en elk ja levert een document op dat je daarna voor altijd moet bijhouden. Je erdoorheen documenteren is een abonnement dat niemand in het bedrijf echt beheert. De persoonsgegevens en de opslag op het apparaat weghalen laat de meeste vragen wegvallen in plaats van ze te beheren en dat is het verschil tussen een beheersmaatregel die een auditor moet testen en een eliminatie die hij één keer controleert.

Terug