Franse privacytoezichthouder biedt oplossing voor gebruik Google Analytics

Websites in Frankrijk kunnen met Google Analytics blijven werken, maar moeten dan wel van een goed geconfigureerde proxy gebruikmaken, zo las ik bij Security.nl. We weten al een tijdje dat Google Analytics best problematisch is onder de AVG, omdat het structureel persoonsgegevens overbrengt naar Amerika. Tijd om ermee te stoppen dus, maar voor wie nog een paar jaar geld wil betalen om zijn hoofd in het zand te steken, is er nu een juridisch-technisch correcte oplossing.

Sinds het Schrems II-arrest weten we dat persoonsgegevens overbrengen naar de VS erg problematisch is, omdat de VS fundamenteel niet dezelfde soort bescherming van persoonsgegevens wil bieden. Het Privacy Shield is daarmee geen goede basis om zomaar aan te mogen nemen dat je een Amerikaanse clouddienst (zoals Google’s Analyticsdienst) mag inzetten.

Ook helpt het niet als je de verschillende pseudonimisering-opties instelt, zoals we in Nederland gewend zijn te doen op advies van onze Autoriteit Persoonsgegevens. Ook dan komen er nog tot personen te herleiden gegevens bij Google, die ze waarschijnlijk combineert met andere gegevens – of in ieder geval ze opslaat in de VS. En alleen dat al is een probleem.

“Hoewel Google verschillende maatregelen heeft opgesteld om dataverzending naar andere landen te reguleren, zijn deze niet voldoende om de toegang door Amerikaanse inlichtingendiensten te beschermen”, schreef de Franse toezichthouder in februari nog. Onze AP meldde toen dat het gebruik van Analytics ‘mogelijk binnenkort niet meer is toegestaan’, hoewel dat binnenkort dus wat rekkelijk moet worden opgevat.

De CNIL is technisch gaan brainstormen en komt nu met de oplossing van een anonimiserende proxy. Kort gezegd, alle Analyticsverkeer wordt geforceerd naar een eigen server gestuurd waar werkelijk álles wordt gestript. En pas daarna gaat het naar Google, zodat je toch mooie statistiekjes en plaatjes kunt krijgen in je dashboard. (De waarde van deze gegevens voor marketing laat ik buiten beschouwing).

Dat álles is echt nogal veel:

  • the absence of transfer of the IP address to the servers of the measurement tool;
  • the replacement of the user identifier by the proxy server;
  • the deletion of the referring site information external to the site;
  • the deletion of any parameter contained in the URLs collected (e.g. UTMs and URL parameters allowing the internal routing of the site);
  • the reprocessing of information that can participate in the generation of a fingerprint , such as ‘user agents’, to remove the rarest configurations that can lead to re-identification;
  • the absence of any collection of cross-site identifiers; and
  • the deletion of any other data that may lead to re-identification.
De proxy die dit doet, moet fysiek in Europa staan en in eigendom én beheer zijn bij een Europese partij. En je moet periodiek controleren dat je écht geen indirect identificerende gegevens doorstuurt. Want de CNIL ziet ook risico’s bij situaties dat je IP-adressen weglaat, getuige de verwijzingen naar user-agent strings en andere parameters waarmee je alsnog server-side fingerprints kunt samenstellen.

Mocht u nu denken, wat een enorm gedoe, wat gaat dat wel niet kosten: ja precies. Dus vraag meteen een offerte aan uw webbouwer voor het integreren van een alternatieve oplossing zoals Piwik of Matomo.

Meelezende marketingmensen en andere Analyticslovers: waarom Google Analytics?

Arnoud

16 reacties

  1. Websitebouwer hier. Het deel van mijn klanten wat vooral focust op (groei van) online verkoop wil per se Google Analytics. Want, zeggen ze, GA integreert zo lekker met alle andere marketing-tools en dashboards. Denk daarbij aan Mailchimp, Facebook pixel, Hotjar et cetera. Daarbij zijn er talloze boeken, cursussen en tutorials waarin al deze koppelingen met GA worden beschreven. Als ik ze dan al overtuigd krijg van bijvoorbeeld Piwik in plaats van GA, en de zaken gaan niet zoals verwacht (spoiler: zaken gaan nooit zoals verwacht), dan gaat Piwik als eerste de deur uit en komt GA terug.

    Wat, denk ik, mist is een ecosysteem van privacy vriendelijke (en/of Europese) alternatieven. We hebben niet alleen een alternatief nodig voor GA, maar ook voor Mailchimp, salesforce, shopify, hotjar EN de duizendeneen tutorials de beschrijven hoe al die dingen te integreren zijn. Of, meer ondernemers moeten zich realiseren dat zo veel mogelijk persoonsgegevens in verschillende systemen aan elkaar knopen niet de enige manier is om online te groeien.

  2. Online marketeer hier. Ik vermoed dat het vaak niet eens een weloverwogen keuze is, maar prijs (“gratis”) en gemak. En iedere ingehuurde externe of aangenomen nieuwe medewerker is er bekend mee – wel zo makkelijk. Zoals Niels ook aangeeft: het integreert zo makkelijk. En natuurlijk niet alleen ‘extern’, maar ook met andere Google-diensten als AdWords, Data Studio, Search Console, enz. En zo zit je ‘vast’.

        1. De cloud is toch gewoon iemand anders zijn serverhok? Behalve dat zo’n cloud-hok in de regel beter beveiligd is.

          Ik vind het nogal aanmatigend om te suggereren dat de Amerikaanse veiligheidsdiensten zomaar elke EU-cloud in kunnen. En bovendien zijn die veiligheidsdiensten niet echt het probleem. Dat zit hem in dit soort gevallen meer in partijen die deze gegevens voor hun eigen gewin willen gebruiken.

  3. Enkel Google Analytics vervangen gaat het probleem ook niet oplossen als je gebruik blijft maken van de Google Ads remarketingtag, Facebook pixel etc.. Dat is denk ik de grootste reden na kosten die momenteel bedrijven tegenhoudt: ook al investeer je om over te schakelen, dan is het nog onvoldoende.

    Ik vind het niet vreemd dat zoveel bedrijven Google Analytics gebruiken. Voor veel met name kleinere bedrijven zijn de kosten om over te schakelen te groot. Niet alleen zit je met maandelijkse abonnementskosten (hoewel Piwik Pro ook een gratis pakket aanbiedt), maar vergeet ook niet je integraties. Er zijn alleen betaalde Data Studio connectors voor Matomo. Alle Google Ads campagnes moet je ineens zelf gaan taggen. Wil je conversies bijhouden in Google Ads, dan kan je dit niet langer meer importeren uit GA. Alles gaat veel meer tijd vergen om in te stellen en bij te houden. En je zal ook je team moeten geen opleiden om te leren werken met het nieuwe pakket.

      1. Websitetester hier: ik heb zelf altijd de indruk dat het al die marketing-dingen per definitie indruisen tegen de privacyrichtlijnen. Want wil je weten of een advertentie succesvol was, dan moet je toch weten wie er op heeft / hebben geklikt? En kunnen bepalen of die klik tot verkoop heeft geleid?

  4. a) De meeste kiezen GA en gebruiken er amper iets van. Er zijn legio andere oplossingen die zelf gehost zijn en voldoende leveren. Zelfs veel gratis oplossingen. Met de data aan de slag gaan is (lees meer dan er eens naar kijken, maar er naar handelen) nu net veel saai werk. Eens kijken of de teksten goed leesbaar/bruikbaar en relevant zijn voor het doelpubliek zal meer opleveren.

    b) Je hebt meer info nodig en dan denk ik dat je die info nu net niet wil delen met google (of Fb of amazon,…). Maar goed zover zullen marketing mensen niet denken, tot je die resulterende gegevens zo eens vraagt. Het zal dan wel het grootste geheim zijn welke producten het goed/slecht doen 😉

    “the deletion of any other data that may lead to re-identification.” –> Volgens mij blijft er dan niets meer over.

    Wel een goede insteek, het mag maar je moet aan voorwaarden voldoen. Voldoe je niet ben je illegaal bezig.

    1. De proxy is niet echt het probleem. Server-side tagging prima oplossing om meer controle te krijgen over wat je naar Google/Microsoft/Meta stuurt. Wat je overhoudt na het strippen volgens richtlijnen CNIL van de data wel. Dan kan je beter op zoek naar een andere oplossing.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.