Google analytics, brr. Die JavaScript staat in mijn browser altijd uit. Maar goed, de vraag is wat juridisch mag geloof ik, de meningen in dit topic zullen te raden zijn. Even stukje voor stukje:
Ik kijk momenteel of het toegestaan is om Google Analytics te gebruiken voor een intern online platform binnen een grote overheidsinstantie. Vooral om inzicht te hebben in bezoekersaantallen en -navigatie - weten is immers kunnen verbeteren. Helaas is GA hiervoor op de korte termijn de enige mogelijke optie
Voor een intern platform zou je je ook kunnen afvragen of analytics echt nodig zijn. Het verbeteren is immers niet om bezoekers aan te trekken (die zitten al aan je vast) of om het zo verkoopbaar of verslavend mogelijk te maken, maar om hun op een zo niet-ergerlijk en efficiënt mogelijk manier te kunnen laten werken. Wellicht dat gewoon uitvragen wat je medewerkers vinden in dat geval net zo goed werkt, men is vaak heel goed in staat om te zeggen wat ze omslachtig of moeilijk vinden, of waar ze om een andere reden verandering in willen zien.
Als je toch echt per se die GA wil, dan zou ik vooral je security/privacy mensen erbij halen (ik neem aan dat jullie als overheid die gewoon in dienst hebben, of uitbesteed hebben bij een partij waar je de vraag kan stellen) en desnoods contact opnemen met het AP om te discuseren. Ze zullen nooit een vast "dit is correct" geven, maar wel pointers waar je op moet letten. Het hele onderwerp zal wel iets complexer gaan dan je als antwoord in een Tweakers thread zal krijgen, en er zijn ook dingen die afhangen van interne informatie. Schakel dus gewoon een professional in

.
Van wat ik nu begrijp, verzamelt Google via tags informatie over bezoekers, en gebruikt die data alleen om hun dienst GA mogelijk te maken. Als in: als klant van Google blijf je eigenaar van alle data, en Google slaat deze alleen op en gebruikt deze alleen om jou als klant inzicht in die data te geven. Je kunt dus GDPR/AVG-compliant zijn met Google Analytics (al kost dat wat moeite begrijp ik met het inregelen).
Compliant zijn kan, maar enorm non-compliant zijn ook.
Ten eerste, "alles goed inregelen" betekend ook een goede cookiebanner. Tracking JavaScript valt ook onder de e-privacy richtlijn (aka cookiewet). Hoewel sommige claimen dat je het zo kan instellen dat er geen toestemming nodig is, is dat naar mijn mening toch wel een dubieus randje opzoeken. Zorg dus als je het netjes wil doen dat je toestemming vraagt voordat je het gebruikt.
Daarna moet je ook nog opletten wat je daar heen stuurt. Het kan op heel veel manieren ingesteld worden. Je kan bijv. identifiers gebruiken welke anoniem
zouden moeten zijn. Dit is een heel stuk minder ingrijpend dat de optie om gehashed naam, adress, telefoonnummer, etc mee te geven. Ook omdat een hash een pseudoniem is, en niet anoniem. En pseudoniemen zijn nog steeds persoonsgegevens.
Let er voor de AVG vooral op dat persoonsgegevens enkel met expliciete toestemming voor dat gebruik mogen worden verwerkt, en dat die toestemming optioneel moet zijn en ingetrokken moet kunnen worden. Die marketingpersoon die een verzoek indiende omdat die dacht dat hij wel gehashde persoonsgegevens naar Google Analytics mocht sturen want ze hadden die gegevens zelf gegeven toen ze een product afnamen heb ik keihard afgekeurd, zelfs al kostte dat me drie dagen discussiëren (true story). Blij dat we momenteel iemand hebben die erop toeziet dat mensen toestemming vragen aan de security & compliance afdeling, want dat gebeurd ook niet overal helaas.
Dit zijn dingen die ik persoonlijk vaak mis heb zien gaan, maar zeker niet alles waar je op moet letten.
Het grote risico is echter, dat Google onder de Amerikaanse wetgeving valt en je data dus eventueel door de Amerikaanse overheid ingezien kan worden? Klopt dit of bekijk ik het nu te rooskleurig of eenvoudig? Is informatie die doorgestuurd wordt naar Google Analytics veilig, of bestaat er een groot risico dat ik mis?
Buiten het feit dat vertrouwen op Amerikaanse Big Tech juist iets is dat we, en zeker de overheid, zouden moeten ontmoedigen als we niet afhankelijk willen blijven, en dat je Google altijd deels op z'n blauwe ogen moet geloven terwijl ze niet de beste reputatie hebben waardoor je al vragentekens zou moeten hebben.
Het juridische antwoord zal liggen aan wat jouw bedrijf afspreekt/eist van Google. Data die enkel in de EU opgeslagen is en waar enkel de Europese tak van Google "bij mag", is juridisch al heel wat anders dan data die buiten de EU wordt opgeslagen of waar de Amerikaanse tak ook bij mag. Ik weet niet hoe ruim de opties zijn vaan GA, maar in het algemeen verschilt het nog wel, ook afhankelijk van je grote als bedrijf. Ik kan me indenken dat de kleinere takken van de overheid weinig eisen kunnen stellen, maar grotere wel meer. Nogmaals, beste schakel je security experts in die jouw casus specifiek kunnen beoordelen.
Of je Google vertrouwd niet stiekem dingen naar de US te sturen, of dat ze vanuit daar je data gebruiken, als je contract zegt dat het niet mag? Tja, ik persoonlijk niet. Maar genoeg bedrijven die dat wel doen.
I could write a whole Wikipedia page why "nothing to hide" is bad reasoning, but I don't have to because it already exists.