Les 5: Google Analytics AVG-compliant instellen

Deze cursus biedt algemene informatie en geen juridisch advies.

Google Analytics is het meest gebruikte webstatistieken-programma ter wereld. Het is ook een van de meest gecompliceerde tools als het gaat om AVG-compliance. In deze les leggen we uit waar de spanningen zitten en hoe je Analytics zo instelt dat je aan de wet voldoet.

Waarom Google Analytics en de AVG botsen

Google Analytics verzamelt IP-adressen van bezoekers. IP-adressen zijn persoonsgegevens. Google verwerkt die gegevens op servers buiten de EU — deels in de VS. De overdracht van persoonsgegevens naar de VS was jarenlang juridisch omstreden na de Privacy Shield-uitspraken van het Europese Hof.

De Oostenrijkse, Franse en Italiaanse privacytoezichthouders oordeelden al dat standaard Google Analytics in strijd is met de AVG. De Nederlandse AP heeft zich hier ook over uitgesproken. De situatie is in beweging — maar de kernboodschap is: standaard Google Analytics zonder aanvullende maatregelen is risicovol.

Google Analytics 4 en de verbeterde privacyinstellingen

GA4 heeft ten opzichte van Universal Analytics (de vorige versie) verbeterde privacyinstellingen. Combineer die met de juiste configuratie:

1. IP-anonimisering

In GA4 is IP-anonimisering standaard ingeschakeld — Google slaat geen volledige IP-adressen op. Dit was een handmatige instelling in Universal Analytics maar is nu automatisch. Controleer dit via Google Tag Manager of de GA4-instellingen.

2. Dataretentie beperken

Ga in GA4 naar Beheer → Gegevensopties → Gegevensretentie. Stel de retentieperiode in op 2 maanden of 14 maanden in plaats van de standaard 26 maanden. Minder data = minder risico.

3. Google Signals uitschakelen

Google Signals koppelt Analytics-data aan Google-accountgegevens van bezoekers. Dit gaat ver en is privacygevoelig. Schakel het uit via Beheer → Gegevensopties → Gegevensverzameling → Google Signals.

4. Gegevensdeling met Google beperken

Ga naar Beheer → Account-instellingen → Gegevensdeling. Schakel alle opties uit behalve “Technische ondersteuning” — of schakel alles uit als je maximale privacybescherming wilt.

5. Koppelen aan je cookiebanner

Laad Google Analytics alleen als de bezoeker toestemming heeft gegeven voor analytische cookies. Dit doe je via je cookieplugin (Cookiebot of Complianz): stel in dat GA4 alleen actief is na toestemming. Alle goede cookieplugins ondersteunen dit via Google Tag Manager of een directe integratie.

Alternatieven voor Google Analytics

Als je de complexiteit van AVG-compliant Google Analytics wilt vermijden, zijn er privacyvriendelijkere alternatieven:

Matomo (vroeger Piwik)

Open source webanalytics die je op je eigen server installeert. Data verlaat jouw server niet — geen dataoverdracht naar derde partijen. Gratis self-hosted versie beschikbaar, betaalde cloudversie voor wie niet zelf wil hosten. Goed alternatief als privacy prioriteit heeft.

Plausible Analytics

Lichtgewicht, privacyvriendelijk alternatief gehost in de EU. Vereist geen cookiebanner omdat het geen persoonlijk identificeerbare informatie verzamelt. Betaald (vanaf ~€9/maand) maar eenvoudig en compliant. Sterk aanbevolen voor kleine websites die AVG-gedoe willen vermijden.

Fathom Analytics

Vergelijkbaar met Plausible — privacyvriendelijk, geen cookies, geen cookiebanner nodig. Betaald.

Verwerkersovereenkomst met Google

Als je Google Analytics gebruikt, ben je verplicht een verwerkersovereenkomst af te sluiten met Google. Ga naar GA4 Beheer → Account-instellingen → Gegevensverwerking en accepteer de Data Processing Amendment (DPA). Dit is verplicht en gratis.

Opdracht

Controleer je Google Analytics-implementatie op de vier punten: IP-anonimisering, dataretentie, Google Signals en gegevensdeling. Zorg daarna dat GA4 alleen laadt na toestemming van de bezoeker via je cookiebanner. Overweeg of Plausible Analytics een betere keuze is voor jouw situatie — zij bieden een gratis proefperiode.