Moet ik de Google Analytics-configuratie altijd anonimiseren als ik geen cookie-melding gebruik?

Ja, je moet de Google Analytics-configuratie anonimiseren als je geen expliciete toestemming vraagt voor het plaatsen van trackingcookies. Dit is nodig om te voldoen aan de AVG (GDPR) en om bezoekersgegevens op een privacyvriendelijke manier te verwerken.

✅ Wanneer je géén cookiemelding hoeft te tonen

Je mag Google Analytics zonder toestemming gebruiken alleen als:

1. IP-adressen worden geanonimiseerd
   Bijvoorbeeld via anonymize_ip: true in je trackingcode.
   
2. Je hebt een verwerkersovereenkomst met Google gesloten
   
3. Je deelt geen gegevens met Google
   Dus: geen benchmarking, productverbetering, advertenties of andere koppelingen.
   
4. Je informeert gebruikers in je privacyverklaring
   Transparantie blijft verplicht, ook zonder cookiebanner.
   
5. Je gebruikt alleen analytische cookies
   En dus géén marketing-, tracking- of social media-cookies.

⚠️ Wanneer je wél een cookiebanner moet tonen

• Als je niet aan bovenstaande voorwaarden voldoet
• Als je Google Analytics combineert met andere trackingtools
• Als je Google Analytics 4 gebruikt, dat complexer is qua datadoorgifte (bijv. naar de VS)

De Autoriteit Persoonsgegevens heeft eerder aangegeven dat zelfs geanonimiseerde Analytics niet altijd AVG-proof is, afhankelijk van de configuratie.

Sources: Autoriteit Persoonsgegevens – Google Analytics en privacy

🔍 Waarom anonimiseren verplicht is onder de AVG

• Google Analytics verzamelt persoonsgegevens, zoals IP-adressen en gebruikersgedrag.
• Zonder aanpassing voldoet de standaardconfiguratie niet aan de AVG.
• Door gegevens te anonimiseren (zoals het IP-adres), kun je Analytics gebruiken zonder voorafgaande toestemming — mits je ook een verwerkersovereenkomst met Google hebt afgesloten.

✅ Wat je moet doen om Google Analytics AVG-proof te maken

1. Sluit een verwerkersovereenkomst af met Google
   • Dit kan via je Google Analytics-accountinstellingen.
2. Anonimiseer IP-adressen
   • Voeg gtag('config', 'UA-XXXXXX-X', { 'anonymize_ip': true }); toe aan je trackingcode.
3. Schakel gegevens delen met Google uit
   • Voorkom dat Google je data gebruikt voor benchmarking of productverbetering.
4. Informeer je bezoekers
   • Vermeld het gebruik van Google Analytics in je privacyverklaring.
5. Gebruik een cookiebanner als je niet anonimiseert

• Zonder anonimisatie moet je expliciet toestemming vragen voor trackingcookies.

⚠️ Let op bij Google Analytics 4 (GA4)

• GA4 biedt betere privacyopties, maar stuurt nog steeds gegevens naar de VS, wat onder de AVG problematisch kan zijn.
• De Autoriteit Persoonsgegevens heeft eerder geoordeeld dat standaardgebruik van Google Analytics niet zonder meer is toegestaan.

Hoe sluit je een verwerkersovereenkomst met Google?

Een verwerkersovereenkomst met Google sluit je af via je Google-accountinstellingen, specifiek binnen de beheerdersomgeving van Google Analytics of Google Tag Manager. Deze overeenkomst is verplicht onder de AVG zodra je Google inschakelt voor het verwerken van persoonsgegevens namens jouw organisatie.

✅ Stappen om een verwerkersovereenkomst met Google te sluiten

Voor Google Analytics (Universal of GA4):

1. Log in op je Google Analytics-account
2. Klik op Beheerder (Admin) linksonder
3. Ga naar de Accountinstellingen (Account Settings)
4. Scroll naar beneden tot je het onderdeel Aanpassing van gegevensverwerking (Data Processing Amendment) ziet
5. Klik op Aanvullende voorwaarden bekijken of Data Processing Terms bekijken
6. Accepteer de voorwaarden — dit is je verwerkersovereenkomst

Voor Google Tag Manager:

1. Log in op https://tagmanager.google.com
2. Ga naar Beheerder > Accountinstellingen
3. Ook hier kun je de gegevensverwerkingsovereenkomst accepteren

📌 Belangrijk om te weten

• Deze overeenkomst is onderdeel van de Google Ads Data Processing Terms, die automatisch gelden zodra je deze accepteert.
• Je moet ook zorgen dat je gegevens delen met Google uitschakelt in je instellingen, tenzij strikt noodzakelijk.
• Vergeet niet om dit ook te vermelden in je privacyverklaring.

Moet een site eigenaar deze overeenkomst voor zijn domeinnaam afsluiten of mag de sitebouwer dit ook doen?

✅ Wie moet de verwerkersovereenkomst met Google afsluiten?

De site-eigenaar (verwerkingsverantwoordelijke) moet formeel verantwoordelijk zijn voor het afsluiten van de verwerkersovereenkomst met Google — niet de sitebouwer.

🧾 Waarom?

• Volgens de AVG is degene die bepaalt doel en middelen van de gegevensverwerking de verwerkingsverantwoordelijke.
• In de meeste gevallen is dat de organisatie achter de website — dus de eigenaar of exploitant van het domein.
• De sitebouwer is meestal een verwerker: hij voert technische taken uit namens de eigenaar, maar is niet juridisch verantwoordelijk voor de verwerking.

👨‍💻 Wat mag de sitebouwer wél doen?

• De overeenkomst technisch activeren in Google Analytics of Tag Manager namens de klant.
• Helpen met het instellen van IP-anonimisering, cookiebeheer en privacyteksten.
• Adviseren over AVG-compliance en documentatie.

Maar: de juridische verantwoordelijkheid ligt bij de eigenaar.
✅ Die moet weten dat de overeenkomst bestaat en ermee instemmen.

📌 Tip

Als jij de sitebouwer bent, kun je dit netjes oplossen door:

• De klant te informeren over de noodzaak van de verwerkersovereenkomst
• In je offerte of contract op te nemen dat je deze namens hen activeert
• Een korte bevestiging te vragen: “Ik geef toestemming om namens mij de verwerkersovereenkomst met Google te accepteren”

Toestemming voor het accepteren van de verwerkersovereenkomst met Google

Ik geef [naam sitebouwer / organisatie] toestemming om namens mij de verwerkersovereenkomst met Google te accepteren in het kader van het gebruik van Google Analytics op mijn website [domeinnaam]. Ik ben ervan op de hoogte dat ik als verwerkingsverantwoordelijke juridisch verantwoordelijk ben voor de verwerking van persoonsgegevens via deze dienst.

Datum: [invullen]
Naam: [invullen]
Handtekening (optioneel): [invullen]