Google Analytics stuurt altijd gegevens naar de VS

Google Analytics is nog steeds de populairste websitetool om het gedrag van gebruikers te bespioneren.

Met zijn verrassende erkenning maakte Google één ding duidelijk: alle gegevens die een website met Google Analytics verzamelt, worden naar de VS gestuurd en daar verwerkt. Iedere keer weer.

Waarom heeft Google dit toegegeven?

De aanleiding was een klacht van privacyorganisatie noyb tegen Google bij de Oostenrijkse privacytoezichthouder. Die stelde Google vervolgens meer dan twintig vragen.

Googles antwoorden waren vaak ontwijkend, achteloos en onvolledig. Waarom Google benadrukte dat Analytics-gegevens uitsluitend in de VS worden opgeslagen, is vrij eenvoudig uit te leggen. Daarvoor is wel wat achtergrond nodig.

Wat was de juridische context?

Na het arrest van het Hof van Justitie van de EU over het Privacy Shield, bekend als “Schrems II”, werd de VS als een onveilig derde land beschouwd. Het hier uiteengezette standpunt is dat doorgifte van persoonsgegevens naar de VS toestemming vereist.

Bij websiteverkeer worden persoonsgegevens doorgegeven: rechters hebben vastgesteld dat het netwerkadres van de gebruiker, het IP-adres, een persoonsgegeven is.

De VS werd als een onveilig derde land beschouwd omdat Amerikaanse wetgeving overheidsinstanties, waaronder inlichtingendiensten, toegang geeft tot gegevens van Amerikaanse bedrijven. Bewaart zo’n bedrijf klantgegevens van Duitsers, dan kunnen Amerikaanse autoriteiten erbij.

De bevoegdheden voor geheime toegang tot gegevens berusten vooral op de FISA-wet en Executive Order 12333. In zijn antwoord aan de toezichthouder stelde Google dat beide alleen toegang toestaan tot gegevens die buiten de VS zijn opgeslagen.

Googles redenering was dus: wij bewaren alle gegevens in de VS, zodat FISA en Executive Order 12333 geen toegang mogelijk maken. Daarom zijn de gegevens bij ons veilig.

Die redenering klopt niet, maar het is misschien het beste argument dat Google kon bedenken. Wellicht houdt de creativiteit van zulke juridische argumenten verband met de salarissen van zijn advocaten. Hoe dan ook gaf Google hiermee toe wat velen al vermoedden, maar niet konden bewijzen.

Zijn de gegevens veilig in de VS?

De betere vraag is of de gegevens die Google Analytics naar de VS stuurt en daar bewaart, daadwerkelijk veilig zijn.

Als iemand in Europa een website met Google Analytics bezoekt, ontstaan de analysegegevens in Europa. Google verzamelt ze via een server die een collector wordt genoemd.

Deze server ontvangt de gegevens van het apparaat en staat waar mogelijk dicht bij de gebruiker. Daarna worden de gegevens naar de VS gestuurd.

Er worden dus wereldwijd gegevens verzameld. Op grond van FISA en Executive Order 12333 kan de Amerikaanse inlichtingendienst NSA aan upstream collection doen. Daarbij wordt een trans-Atlantische kabel afgetapt waarover gegevens de VS binnenkomen.

Je zou droogjes kunnen opmerken dat dit zonder toestemming op zichzelf al onrechtmatig is. Bovendien zouden betrokkenen erover geïnformeerd moeten worden, wat kennelijk niet gebeurt. De AVG geeft hun ook een recht van bezwaar. Ook dat begrip lijkt de NSA niet te kennen.

Waarom Google Analytics toestemming vereist

Volgens deze redenering zijn de wereldwijde gegevensverzameling en doorgifte naar de VS al voldoende reden om toestemming te vragen voordat Google Analytics wordt geladen.

De hier besproken standaardconfiguratie van Google (Universal) Analytics gebruikt cookies. Volgens § 15 lid 3 van de Duitse Telemediengesetz (TMG) is daarvoor toestemming nodig. De argumenten:

• Google Analytics plaatst en leest de cookies.
• De cookiewaarden worden naar Googles servers gestuurd.
• De cookies zijn technisch niet noodzakelijk: Google Analytics kan ook zonder cookies werken.
• Artikel 5 lid 3 van de ePrivacyrichtlijn vereist hiervoor toestemming. Het maakt niet uit welke gegevens de cookies bevatten; het hoeven niet eens persoonsgegevens te zijn.
• Volgens het arrest van het Duitse Bundesgerichtshof van 28 mei 2020, zaak I ZR 7/16 (“Planet49”), moet de TMG in overeenstemming met de ePrivacyrichtlijn worden uitgelegd.

Mogelijk kun je bovendien geen geldige verwerkersovereenkomst met Google sluiten. Redenen zijn onder meer het wereldwijde netwerk van subverwerkers en de mogelijkheid dat gevraagde gegevensverwijdering twee maanden duurt.

Samen geven deze punten voldoende grond voor een algemene toestemmingsplicht voor Google Analytics, ook zonder cookies.

Uitleggen hoe Google Analytics gegevens verwerkt

Wie Googles privacyverklaringen en de contractvoorwaarden van Google Analytics doorneemt, is daarna misschien nog niets wijzer. De informatie is zo ingewikkeld, vaag en verspreid over verschillende documenten dat een transparante uitleg bijna onmogelijk lijkt.

Toch vereist artikel 12 AVG transparante en begrijpelijke informatie over gegevensverwerking met Google Analytics.

Conclusie

Geldige toestemming verkrijgen voor Google Analytics lijkt lastig. Cookiepop-ups zijn niet alleen irritant; in de praktijk voldoen de meeste ook niet aan de wettelijke eisen.

Google Analytics zonder toestemming gebruiken zou op zijn beurt betekenen dat je cookies achterwege laat. De gegevenskwaliteit is dan twijfelachtig, omdat Google Analytics niet voor die werkwijze is geoptimaliseerd.

Met tools zoals Trackboxx kun je websitebezoek privacyvriendelijk analyseren. Zonder cookies en zonder noemenswaardige fingerprinting hoef je geen toestemming te vragen. Gebruiksgemak staat centraal, en dat is bepaald niet het sterke punt van Google Analytics. Zelfs na uren in het dashboard begrijp je misschien nog niet hoe alles werkt.

Ik vind bovendien dat we Duitse aanbieders de voorkeur moeten geven en zo snel mogelijk moeten stoppen met gratis gegevens aan Google leveren.

Heb je ooit een groot concern benaderd voor ondersteuning of met een simpele vraag, dan ken je waarschijnlijk het gevoel geen echt antwoord te krijgen. Mijn ervaring is dat lokale aanbieders veel klantvriendelijker zijn en beter begrijpen wat goede dienstverlening inhoudt.