Websites in Frankrijk kunnen met Google Analytics blijven werken, maar moeten dan wel van een goed geconfigureerde proxy gebruikmaken, zo las ik bij Security.nl. We weten al een tijdje dat Google Analytics best problematisch is onder de AVG, omdat het structureel persoonsgegevens overbrengt naar Amerika. Tijd om ermee te stoppen dus, maar voor wie nog een paar jaar geld wil betalen om zijn hoofd in het zand te steken, is er nu een juridisch-technisch correcte oplossing.
Sinds het Schrems II-arrest weten we dat persoonsgegevens overbrengen naar de VS erg problematisch is, omdat de VS fundamenteel niet dezelfde soort bescherming van persoonsgegevens wil bieden. Het Privacy Shield is daarmee geen goede basis om zomaar aan te mogen nemen dat je een Amerikaanse clouddienst (zoals Google’s Analyticsdienst) mag inzetten.
Ook helpt het niet als je de verschillende pseudonimisering-opties instelt, zoals we in Nederland gewend zijn te doen op advies van onze Autoriteit Persoonsgegevens. Ook dan komen er nog tot personen te herleiden gegevens bij Google, die ze waarschijnlijk combineert met andere gegevens – of in ieder geval ze opslaat in de VS. En alleen dat al is een probleem.
“Hoewel Google verschillende maatregelen heeft opgesteld om dataverzending naar andere landen te reguleren, zijn deze niet voldoende om de toegang door Amerikaanse inlichtingendiensten te beschermen”, schreef de Franse toezichthouder in februari nog. Onze AP meldde toen dat het gebruik van Analytics ‘mogelijk binnenkort niet meer is toegestaan’, hoewel dat binnenkort dus wat rekkelijk moet worden opgevat.
De CNIL is technisch gaan brainstormen en komt nu met de oplossing van een anonimiserende proxy. Kort gezegd, alle Analyticsverkeer wordt geforceerd naar een eigen server gestuurd waar werkelijk álles wordt gestript. En pas daarna gaat het naar Google, zodat je toch mooie statistiekjes en plaatjes kunt krijgen in je dashboard. (De waarde van deze gegevens voor marketing laat ik buiten beschouwing).
Dat álles is echt nogal veel:
- the absence of transfer of the IP address to the servers of the measurement tool;
- the replacement of the user identifier by the proxy server;
- the deletion of the referring site information external to the site;
- the deletion of any parameter contained in the URLs collected (e.g. UTMs and URL parameters allowing the internal routing of the site);
- the reprocessing of information that can participate in the generation of a fingerprint , such as ‘user agents’, to remove the rarest configurations that can lead to re-identification;
- the absence of any collection of cross-site identifiers; and
- the deletion of any other data that may lead to re-identification.
Mocht u nu denken, wat een enorm gedoe, wat gaat dat wel niet kosten: ja precies. Dus vraag meteen een offerte aan uw webbouwer voor het integreren van een alternatieve oplossing zoals Piwik of Matomo.
Meelezende marketingmensen en andere Analyticslovers: waarom Google Analytics?
Arnoud
Websitebouwer hier. Het deel van mijn klanten wat vooral focust op (groei van) online verkoop wil per se Google Analytics. Want, zeggen ze, GA integreert zo lekker met alle andere marketing-tools en dashboards. Denk daarbij aan Mailchimp, Facebook pixel, Hotjar et cetera. Daarbij zijn er talloze boeken, cursussen en tutorials waarin al deze koppelingen met GA worden beschreven. Als ik ze dan al overtuigd krijg van bijvoorbeeld Piwik in plaats van GA, en de zaken gaan niet zoals verwacht (spoiler: zaken gaan nooit zoals verwacht), dan gaat Piwik als eerste de deur uit en komt GA terug.
Wat, denk ik, mist is een ecosysteem van privacy vriendelijke (en/of Europese) alternatieven. We hebben niet alleen een alternatief nodig voor GA, maar ook voor Mailchimp, salesforce, shopify, hotjar EN de duizendeneen tutorials de beschrijven hoe al die dingen te integreren zijn. Of, meer ondernemers moeten zich realiseren dat zo veel mogelijk persoonsgegevens in verschillende systemen aan elkaar knopen niet de enige manier is om online te groeien.
Online marketeer hier. Ik vermoed dat het vaak niet eens een weloverwogen keuze is, maar prijs (“gratis”) en gemak. En iedere ingehuurde externe of aangenomen nieuwe medewerker is er bekend mee – wel zo makkelijk. Zoals Niels ook aangeeft: het integreert zo makkelijk. En natuurlijk niet alleen ‘extern’, maar ook met andere Google-diensten als AdWords, Data Studio, Search Console, enz. En zo zit je ‘vast’.
Tja die meta pixel is een vrij nare privacy killer, dus ik zou die niet gebruiken. Zelfs wat ingevuld wordt op de website wordt naar Meta verstuurt
https://themarkup.org/pixel-hunt/2022/06/16/facebook-is-receiving-sensitive-medical-information-from-hospital-websites
Waarom zou een Piwik of Matomo wel mogen als je dit lijstje met eisen zo ziet? Lijkt me dat je dan ook geen referrer, IP, user agent, order ID naar deze tools mag sturen?
Vermoedelijk blijft de PII binnen de EU/EER.
Niks wat je opslaat in de cloud is dan toch veilig voor de Amerikaanse veiligheidsdiensten? Iedereen weer een eigen serverhok dan maar weer?
De cloud is toch gewoon iemand anders zijn serverhok? Behalve dat zo’n cloud-hok in de regel beter beveiligd is.
Ik vind het nogal aanmatigend om te suggereren dat de Amerikaanse veiligheidsdiensten zomaar elke EU-cloud in kunnen. En bovendien zijn die veiligheidsdiensten niet echt het probleem. Dat zit hem in dit soort gevallen meer in partijen die deze gegevens voor hun eigen gewin willen gebruiken.
Aanmatigend?
Voor de duidelijkheid: het gaat niet om de CIA of NSA maar om de FBI die met die hele brede CLOUD Act gegevens mag vorderen zonder rechtshulpverzoek. Dat is fundamenteel verkeerd en voelt echt anders dan de NSA die je altijd kan hacken.
Cloud is prima, mits eigendom van Europese eigenaar (en geen US moeder) en alleen binnen de grenzen van de EU (of eigenlijk EER).
CNIL heeft een voor Piwik/Matomo e.d. een gids geschreven met hoe je deze kunt instellen: https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience
Bij Piwik/Matomo is het uiteraard het idee dat je dit in de EU host, waardoor dit voor Schrems-II geen probleem vormt.
Enkel Google Analytics vervangen gaat het probleem ook niet oplossen als je gebruik blijft maken van de Google Ads remarketingtag, Facebook pixel etc.. Dat is denk ik de grootste reden na kosten die momenteel bedrijven tegenhoudt: ook al investeer je om over te schakelen, dan is het nog onvoldoende.
Ik vind het niet vreemd dat zoveel bedrijven Google Analytics gebruiken. Voor veel met name kleinere bedrijven zijn de kosten om over te schakelen te groot. Niet alleen zit je met maandelijkse abonnementskosten (hoewel Piwik Pro ook een gratis pakket aanbiedt), maar vergeet ook niet je integraties. Er zijn alleen betaalde Data Studio connectors voor Matomo. Alle Google Ads campagnes moet je ineens zelf gaan taggen. Wil je conversies bijhouden in Google Ads, dan kan je dit niet langer meer importeren uit GA. Alles gaat veel meer tijd vergen om in te stellen en bij te houden. En je zal ook je team moeten geen opleiden om te leren werken met het nieuwe pakket.
Precies. Wat zegt de CNIL dan over gebruik van FB, Google Ads en andere Amerikaanse gebaseerde advertentienetwerken? Hebben ze daar een uitspraak over gedaan?
Websitetester hier: ik heb zelf altijd de indruk dat het al die marketing-dingen per definitie indruisen tegen de privacyrichtlijnen. Want wil je weten of een advertentie succesvol was, dan moet je toch weten wie er op heeft / hebben geklikt? En kunnen bepalen of die klik tot verkoop heeft geleid?
a) De meeste kiezen GA en gebruiken er amper iets van. Er zijn legio andere oplossingen die zelf gehost zijn en voldoende leveren. Zelfs veel gratis oplossingen. Met de data aan de slag gaan is (lees meer dan er eens naar kijken, maar er naar handelen) nu net veel saai werk. Eens kijken of de teksten goed leesbaar/bruikbaar en relevant zijn voor het doelpubliek zal meer opleveren.
b) Je hebt meer info nodig en dan denk ik dat je die info nu net niet wil delen met google (of Fb of amazon,…). Maar goed zover zullen marketing mensen niet denken, tot je die resulterende gegevens zo eens vraagt. Het zal dan wel het grootste geheim zijn welke producten het goed/slecht doen 😉
“the deletion of any other data that may lead to re-identification.” –> Volgens mij blijft er dan niets meer over.
Wel een goede insteek, het mag maar je moet aan voorwaarden voldoen. Voldoe je niet ben je illegaal bezig.
Zo’n proxy kan toch gewoon een lokaal php script zijn? Github link, iemand?
De proxy is niet echt het probleem. Server-side tagging prima oplossing om meer controle te krijgen over wat je naar Google/Microsoft/Meta stuurt. Wat je overhoudt na het strippen volgens richtlijnen CNIL van de data wel. Dan kan je beter op zoek naar een andere oplossing.