Zelfdoen: jouw website AVG compliant

De kans is groot dat je gebruik maakt van Google Analytics (GA) en dan verwerk je met analytische cookies persoonsgegevens van jouw websitebezoekers. En omdat je waarschijnlijk ook geen toestemming vraagt voor het plaatsen van deze analytische cookies, is het noodzakelijk om jouw GA privacyvriendelijk in te stellen zodat je voldoet aan de Algemene Verordening Gegevensbescherming (AVG), voorheen de Wet bescherming persoonsgegevens (Wbp).

1. Bewerkersovereenkomst met Google afsluiten

Op grond van de AVG moet je als verantwoordelijke een bewerkersovereenkomst afsluiten met Google. Hierin is vastgelegd dat Google alleen als bewerker optreedt bij de verwerking van de persoonsgegevens van jouw websitebezoekers. Je kunt deze overeenkomst aangaan via het instellingenmenu van GA.

1. Log in bij Google Analytics.
2. Klik op Beheerder.
3. Gebruik in de kolom ACCOUNT het menu om het account te selecteren waarvoor u de instellingen wilt updaten. Als u veel accounts heeft, kunt u het zoekvak gebruiken om het juiste account te vinden.
4. Klik in de kolom ACCOUNT op Accountinstellingen.
5. Klik onder Amendement voor gegevensverwerking op Amendement bekijken. Of als je het Amendement al eerder geaccepteerd hebt, klik je op Aanpassingen bekijken.
6. Nadat u het amendement heeft bekeken, klikt u op Gereed.
7. Klik nogmaals op Gereed om uw accountinstellingen op te slaan.

Als u de Voorwaarden voor gegevensverwerking accepteert, moet u ook de volgende informatie verstrekken:

• Juridische entiteit: een juridische entiteit is de geregistreerde naam van jouw organisatie die wordt gebruikt voor de adressering van financiële en juridische aangelegenheden. Jouw organisatie kan meerdere juridische entiteiten hebben.
• Primair contact (ook bekend als 'e-mailadres voor meldingen'): de contactpersoon aan wie berichten met betrekking tot de Voorwaarden voor gegevensverwerking van Google Ads worden verzonden.
• Functionaris voor gegevensbescherming: de persoon die (waar van toepassing) zorgt dat de vereisten van de AVG worden nageleefd.
• EER-vertegenwoordiger: de persoon die (waar van toepassing) klanten vertegenwoordigt die niet zijn gevestigd in de EU met betrekking tot hun verplichtingen volgens de AVG.

2. Google niet het volledige IP-adres laten verwerken (Anonymize IP)

IP4-IP-adressen bestaan uit 4 zogeheten octetten van elk 3 cijfers. Google biedt de mogelijkheid om het laatste octet van het IP-adres van uw websitebezoekers te verwijderen. Dit gebeurt in tijdelijk geheugen, nog voordat het IP-adres door Google wordt opgeslagen. Google noemt dit 'anonimiseren'.
De Autoriteit Persoonsgegevens (AP) vindt dat het resterende deel van het IPv4-adres nog steeds een persoonsgegeven is. Het gaat bij IPv4 namelijk om een groep van maximaal 256 computers. Maar de AP vindt het verwijderen van het laatste octet wél een belangrijke maatregel om de risico's voor jouw websitebezoekers te verkleinen.

3. Gegevens delen met Google uitzetten

In de standaardinstellingen van Google Analytics is aangevinkt dat u gegevens deelt met Google voor de volgende 5 doelen:

• producten en services van Google (verbetering hiervan);
• benchmarking (vergelijking van geaggregeerde gegevens met andere websites);
• technische ondersteuning;
• accountspecialisten (toegang voor -);
• Google-verkopers/salesexperts (toegang voor -).

Als je deze standaardinstellingen niet wijzigt, ga je ermee akkoord dat Google de verzamelde persoonsgegevens van jouw bezoekers voor eigen doeleinden gebruikt. Bijvoorbeeld voor het maken van benchmarks van de prestaties van vergelijkbare websites en voor verbetering van andere Googleproducten en diensten. Hierdoor treedt Google niet louter meer op als jouw bewerker, maar ook als verantwoordelijke. Je dient in dat geval toestemming aan bezoekers te vragen namens Google voor de verwerkingen van persoonsgegevens met Analytics-cookies.

Als het goed is ben je nog ingelogd in je GA-account. Zo niet, herhaal dan de eerste 4 stappen bij punt 1. Om gegevens delen met Google uit te zetten, vink alle 5 de opties uit.

4. Gegevens delen met Google voor advertentiedoeleinden uitzetten

Als je stap 3 heeft uitgevoerd, kan Google nog steeds gegevens van jouw websitebezoekers gebruiken, namelijk voor advertentiedoeleinden. Dit moet je op een andere plek uitschakelen. Je doet dat als volgt:

• Van Accountinstellingen ga je terug naar het overzicht met de 3 kolommen Account | Property | Weergave.
• In de kolom Property klik je op Trackinginfo.
• Selecteer de optie Gegevensverzameling.
• Je ziet nu twee opties waardoor Google de Analytics-gegevens alsnog voor advertentiedoeleinden kan gebruiken.
• Als je ook een advertentieproduct van Google gebruikt, staan deze twee opties standaard aangevinkt.
• Klik deze twee opties uit en klik op Opslaan.

5. Niet per ongeluk de functie voor User ID's inschakelen

Google biedt de mogelijkheid om surfgedrag van verschillende apparaten en meerdere sessies te koppelen. Dit mag alleen met voorafgaande toestemming van gebruikers. Controleer daarom of deze instelling niet per ongeluk staat ingeschakeld:

• In de kolom Property bij Trackinginfo selecteer de optie Gebruiker-ID.

6. Informeren over gebruik Analytics

Je mag met GA-cookies persoonsgegevens van uw websitebezoekers verwerken zonder hun voorafgaande toestemming maar je moet jouw bezoekers hierover wél informeren, bijvoorbeeld via jouw privacybeleid. Neem hierin op dat je:

• Google Analytics-cookies gebruikt;
• een bewerkersovereenkomst met Google hebt gesloten;
• het laatste octet van het IP-adres hebt gemaskeerd;
• 'gegevens delen' hebt uitgezet;
• geen gebruik maakt van andere Google-diensten in combinatie met de Google Analytics-cookies.