Google Analytics 4 plaatst cookies of leest identificatoren van het apparaat en stuurt gebruiksgegevens naar Google (VS). Dat is geen technisch noodzakelijk proces.
In de praktijk betekent dit: de Google Analytics-tag mag pas worden uitgevoerd nadat bezoekers actief hebben ingestemd. Een banner die alleen wordt getoond terwijl GA op de achtergrond al laadt, voldoet niet aan de eis van § 25 lid 1 TDDDG — bepalend is dat vóór de toestemming geen script van googletagmanager.com of google-analytics.com wordt geladen en geen identifier wordt gezet.
Ook met werkende toestemming blijft de doorgifte naar de VS een apart controlepunt: sinds het EU-US Data Privacy Framework (adequaatheidsbesluit van 10 juli 2023) is de doorgifte naar Google LLC in beginsel gewaarborgd zolang Google onder het framework gecertificeerd is. In de privacyverklaring horen toch de ontvanger, het doel, de rechtsgrond (toestemming), de bewaartermijn en de doorgiftegrondslag te worden genoemd.
Wie Google Consent Mode v2 gebruikt, zou het verschil tussen «basic» en «advanced» moeten kennen: in de advanced-modus stuurt GA al vóór de toestemming anonieme, cookieloze pings. Of dat verenigbaar is met § 25 TDDDG wordt onder privacydeskundigen verschillend beoordeeld — de basic-modus (helemaal geen communicatie vóór toestemming) is de behoudendere keuze.
Twee GA4-instellingen zijn bijzonder relevant voor gegevensbescherming en staan standaard ongunstig: «Google-signalen» (Beheer → Gegevensinstellingen → Gegevensverzameling) koppelt gedrag aan ingelogde Google-accounts voor cross-device-tracking en advertentiedoelgroepen — voor een eenvoudige bereikmeting kan die uit blijven. En de «Bewaring van gebeurtenisgegevens» (Gegevensinstellingen → Gegevensbewaring) staat op 2 maanden als zuinige waarde; 14 maanden is het maximum en alleen verdedigbaar met een gedocumenteerde reden. De optie «Opnieuw instellen bij nieuwe activiteit» verlengt de bewaring feitelijk onbeperkt en zou uitgeschakeld moeten zijn.
Server-side tagging (GA4 via een eigen Google Tag Manager-servercontainer) is geen manier om de toestemming te omzeilen. De meethit wordt weliswaar via het eigen domein verzonden, maar de client-ID wordt nog steeds in de browser gezet of gelezen, en de gegevens komen uiteindelijk toch bij Google terecht. Het voordeel zit in betere datakwaliteit en controle over wat wordt doorgegeven — de servercontainer moet de toestemmingscontrole net zo afdwingen als de client-side tag.
Toegang tot het apparaat voor analysedoeleinden is volgens § 25 lid 1 TDDDG alleen toegestaan met voorafgaande toestemming; de verwerking daarna steunt op art. 6 lid 1 sub a AVG. Zonder werkende toestemming (tool laadt ondanks weigering, of geen banner) ontbreekt de rechtsgrond. Toezichthouders hebben herhaaldelijk bezwaar gemaakt tegen Analytics-integraties zonder toestemming.
De gratis scan controleert de geleverde HTML en toont welke diensten zijn ingebed, of er een cookiebanner wordt gedetecteerd en of links naar privacy en colofon aanwezig zijn — met duiding per bevinding. Hij is geen vervanging voor juridisch advies.
Deze tekst is algemene informatie naar beste weten, geen juridisch advies. Raadpleeg voor een individueel geval een kantoor gespecialiseerd in IT-recht.