Google Analytics zonder toestemming rechtmatig gebruiken: Zo doe je dat

Google Analytics is het meest populaire tracking-hulpmiddel, maar werpt ook veel vragen op over de bescherming van persoonsgegevens. In de standaardinstelling is zelfs een gebruik na toestemmingaanvraag nauwelijks wettelijk mogelijk. Er is echter een oplossing zonder cookie-publiek.

Inleiding

Het gebruiksveld van Google Analytics is divers. Hier zijn een aantal veelvoorkomende gevallen:

1. Statistiek (bezoekers teller)
2. Inhoud optimaliseren:
   • Harte's Tracken: Demografische evaluaties, gedragsanalyse, cross-site tracking van gebruikers
   • Paden van klikken
3. Optimalisatie van reclameadvertenties (conversietracking, retargeting)
4. Combinatie met Google Optimize (Splits tests)

Rein statistische evaluaties kunnen heel goed zonder _Google Analytic_s worden uitgevoerd. Hierfür adviseer ik Matomo zonder toestemming of Trackboxx (commercieel product van een Duitse aanbieder).

Het evalueren van klikpaden voor de optimalisatie van inhoud kan plaatsvinden via Matomo.

Voor A/B-tests, net als bij Google Optimize, zijn er waarschijnlijk ook data-privacyvriendelijkere oplossingen beschikbaar, waar ik hier niet op in kan gaan.

De optimalisatie van reclameadvertenties is technisch gezien het makkelijkst mogelijk met Google Analytics. Rechtelijk gezien is de complexiteit echter nauwelijks te beheersen. Als bewijs hiervoor mag de Google Tag Manager genoemd worden, die Google vriendelijk maar dwingend met Google Analytics gekoppeld heeft, hoewel dit niet noodzakelijk what. De Tag Manager alleen is rechtelijk nauwelijks te beheersen, zoals mijn eenvoudige onderzoek al aantoont.

Maar hoe ziet het er uit met de gebruikscasussen waarin Google Analytics zin heeft?

Juridische problemen met Google Analytics

Als netjes getoond, wordt de Google Tag Manager (GTM) vaak samen met Google Analytics gebruikt. Ik kan alleen maar aanraden om de GTM niet zonder toestemming te gebruiken. De GTM is zelfs helemaal niet nodig, laat staan voor het laden van Google Analytics.

Als u een Beheertool nodig heeft, neem dan iets anders of zoekt u iemand die kan programmeren. Een alternatief voor veelvoorkomende gevallen is mijn Untagmanager. Het helpt u niet verder en u vindt geen programmeur of wilt er niets voor betalen? Als de antwoord op deze vraag Yes is, dan is misschien het begrip gegevensbescherming nog niet diep genoeg in uw bewustzijn verankerd. Geen probleem, de markt en betrokken personen zullen het regelen.

Vanwege de door Google Universal Analytics gebruikte Cookies is een toestemming vereist. Dit volgt uit het vonnis van de BGH inzake Planet49. Hieruit volgt dat § 15 Abs. 3 TMG conformaat Art. 5 Abs. 3 van de ePrivacy-richtlijn moet worden toegepast.

De cookies zijn technisch niet noodzakelijk en vereisen dus een toestemming. Korte samenvatting: Google Analytics kan standaard zo worden ingesteld dat geen cookies worden gebruikt.

Auch zonder cookies is Google Analytics eenwilligungspflichtig. Hierdoor zijn meerdere redenen. Zie de link even in dit onderdeel. Wist u dat alle analyseresultatenaltijd in de VS verwerkt worden?

Tekstbron: Laut Art. 13 GDPR sind umfangreiche Informationspflichten zu Google Analytics zu erfüllen. Diese Pflichtinformationen werden oft auch als Gegevensbeschermingsinformatie bezeichnet. knowledge Sie, wie die zahlreichen mit Google Analytics erhobenen Daten vom Google-Konzern verarbeitet werden? Falls yes, bitte teilen Sie es mir mit, denn ich weiß es nicht. Auch für jedes einzelne Cookie sind Name, Zweck und Lebensdauer zu benennen. Kennen Sie die genauen Zwecke der Google Analytics-Cookies? Ich bestreibe es. Vertaling: Volgens [5]Artikel 13 GDPR[6] zijn uitgebreide informatieplichten inzake Google Analytics te vervullen. Deze plichtinformatie wordt vaak ook aangeduid als Gegevensbeschermingsinformatie. Weet u hoe de vele met Google Analytics verzamelde gegevens door het Google-concern worden verwerkt? Als yes, delen dan dat mee, want ik weet het niet. Ook voor elk afzonderlijk cookie moeten naam, doel en levensduur genoemd worden. Weet u de precieze doelen van de Google Analytics-cookies? Ik ontkenne het.

Andere problemen met Google Analytics

Wanneer Google Analytics zo wereldwijd wordt gebruikt, zijn websites die dit hulpmiddel gebruiken een gemakkelijk te herkennen en aantrekkelijk doelwit voor aanvallen.

Hackers kunnen Google Analytics gebruiken, om data van een gekompromitteerde website eenvoudig, onopvallend en vooral nauwelijks te herkennen uit te lezen. Het instellen van Firewall-regels, dit zou kunnen verhinderen, lijkt voor veel websites volledig onrealistisch.

Gebruikt een website Google Analytics, dan is het naar mijn ervaring bijna zeker dat de website gegevensbeschermingsregels schendt. Wie op zoek is naar een reden om te waarschuwen, zoekt misschien eerst naar websites die de Google-tracker gebruiken. Intussen heeft iedereen vast wel gemerkt dat Analytics een groot gevaar voor zich heeft.

Analyse zonder toestemming

De oplossing voor een veilig registreren van gebruikers zonder toestemming met behulp van Google Analytics is gebaseerd op een eenvoudig Grondgedachte. Voor de oplossing geldt uiteraard dat deze wordt uitgevoerd zonder technisch niet noodzakelijke cookies. Dit is mogelijk, omdat Google Analytics zonder cookies kan worden gebruikt.

Het lijkt me nuttig om een oplossing te vinden voor een aantal specifieke toepassingsgevallen. Het koppelen van Analyse-gegevens met Google Ads-gegevens is het geval dat het meest zinvol lijkt. Google Ads zijn een mogelijkheid om online reclame uit te zenden. Reclamanten willen graag weten hoe goed een reclame converteert en met welke zoekwoorden een conversie wordt bereikt. Dat kan allemaal ook zonder Google Analytics, maar wie weet dat al? En wil meer moeite nemen?

Misschien is het ook zinvol om de acties van de bezoeker op de website dieper te analyseren. Veel analyse-tools houden alleen vast hoe de klikroute van een bezoeker what en hoe lang hij op een pagina verbleef. Sommigen zijn misschien ook geïnteresseerd in het scrollgedrag van de gebruiker en dergelijke.

Een ding is duidelijk: Met het standaard-script van Google Analytics lukt een GDPR-conforme gebruik nauwelijks of helemaal niet.

Er zijn twee oplossingsmethoden, die verschillend presteerbaar en verschillend complex zijn.

Grondgedachte

De oplossing berust in het algemeen op het feit dat bij het volgen van events een Google-server niet rechtstreeks door het Google Analytics-script wordt aangeroepen. In plaats daarvan wordt de eigen server van de net bezochte website aangeroepen. De eigen server wordt dan geïnformeerd over het tracking event. De eigen server laat vervolgens informatie achter die een persoonlijke betekenis kunnen hebben. Het resterende data wordt naar het eigen Google Analytics-account gestuurd.

Het principe heet Proxy. Een proxy is een plaatsvervanger. Velen kennen de term zeker uit de netwerkwereld. Een proxy is soort van tunnel. Als de tunnel lang genoeg is, past de analogie zelfs helemaal goed. Want bij een lange tunnel weet men aan het einde van de tunnel niet wie er precies in de tunnel is gefahren. Om de analogie af te ronden, zou men moeten aannemen dat midden in de tunnel een bestuurderwisseling plaatsvindt, die van buiten de tunnel niet kan worden waargenomen.

Voor Google Analytics wordt dus een proxy gemaakt. De proxy tunnelt nu de tracking events over een eigen server. Bij dit tunnelingsproces worden gegevens met gebruikersrelatie geanonimiseerd of weggelaten. Hierdoor vervalt de verplichting om toestemming te vragen. Belangrijk is ook dat geen cookies worden gebruikt, want deze zouden een zogenaamde cookie-popup vereisen. Een cookie-popup zou eigenlijk een toestemmingsaanvraag of consent popup moeten heten. Overigens zou een cookie-popup voor een eigen oplossing zelfs wettelijk conform kunnen zijn, voor Google Analytics in de oorspronkelijke versie echter niet.

Oplossing 1: Directe aanroep bij paginaview

Deze benadering trackt alleen pagina-aanvraag. Hierbij wordt de systeemconfiguratie van het browsertype van de gebruiker meegenomen, wat een betere gegevensbasis betekent. Dit ken je uit de Google Analytics-standaard en is niets nieuws.

De GA-evenementen worden door de browser van de gebruiker naar een eigen server gestuurd. Daar worden gevoelige gegevens zoals de IP-adres van de gebruiker verwijderd of vervangen door hele andere waarden zonder persoonlijke betekenis voor derden. Wie zijn eigen IP-adres gebruikt voor GA-tracking events, geeft duidelijk aan dat hij zelf zijn eigen netwerkadres naar Google overdraagt.

const url = 'eigenes-analytics-script.php';
var data = {dt: doc.title,...};
data = serialize(data);
var sender = new XMLHttpRequest();
sender.open("POST", url, true);
sender.send(data);

De code laat zien hoe data van de browser naar een eigen PHP script gestuurd kunnen worden. In de variabele data staan alle waarden die overgebracht moeten worden. In het voorbeeld wordt de documenttitel naar de server gestuurd. De verzending geschiedt via HTTP Post, zodat geen problemen met de datagrootte ontstaan kunnen (omdat er bij GET een beperking is voor de datagrootte).

Op de server worden de tracking-gebeurtenissen vervolgens naar Google gestuurd. Google ontvangt, als het goed gedaan wordt, geen gegevens van een andere persoon. Het versturen naar Google kan analogeerd aan het oorspronkelijke tracking plaatsvinden, dus via posts naar een HTTP-adres zoals https://www.google-analytics.com/collect. Voor een debugging kan de adres https://www.google-analytics.com/debug/collect gebruikt worden. In plaats daarvan kan de Analytics Reporting API gebruikt worden, die schooner maar ook iets complexer lijkt.

Oplossing 2: Gebruik van het originele script

Eleganter, maar ook complexer en onderhoudsintensiever is het aanpassen van het originele Google Analytics Script. Het script wordt zo aangepast dat het gegevens niet naar google-analytics.com stuurt, maar naar een eigen server.

Het algemene verloop op eigen server om de gegevens door te sturen naar Google is analoog aan het eerste oplossingspad.

Gelegentlich geven er updates van het Google Analytics-script. Niet altijd moeten deze worden opgevolgd. Soms kan het zijn dat een update nodig is. Dan moet het aangepaste script vervangen worden door een nieuw aangepast script. Dat is mogelijk, betekent echter wat meer moeite. De moeite zal zich in grenzen houden en valt waarschijnlijk alleen elke paar maanden aan, als overigens.

Conclusie

Wie je wilt Google Analytics gebruiken, moet dit naar mijn mening op de beschrijfde manier gebeuren. De rechtsconforme oorspronkelijke variant is alleen na effectieve toestemming bruikbaar. Toestemming wordt echter zo goed als nooit verleend als deze correct wordt gevraagd. Bovendien rijst de vraag, welke gegevens Google op welke manier verwerkt.

Voor de meeste toepassingsgevallen zou Matomo in lokale installatie meer dan voldoende zijn. Wie WordPress gebruikt, kan ook op WP Statistics terugkomen.