De Autoriteit Persoonsgegevens (AP) waarschuwt Nederlandse organisaties al sinds 2022 dat het gebruik van Google Analytics 'mogelijk binnenkort niet is toegestaan.' De privacytoezichthouder startte vervolgens een onderzoek, maar kan na anderhalf jaar nog steeds niet zeggen wanneer zij dit onderzoek openbaar maakt. Wel dat het onderzoek is afgerond. Maar een nieuw dataverdrag tussen de Europese Unie en de Verenigde Staten kan de uitkomst van het onderzoek beïnvloeden.
Dat blijkt uit navraag van Tweakers, dat de AP om een update vroeg. Een AP-woordvoerder legt tegenover de website uit: 'Het onderzoek naar Google Analytics is afgerond en zit nu in de zogeheten 'handhavingsfase. In die fase wordt het hele onderzoek nagelopen, beoordeeld of terecht een overtreding is geconstateerd en of die overtreding inmiddels is beëindigd. Uiteindelijk wordt bepaald of een sanctie wordt opgelegd, en zo ja, welke.'
Nieuw dataverdrag
Volgens de toezichthouder maken 'onvoorziene omstandigheden' de zaak 'complexer dan verwacht.' Om die reden kan de woordvoerder 'nog geen inschatting geven' wanneer het onderzoek naar Google Analytics openbaar beschikbaar komt. Oorspronkelijk verwachtte de AP het onderzoek 'begin 2022' af te ronden.
De AP startte dat onderzoek rond januari 2022 nadat verschillende privacytoezichthouders in andere EU-landen oordeelden dat Google Analytics niet aan de Algemene Verordening Gegevensbescherming (AVG) voldoet omdat de analysesoftware IP-adressen en cookiegegevens van gebruikers verzamelt en deelt met de Verenigde Staten. Dat laatste mocht niet volgens de AVG omdat het daarvoor bedoelde privacyverdrag tussen de EU en de Verenigde Staten (het Privacy Shield) begin 2020 illegaal werd verklaard door het Europees Hof van Justitie. Onlangs hebben de landen een nieuw verdrag gesloten (het Data Privacy Framework). De argumentatie van nationale privacytoezichthouders om het gebruik van Google Analytics te beboeten (en te verbieden), is daarom niet meer geldig.
De Autoriteit Persoonsgegevens erkent tegenover Tweakers dat de introductie van een nieuw verdrag de onderzoekconclusie van het Google Analytics-rapport kan beïnvloeden. Of dat daadwerkelijk het geval is, laat de toezichthouder in het midden.
Aanhoudende onzekerheid
Het AP-onderzoek naar Google Analytics richt zich namelijk niet op een eventueel verbod op Google Analytics an sich, maar op de manier waarop Nederlandse websites de analysesoftware inzetten om verkeer te meten. Het gebruik van Google Analytics hoeft namelijk niet per se in strijd te zijn met de AVG. Een website die Google Analytics gebruikt zonder IP-adressen te verzamelen, voldoet mogelijk wel aan de AVG. Ook hier is echter nog geen volledige duidelijkheid over. Google is deze weg al ingeslagen: het nieuwe Google Analytics 4 verzamelt geen IP-adressen meer.
Nederlandse websites zitten tot de Autoriteit Persoonsgegevens met een onderzoek en eventuele handhavingsmaatregelen komt in onzekerheid. Zij wachten sinds januari 2022 op antwoord op de vraag of ze Google Analytics volgens de AVG mogen gebruiken en zo ja, wat de (juridisch) veiligste manier is. Websites die geen risico willen lopen of de onzekerheid beu zijn, kunnen een andere analysetool dan Google Analytics gebruiken. Er zijn analyseprogramma's die minder gebruikersgegevens verzamelen en daarom aan de AVG voldoen.
Plaats als eerste een reactie
Ook een reactie plaatsen? Word lid van Adformatie!