Cookies en analytics hangen nauw samen. De meeste analytics gebruikt cookies om gebruikers over pagina's en sessies heen te volgen. Privacywetten eisen toestemming voordat je de meeste cookies mag plaatsen. Dat roept een basisvraag op: hoe krijg je goede analytics-data en respecteer je tegelijk de eisen voor toestemming? Het antwoord begint bij begrijpen voor welke cookies toestemming nodig is en tracking die rekening houdt met toestemming.
Waarom cookies onder de privacyregels vallen
Een cookie is een klein bestand in de browser van een gebruiker. Analytics-cookies herkennen en volgen gebruikers over sessies heen. Vanuit privacy is een analytics-cookie een persoonsgegeven (het identificeert een individuele gebruiker). Privacywetten eisen toestemming voordat je persoonsgegevens opslaat. Dat betekent: voordat je een analytics-cookie plaatst, heb je uitdrukkelijke toestemming van de gebruiker nodig.
Uitzonderingen: cookies waar geen toestemming voor nodig is
Niet voor alle cookies is toestemming nodig. De AVG en vergelijkbare wetten staan "strikt noodzakelijke" cookies toe zonder toestemming. Dat zijn cookies die onmisbaar zijn voor de werking van de site: sessiecookies die gebruikers ingelogd houden, beveiligingscookies die fraude opsporen en cookies voor navigatie op de site. Is een cookie echt nodig om de site te laten werken, dan kunnen gebruikers de site gebruiken zonder ermee in te stemmen.
De meeste analytics-cookies halen die toets niet. Ze dienen om gedrag van gebruikers te begrijpen, niet om functionaliteit te leveren. Conclusie: voor de meeste analytics is toestemming nodig.
De eis van toestemming vóór tracking
De privacywet is duidelijk: je moet om toestemming vragen voordat je analytics-cookies plaatst. De cookiebanner moet verschijnen voordat de analytics-cookie wordt geplaatst. Een veelgemaakte fout: eerst de analytics-cookie plaatsen en dan om toestemming vragen. Dat is een overtreding. De volgorde is: eerst toestemming, daarna tracking.
Het effect op analytics-data
Toestemming eisen heeft meerdere gevolgen voor analytics: minder gevolgde gebruikers (sommige gebruikers weigeren), onvolledige sessies (tracking begint na toestemming en mist de eerste paginaweergave) en selectiebias (gebruikers die toestemming geven kunnen structureel anders zijn dan wie dat niet doet).
Dataverlies door geweigerde toestemming
Weigeren gebruikers toestemming, dan mis je trackingdata van die gebruikers. Onderzoeken uit de branche laten zien dat het aandeel weigeraars verschilt: 20 tot 40% is gebruikelijk, maar kan boven de 50% uitkomen, afhankelijk van het ontwerp van de banner en hoe handig gebruikers zijn. Dat betekent dat je een flink deel van de bezoekers niet volgt. Je analytics blijft altijd onvolledig.
Dit is de afweging. Naleving betekent dataverlies. Het alternatief, tracking zonder toestemming, is illegaal en veel duurder als je wordt betrapt (boetes zijn hoger dan elke gemiste analytics-waarde).
Problemen met volledige sessies
Geeft een gebruiker toestemming op de eerste pagina, dan leg je die pagina vast. Geeft die toestemming op de derde pagina, dan mis je de eerste twee. Dat maakt sessies die onvolledig lijken. Gebruikers klikken vaak weg voordat ze de banner zien, waardoor je data van die routes mist.
Selectiebias in je data
Gebruikers die toestemming geven, zijn geen representatieve groep. Privacybewuste gebruikers weigeren vaker. Technisch onderlegde gebruikers weigeren vaker. Gebruikers in bepaalde regio's hebben een ander patroon in toestemming. Je analytics scheeft naar bezoekers die minder om privacy geven.
De gevolgen opvangen
Accepteer dat toestemming het datavolume verlaagt. Compenseer door strenger te zijn op datakwaliteit: zorg dat de data die overblijft nauwkeurig en compleet is. Gebruik server-side analytics (die zonder cookies kan werken) om sessies vast te leggen waarvan gebruikers tracking in de browser weigeren. Houd bij het lezen van resultaten rekening met de selectiebias.
Consent modes en adaptieve analytics
Veel analytics-platformen (waaronder Google Analytics) bieden "consent modes" die netjes terugvallen. Weigert de gebruiker volledige tracking, dan schakelt de tool over op anonieme of samengevoegde tracking. Zo houd je wat data, ook als gebruikers niet volledig instemmen.
Consent modes verschillen per platform. Google Consent Mode V2 werkt met hun Tag Manager en Analytics en maakt gedeeltelijke tracking mogelijk als gebruikers cookies weigeren. Andere platformen hebben vergelijkbare opties. Die zijn de moeite waard om in te richten als je analytics-tool ze biedt.
Beste aanpak: een opzet die uitgaat van toestemming
De beste aanpak is je tracking vanaf het begin rond toestemming te bouwen. Volg wat je zonder cookies kunt volgen (server-side events, first-party data). Vraag alleen toestemming voor wat er echt voor nodig is (analytics van derden, marketingpixels). Maak het proces van toestemming duidelijk en makkelijk.
Heb ik toestemming nodig voor alle cookies?
Niet voor strikt noodzakelijke cookies (onmisbaar voor de werking van de site: inlogsessies, beveiliging, navigatie). Voor analytics- en marketingcookies heb je wel toestemming nodig.
Wat gebeurt er als ik een analytics-cookie plaats voordat ik toestemming heb?
Je overtreedt de AVG en vergelijkbare wetten. De straf kan flinke boetes zijn. Je moet om toestemming vragen voordat je de cookie plaatst, niet erna.
Hoeveel data mis ik als gebruikers toestemming weigeren?
Meestal 20 tot 40%, soms meer. Dat verschilt per publiek en ontwerp van de banner. Privacybewuste gebruikers weigeren vaker. Ga ervan uit dat je een betekenisvol deel van je analytics-data mist.
Wat is Google Consent Mode V2?
Het is een functie in Google Analytics die wisselt tussen modi op basis van toestemming. Volledige modus met cookies als de gebruiker toestemming geeft, beperkte modus zonder cookies als die dat niet doet. Zo kun je wat data vastleggen, ook als toestemming is geweigerd.
Kan ik gebruikers anoniem volgen zonder toestemming?
Ja, als het echt geanonimiseerd is (het is onmogelijk om individuen te herkennen). De meeste analytics-leveranciers zeggen te anonimiseren, maar voegen eigenlijk alleen samen, en dan is volgen nog steeds mogelijk. Echte anonimisering is zeldzaam en beperkt hoe nuttig analytics is.
Beïnvloedt toestemming hoe goed ik conversies kan meten?
Ja, als conversies afhangen van tracking over meerdere pagina's of sessies. Je meet alleen conversies van gebruikers die toestemming gaven. Je conversiecijfers zijn dan lager dan je echte conversiepercentage.