De AVG (in het Engels GDPR) is de wereldwijde maatstaf voor privacywetgeving. Het is een EU-wet, maar ze raakt elk bedrijf met bezoekers uit de EU. Voor analytics is de AVG duidelijk: je hebt uitdrukkelijke toestemming nodig voordat je het meeste gebruikersgedrag volgt, je moet je rechtsgrond vastleggen en je moet de rechten van gebruikers respecteren om hun data in te zien en te laten verwijderen. De AVG begrijpen is de basis voor analytics die overal aan de regels voldoet.
De kerneisen van de AVG voor analytics
De AVG omschrijft persoonsgegevens breed: alles wat een persoon direct of indirect kan identificeren. Een IP-adres is een persoonsgegeven. Een unieke cookie is een persoonsgegeven. E-mailadressen, telefoonnummers en identifiers vallen allemaal onder de AVG. Voor analytics betekent dit dat bijna alle tracking onder de eisen van de AVG valt.
De eis van toestemming
De AVG eist uitdrukkelijke, geïnformeerde toestemming voordat je de meeste persoonsgegevens mag verzamelen. Dat betekent: de gebruiker moet actief akkoord gaan (niet alleen nalaten zich af te melden), moet begrijpen waarmee hij of zij akkoord gaat (niet verstopt in juridisch jargon) en de toestemming moet vrij gegeven zijn (niet afgedwongen). Voor analytics betekent dit meestal een cookiebanner die duidelijk uitlegt welke tracking je doet en een actieve klik op "Ik ga akkoord" vraagt.
Toestemming is de meest gebruikte rechtsgrond voor analytics onder de AVG. Sommige bedrijven beroepen zich op "gerechtvaardigd belang", maar rechters hebben dat sterk ingeperkt. Ga er bij de meeste analytics-toepassingen van uit dat je toestemming nodig hebt.
Gerechtvaardigd belang als alternatief
Sommige analytics-doelen, zoals fraudedetectie, beveiliging van de site en basismonitoring van prestaties, mogen onder "gerechtvaardigd belang" zonder uitdrukkelijke toestemming. Maar gerechtvaardigd belang vraagt: de zakelijke behoefte moet echt zijn, de dataverzameling moet in verhouding staan tot die behoefte en de privacyrechten van gebruikers mogen niet zwaarder wegen dan jouw belang. De meeste analytics haalt die toets niet. Ga ervan uit dat je voor de meeste tracking toestemming nodig hebt.
De verwerkersovereenkomst
Gebruik je een analytics-tool van een andere partij (zoals Google Analytics), dan heb je een verwerkersovereenkomst nodig met die leverancier. Die legt vast dat de leverancier jouw verwerker is en geen zelfstandige verwerkingsverantwoordelijke. Zonder verwerkersovereenkomst kun je aansprakelijk zijn voor wat de leverancier doet. Met een overeenkomst is de verantwoordelijkheid helder verdeeld.
Rechten van gebruikers onder de AVG
De AVG geeft mensen zes hoofdrechten die analytics raken: het recht om te weten welke data je hebt (recht op inzage), het recht om onjuiste data te laten corrigeren, het recht om data te laten verwijderen (recht op vergetelheid), het recht om de verwerking te beperken, het recht op dataportabiliteit en het recht om bezwaar te maken tegen verwerking.
Recht op inzage
Gebruikers kunnen vragen om alle data die je over hen hebt. Je moet binnen 30 dagen reageren met een compleet overzicht. Voor analytics betekent dit dat je systemen nodig hebt om data van individuele gebruikers op te halen en weer te geven. Staat je analytics-data zo opgeslagen dat ophalen lastig is, dan heb je een probleem met de AVG.
Recht op vergetelheid
Gebruikers kunnen vragen om verwijdering van hun data. Je moet daar binnen 30 dagen aan voldoen (met enkele uitzonderingen voor wettelijke verplichtingen). Voor analytics betekent dit dat je individuele gebruikersgegevens moet kunnen verwijderen. Is je analytics-data samengevoegd of geanonimiseerd, dan is dat makkelijker. Is ze gekoppeld aan individuele identiteiten, dan heb je systemen voor verwijdering nodig.
Recht van bezwaar
Gebruikers kunnen bezwaar maken tegen elke verwerking van hun data. Je moet stoppen (tenzij je een dwingende wettelijke reden hebt om door te gaan). Voor analytics betekent dit dat gebruikers zich makkelijk moeten kunnen afmelden voor tracking. Afmelden moet net zo makkelijk zijn als aanmelden.
De AVG in de praktijk
Naleving van de AVG voor analytics vraagt om: een duidelijke, makkelijk te vinden privacyverklaring, een cookiebanner die uitdrukkelijke toestemming vraagt voordat je gaat volgen, een verwerkersovereenkomst met je analytics-leverancier, systemen om binnen 30 dagen te reageren op verzoeken om inzage en verwijdering, en de mogelijkheid voor gebruikers om toestemming op elk moment in te trekken.
Veelvoorkomende overtredingen van de AVG in analytics
Vooraf aangevinkte vakjes voor toestemming: de gebruiker moet zelf klikken om toestemming te geven. Een vakje dat al is aangevinkt, is geen geldige toestemming.
Gebundelde toestemming: gebruikers moeten apart toestemming geven voor analytics. Je mag toestemming voor analytics, marketing en andere doelen niet samenvoegen in één schakelaar.
Geen overeenkomsten met leveranciers: een analytics-tool van een andere partij gebruiken zonder verwerkersovereenkomst is een overtreding. De werkwijze van de leverancier is jouw verantwoordelijkheid.
Geen afmeldmogelijkheid: is toestemming nodig voor tracking, dan moeten gebruikers een duidelijke manier hebben om zich af te melden. Verborgen afmeldlinks tellen niet.
Onmogelijke verwijdering: beloven dat je data verwijdert maar daar de systemen niet voor hebben, is een overtreding. Verwijdering moet technisch mogelijk zijn.
De AVG en gegevensdoorgifte
De AVG beperkt het doorgeven van data van inwoners van de EU naar landen buiten de EU, tenzij er gelijkwaardige bescherming is. Slaat je analytics-leverancier data op in de VS, dan heb je een wettelijk mechanisme nodig (standaardcontractbepalingen, bindende bedrijfsregels) om de doorgifte AVG-conform te maken. Dit is een veelvoorkomend knelpunt voor analytics-teams. Veel Amerikaanse tools bieden nu EU-servers of garanties voor dataopslag in de EU om dit op te lossen.
Waarin verschilt toestemming onder de AVG van gerechtvaardigd belang? Waarom niet op gerechtvaardigd belang leunen voor analytics?
Toestemming is uitdrukkelijk aanmelden. Gerechtvaardigd belang betekent claimen dat je zakelijke behoefte zwaarder weegt dan privacyzorgen. Rechters hebben gerechtvaardigd belang ingeperkt omdat bedrijven het misbruikten. Voor analytics: het volgen van paginaweergaven voor prestaties kan als gerechtvaardigd belang gelden. Gedetailleerde gedragstracking waarschijnlijk niet. Europese toezichthouders zeggen: is het voor marketing of gedragsanalyse, vraag dan toestemming. Ga er niet van uit dat gerechtvaardigd belang werkt. De veilige aanpak: behandel analytics als iets waar toestemming voor nodig is.
Wat betekent duidelijke uitleg in een cookiebanner echt?
Duidelijk betekent leesbare gewone taal, geen juridisch jargon. Specifiek betekent dat je zegt wat je volgt, niet vage zinnen zoals "je ervaring verbeteren". Voorbeeld van vaag: "We gebruiken analytics-cookies." Voorbeeld van duidelijk: "We gebruiken Google Analytics om paginabezoeken, klikken op knoppen en tijd op de pagina te meten om de site te verbeteren." Neem op: de naam van de tool, wat die verzamelt, waarom je het verzamelt, de bewaartermijn en of je het deelt met derden. Test: kan iemand zonder technische kennis begrijpen wat je volgt zonder door te klikken naar je privacyverklaring? Zo ja, dan is het duidelijk genoeg.
Heb ik een verwerkersovereenkomst nodig met Google Analytics, of alleen met gespecialiseerde leveranciers?
Je hebt een verwerkersovereenkomst nodig met elke tool die persoonsgegevens verwerkt. Google Analytics verwerkt persoonsgegevens (IP's, sessies, gebruikers-ID's), dus ja. Google biedt automatisch een verwerkersovereenkomst via hun voorwaarden. Controleer: log in bij Google Analytics en bevestig dat je hun Data Processing Amendment hebt geaccepteerd. Gespecialiseerde analyticsleveranciers verwerken ook persoonsgegevens, dus ook met hen heb je een overeenkomst nodig. De meeste bieden die in hun voorwaarden of als apart document. Vuistregel: raakt een leverancier persoonsgegevens aan, dan heb je een verwerkersovereenkomst nodig. Kun je er geen krijgen, gebruik die leverancier dan niet.
Wat is het verschil tussen standaardcontractbepalingen en adequaatheidsbesluiten?
Beide zijn manieren om data wettelijk buiten de EU door te geven. Een adequaatheidsbesluit betekent dat de EU heeft bepaald dat een land gelijkwaardige privacybescherming heeft (de VS heeft er geen). Standaardcontractbepalingen (SCC's) zijn contracten met leveranciers waarin die zich aan EU-normen binden. Praktisch verschil: adequaatheidsbesluiten zijn simpeler, SCC's vragen om contracten. Voor analytics bieden de meeste leveranciers (waaronder Google) SCC's in hun verwerkersovereenkomsten. Vraag je leverancier: bieden jullie standaardcontractbepalingen voor doorgifte van EU-data? Zo ja, gebruik die. Zo nee, gebruik alleen leveranciers met dataopslag in de EU.
Als ik een verzoek om inzage krijg, wat moet ik dan precies uit analytics geven?
Alles wat je over die persoon hebt, in leesbare vorm. Uit Google Analytics: alle sessies en events (als je gebruikers-ID's volgt) of sessie-ID's. Neem op: datums, bezochte pagina's, getriggerde events, tijd op de pagina en alle persoonlijke gegevens (namen, e-mailadressen). Uit andere systemen: heatmaps, sessieopnamen, gedragstracking. Exporteer als pdf of HTML, niet als ruwe database-dump. De gebruiker moet het zonder technische kennis kunnen begrijpen. Kun je data van een individuele gebruiker niet makkelijk ophalen, dan heb je een probleem met de AVG. De meeste platformen kunnen per gebruiker exporteren. Kan die van jou dat niet, stap dan over of bouw een eigen export.
Mijn concurrent heeft geen cookiebanner en volgt gebruikers. Hoe voldoen zij aan de AVG?
Ze doen een van deze dingen: (1) Ze voldoen niet echt aan de AVG en hopen dat toezichthouders ze niet pakken (riskant). (2) Ze beweren dat hun tracking een gerechtvaardigd belang is (rechters zijn sceptisch). (3) Ze volgen alleen geanonimiseerde of samengevoegde data (geen toestemming nodig). (4) Ze gebruiken alleen noodzakelijke cookies (inloggen, CSRF, geen toestemming nodig). (5) Ze werken waar handhaving van de AVG zwak is. De werkelijkheid: veel bedrijven overtreden de AVG en worden nooit gepakt. Maar het risico is echt: één klacht leidt tot onderzoek en boetes. Slimme aanpak: ga ervan uit dat de AVG geldt als je bezoekers uit de EU hebt, regel toestemming goed en reken niet op de overtredingen van concurrenten.