Google Analytics en de AVG: zo stel je GA4 zorgvuldig in

Mag je Google Analytics gebruiken onder de AVG?

Ja, je kunt Google Analytics 4 (GA4) onder de AVG gebruiken, mits je een paar dingen goed regelt: de voorwaarden voor gegevensverwerking van Google accepteren, GA4 zo privacyvriendelijk mogelijk instellen, vooraf toestemming vragen voor de cookies en alles uitleggen in je privacyverklaring. Wie die stappen overslaat, loopt risico bij een controle van de Autoriteit Persoonsgegevens (AP).

De Algemene verordening gegevensbescherming (AVG) is de Nederlandse naam voor de GDPR. Daarnaast geldt de cookiewet uit de Telecommunicatiewet, die regelt wanneer je cookies mag plaatsen. Voor beperkt analytische cookies met geen of geringe gevolgen voor de privacy is geen toestemming nodig. Of een GA4-meting daaronder valt, is juridisch niet eenduidig, en zodra GA4 aan Google Ads gekoppeld is of gegevens met Google deelt, is dat vrijwel uitgesloten. In de praktijk vragen de meeste Nederlandse websites daarom toestemming voor GA4. Dit artikel is geen juridisch advies.

Stap 1: verwerkersovereenkomst met Google regelen

Een verwerkersovereenkomst legt vast dat een dienstverlener persoonsgegevens alleen in jouw opdracht verwerkt. Voor Google Analytics hoef je die niet zelf op te stellen. Google biedt vaste voorwaarden voor gegevensverwerking aan, die je in de accountinstellingen van Google Analytics kunt bekijken en accepteren. Controleer daar ook of de contactgegevens van je organisatie kloppen, want die gebruikt Google voor meldingen over gegevensbescherming.

Werk je met een bureau dat GA4 voor je beheert, dan is het bureau ook een verwerker. Leg dat vast in een eigen verwerkersovereenkomst met het bureau en geef toegang via het gebruikersbeheer van Google Analytics, niet door wachtwoorden te delen.

→ Cookiebanner met Consent Mode v2: compliant, zonder maandelijkse licentie

Stap 2: GA4 privacyvriendelijk instellen

Een aantal instellingen in GA4 bepaalt hoeveel gegevens er worden verzameld en met wie ze worden gedeeld. Loop ze na in het beheergedeelte van je property en account:

Over IP-adressen schrijft Google dat GA4 ze niet logt of opslaat. Een aparte instelling om IP-adressen te anonimiseren, zoals bij het oude Universal Analytics, bestaat in GA4 daarom niet meer. Let wel op dat je zelf geen persoonsgegevens meestuurt, bijvoorbeeld een e-mailadres in de URL van een bedankpagina.

Stap 3: toestemming vragen met Consent Mode v2

Google Consent Mode v2 zorgt dat GA4 en de andere Google-tags de keuze uit je cookiebanner respecteren. Zet de standaardwaarde van analytics_storage op “denied” en laat je cookiebanner die waarde pas na toestemming op “granted” zetten. Doe hetzelfde voor ad_storage, ad_user_data en ad_personalization als je Google Ads gebruikt.

Zonder toestemming plaatst GA4 dan geen cookies. In de geavanceerde variant van Consent Mode kunnen de tags wel cookieloze signalen sturen, die Google gebruikt om ontbrekende gegevens te modelleren. Of je die variant wilt, is een afweging die je samen met je privacyadviseur maakt. Test in de voorbeeldmodus van Google Tag Manager of GA4 zich in beide situaties gedraagt zoals bedoeld.

→ Google Consent Mode v2 correct instellen: geen waarschuwing in Tag Assistant

Stap 4: doorgifte naar de Verenigde Staten

Google is een Amerikaans bedrijf en gegevens uit GA4 kunnen naar de Verenigde Staten gaan. Sinds 10 juli 2023 geldt het EU-VS Data Privacy Framework, een adequaatheidsbesluit van de Europese Commissie voor Amerikaanse bedrijven die zich daarbij hebben aangesloten. Op de officiële lijst van het Data Privacy Framework kun je nagaan of Google LLC deelneemt. Vermeld de doorgifte in je privacyverklaring.

Stap 5: je privacyverklaring bijwerken

Je privacyverklaring moet uitleggen wat er met de gegevens van bezoekers gebeurt. Voor Google Analytics hoort daar minimaal in:

• dat je Google Analytics 4 gebruikt en waarvoor, bijvoorbeeld om je website en advertenties te verbeteren;
• welke gegevens worden verwerkt en hoe lang ze worden bewaard;
• dat Google als verwerker optreedt en dat gegevens naar de Verenigde Staten kunnen gaan;
• op welke grondslag je de gegevens verwerkt, meestal toestemming;
• hoe bezoekers hun toestemming intrekken, bijvoorbeeld via een vaste link naar de cookie-instellingen.

Hoe controleer je of GA4 echt pas na toestemming laadt?

Een goede instelling op papier zegt nog niets over wat er op je website gebeurt. Open de website in een privévenster en kijk in de ontwikkelaarstools van je browser, onder Application of Opslag, welke cookies er staan voordat je een keuze maakt. Cookies die met _ga beginnen, zijn van Google Analytics en horen er dan nog niet te staan.

Klik daarna op “Weigeren” en herlaad de pagina. Er mogen nog steeds geen _ga-cookies verschijnen. Kies je “Accepteren”, dan horen ze er direct te zijn, op dezelfde pagina en zonder dat je eerst verder moet klikken. Kijk ook in het tabblad Netwerk: verzoeken naar Google Analytics zonder toestemming mogen alleen cookieloos zijn, en alleen als je bewust voor de geavanceerde variant van Consent Mode hebt gekozen. Controleer tot slot in de DebugView van GA4 of je eigen testbezoek na “Accepteren” binnenkomt. Herhaal deze test na elke update van je website, je cookiebanner of je plug-ins, want daar gaat het in de praktijk het vaakst mis.

Voorbeeld: accountantskantoor met contactformulier

Een accountantskantoor in Zwolle gebruikt GA4 om te zien welke diensten de meeste aanvragen opleveren. Bij een controle blijkt dat de bedankpagina de naam en het e-mailadres van de afzender in de URL zet, waardoor die gegevens in GA4 terechtkomen. Na de aanpassing stuurt het formulier alleen nog een gebeurtenis generate_lead zonder persoonsgegevens, staat de bewaartermijn op 2 maanden en laadt GA4 pas na toestemming. De voorwaarden voor gegevensverwerking waren al jaren geleden geaccepteerd, maar de contactgegevens in het account hoorden nog bij een vertrokken medewerker. Ook die zijn bijgewerkt. Het kantoor ziet in GA4 nu minder bezoekers dan vroeger, maar de verhouding tussen de diensten blijft zichtbaar, en daar ging het om.

Trackum richt GA4 zo in tegen een vaste prijs: de inrichting van € 150 (excl. btw) omvat Google Tag Manager, GA4, Consent Mode v2 en maximaal 15 gebeurtenissen, getest met en zonder toestemming en binnen één werkdag live. Toegang gaat via het gebruikersbeheer van Google Tag Manager, zonder wachtwoorden te delen.