Een paar maanden lang leek het er in 2022 op dat Google Analytics in Europa onbruikbaar zou worden. De ene toezichthouder na de andere oordeelde dat een standaardinstallatie in strijd was met de AVG. De Nederlandse Autoriteit Persoonsgegevens waarschuwde website-eigenaren bovendien openlijk dat het gebruik ervan mogelijk binnenkort niet meer zou zijn toegestaan.
In juli 2023 spraken de EU en de VS vervolgens een nieuw kader voor gegevensoverdracht af, waarna de discussie verstomde. Veel website-eigenaren gingen ervan uit dat het probleem was opgelost en lieten het onderwerp rusten.
Het Data Privacy Framework regelt internationale doorgiften aan deelnemende Amerikaanse bedrijven. Het zegt niets definitiefs over cookietoestemming, gegevensminimalisatie of de rechtsgrond voor het verzamelen van analyticsgegevens. Die punten moet je nog altijd afzonderlijk beoordelen.
Waarom Google Analytics een AVG-probleem werd
Het begon met het Schrems II-arrest van juli 2020. Het Hof van Justitie van de EU verklaarde het EU-VS-privacyschild ongeldig, omdat Amerikaanse surveillancewetgeving Europeanen geen bescherming bood die in wezen gelijkwaardig was aan wat de AVG vereist. Bedrijven mochten voor doorgiften nog wel standaardcontractbepalingen gebruiken, maar alleen als zij de wetgeving van het bestemmingsland beoordeelden en waar nodig aanvullende maatregelen namen.
Een maand later diende privacyorganisatie noyb in de hele EU 101 klachten in tegen websites die bezoekersgegevens naar Google en Facebook bleven sturen. De nationale toezichthouders moesten vervolgens beoordelen of een gebruikelijke Google Analytics-configuratie aan de eisen na Schrems II kon voldoen.
De kern van het probleem was eenvoudig. Google Analytics verzamelt identificatoren zoals cookie-ID's en IP-adressen, die onder de AVG als persoonsgegevens gelden. Die gegevens gingen naar Google LLC, een Amerikaans bedrijf dat onder Amerikaanse surveillancewetgeving valt. De toezichthouders moesten bepalen of de waarborgen van Google afdoende waren.
Wat de toezichthouders besloten
De Oostenrijkse toezichthouder was de eerste. In januari 2022 oordeelde deze dat het gebruik van Google Analytics door een gezondheidswebsite in strijd was met de AVG-regels voor internationale doorgiften. De aanvullende maatregelen van Google, waaronder versleuteling en IP-anonimisering, verhinderden volgens de toezichthouder niet dat Amerikaanse autoriteiten toegang tot de gegevens konden krijgen.
De Franse CNIL volgde in februari 2022 met een formele ingebrekestelling van een websitebeheerder. Later publiceerde de toezichthouder richtsnoeren waarin stond dat Google Analytics in de toenmalige configuratie niet rechtmatig kon worden gebruikt. Een proxy die identificerende gegevens verwijdert voordat ze Google bereiken, werd als mogelijke oplossing genoemd, met de kanttekening dat zo'n opzet complex is.
De Italiaanse Garante kwam in juni 2022 tot dezelfde conclusie en gaf de verwerkingsverantwoordelijke in die zaak 90 dagen om aan de regels te voldoen. De Deense Datatilsynet publiceerde die herfst richtsnoeren waarin organisaties werd opgedragen het hulpmiddel niet te gebruiken zonder doeltreffende aanvullende maatregelen. De Zweedse IMY ging in juli 2023 nog verder en legde boetes op aan onder meer Tele2, dat 12 miljoen Zweedse kroon moest betalen.
Het Nederlandse standpunt
De Autoriteit Persoonsgegevens waarschuwde in 2022 voor het doorgifteprobleem terwijl zij klachten onderzocht. Die waarschuwing uit het verleden mag niet worden voorgesteld als een EU-breed of huidig verbod op GA4. Begin 2022 meldde de AP dat zij twee klachten over Google Analytics onderzocht en dat het gebruik van de dienst mogelijk binnenkort niet meer zou zijn toegestaan. Organisaties kregen het advies alternatieven te overwegen.
Die waarschuwing woog zwaar voor Nederlandse bedrijven. Veel van hen stapten over op privacyvriendelijke analytics. De AP hanteert daarnaast al lange tijd een standpunt over analytische cookies onder de Telecommunicatiewet: cookies die uitsluitend voor analytics worden gebruikt en weinig of geen gevolgen voor de privacy hebben, kunnen zijn vrijgesteld van toestemming, maar alleen als ze privacyvriendelijk zijn ingesteld. Een standaardconfiguratie van Google Analytics die gegevens met andere Google-diensten deelt, valt niet onder die vrijstelling.
Het adequaatheidsbesluit van juli 2023 veranderde de juridische context voor doorgiften. Daarmee waren niet alle vragen over cookietoestemming of de verwerking van analyticsgegevens beantwoord.
Wat het EU-US Data Privacy Framework veranderde
Op 10 juli 2023 nam de Europese Commissie een adequaatheidsbesluit voor het EU-US Data Privacy Framework aan. Daarin stelt zij vast dat de VS een passend beschermingsniveau bieden voor persoonsgegevens die worden doorgegeven aan bedrijven die onder het Framework zijn gecertificeerd. De beoordeling is gebaseerd op nieuwe beperkingen voor de toegang door Amerikaanse inlichtingendiensten en een verhaalmechanisme voor Europeanen.
Voor doorgiften aan een ontvanger met een actieve certificering die de betreffende gegevens omvat, biedt het Framework een doorgiftemechanisme op grond van artikel 45. Controleer de actuele certificering van Google en welke contractspartij de gegevens ontvangt voordat je erop vertrouwt. Dit staat los van de rechtsgrond uit artikel 6 voor het verzamelen en gebruiken van analyticsgegevens.
Daarmee wordt rechtstreeks ingegaan op de redenering in de uitspraken uit 2022, die allemaal draaiden om het ontbreken van afdoende bescherming bij doorgifte. Een toezichthouder die deze zaken nu beoordeelt, moet rekening houden met het adequaatheidsbesluit. De overige verplichtingen voor verwerking en toestemming vragen nog steeds om een afzonderlijke beoordeling.
Wat er niet veranderde
Het Framework is de derde trans-Atlantische regeling in zijn soort. Safe Harbor werd in 2015 ongeldig verklaard en het EU-VS-privacyschild in 2020. Het nieuwe Framework doorstond in september 2025 zijn eerste rechtszaak, toen het Gerecht van de EU een zaak van een Frans parlementslid verwierp. Daarna werd hoger beroep ingesteld als zaak C-703/25 P. Een hoger beroep schorst het adequaatheidsbesluit niet automatisch. Als het besluit later toch ongeldig wordt verklaard, moeten het arrest, de beschikbare waarborgen en eventuele overgangsregelingen worden beoordeeld. Je kunt niet zonder meer aannemen dat de situatie uit 2022 terugkeert.
Doorgifte was altijd maar één onderdeel. De AVG vereist nog steeds een rechtsgrond voor de verwerking zelf, gegevensminimalisatie, transparantie in je privacyverklaring en een verwerkersovereenkomst met Google. Onder de e-privacyregels is voor het plaatsen van Google Analytics-cookies doorgaans bovendien toestemming nodig. Dat is een afzonderlijke kwestie waarop het Framework geen invloed heeft.
Dan is er nog de vraag waar je je prettig bij voelt. Een aanbieder met een hoofdkantoor in de VS blijft, ongeacht het adequaatheidsbesluit, onderworpen aan Amerikaanse juridische procedures. Sommige organisaties, vooral in de zorg, de juridische dienstverlening en de publieke sector, willen daar liever niet van afhankelijk zijn.
Is Google Analytics op dit moment dus legaal in de EU?
Per oktober 2026 kan het gebruik van Google Analytics in de EU rechtmatig zijn, mits je aan de voorwaarden voldoet. De Commissie beschrijft het Data Privacy Framework nog steeds als doorgiftemechanisme voor deelnemende Amerikaanse ontvangers. Daarnaast moet je toestemming voor de cookies vragen, de dienst zorgvuldig configureren, het gebruik ervan correct toelichten en de voorwaarden van Google voor gegevensverwerking hebben geregeld.
Je kunt Google Analytics alleen niet als een definitief geregelde, risicoloze keuze behandelen. De rechtsgrond voor doorgifte steunt op een kader waartegen hoger beroep loopt, voor cookies is in de praktijk toestemming nodig en toestemmingskeuzes maken rapportages onvolledig. De geavanceerde implementatie van Consent Mode kan cookieloze pings versturen en gemodelleerde rapporten maken. Toestemming weigeren betekent dus niet noodzakelijk dat er niets wordt gemeten of verzonden.
Dat laatste is in de praktijk vaak doorslaggevend. Op veel websites weigert een aanzienlijk deel van de bezoekers analytische cookies. De gegevens in Google Analytics zijn in de EU daardoor al onvolledig voordat de juridische vraag aan bod komt.
Configureer Google Analytics zorgvuldig als je het blijft gebruiken
Gebruik een degelijke toestemmingsoplossing die Google Analytics blokkeert totdat de bezoeker instemt. Googles Consent Mode v2 is verplicht voor bepaalde advertentiefuncties bij verkeer uit de EER. Verdiep je ook in wat vóór toestemming wordt verzonden, want cookieloze pings bevatten nog steeds bepaalde gegevens.
Loop je gegevensinstellingen na. Kies de kortste bewaartermijn die voor je rapportages werkbaar is, schakel Google Signals uit tenzij je het voor een specifiek doel nodig hebt, zet het delen van gegevens met andere Google-producten uit en voorkom dat persoonsgegevens zoals e-mailadressen in URL's of gebeurtenisparameters terechtkomen.
Leg je afweging vast. Noem Google Analytics in je privacyverklaring, leg uit welke gegevens worden verzameld en waarom, vermeld de internationale doorgifte en de rechtsgrond daarvoor, en vertel bezoekers hoe zij hun toestemming kunnen intrekken.
Het alternatief: privacyvriendelijke analytics
Veel Europese bedrijven kozen voor de eenvoudigere route: helemaal geen bezoekersgegevens meer naar een Amerikaans bedrijf sturen. Privacyvriendelijke hulpmiddelen zoals Plausible, Matomo en Umami pakken dit elk anders aan, maar zijn allemaal gericht op minder gegevens verzamelen en zelf de controle houden.
Zelf hosten geeft de meeste controle. Analytics op een server in de EU kan de gegevensstromen naar derden beperken, maar controleer ook de hostingprovider, subverwerkers, ondersteuning op afstand, back-ups en uitgaande integraties. Zelf hosten sluit toegang door derden of internationale doorgiften niet automatisch uit. In onze stapsgewijze handleiding lees je hoe je Plausible zelf host; Matomo en Umami zijn met Docker eveneens vrij eenvoudig op te zetten.
Sommige van deze hulpmiddelen kunnen ook volledig zonder cookies worden geconfigureerd. Afhankelijk van je rechtsgebied en inrichting kan een toestemmingsbanner daardoor minder snel nodig of zelfs overbodig worden. De Franse CNIL kent bijvoorbeeld een toestemmingsvrijstelling voor hulpmiddelen voor publieksmeting die aan strikte voorwaarden voldoen. De Nederlandse vrijstelling voor analytische cookies met weinig gevolgen voor de privacy volgt een vergelijkbare gedachte. Raadpleeg de richtsnoeren van je eigen toezichthouder voordat je de banner weglaat, want de regels verschillen per land.
Zo bepaal je wat bij je website past
Kijk eerst naar wat je werkelijk gebruikt. Als je team vooral paginaweergaven, populairste pagina's, verwijzende sites en conversies bekijkt, voldoet een lichtgewicht, privacyvriendelijk hulpmiddel doorgaans prima. Ben je afhankelijk van Google Ads-integratie, het opbouwen van doelgroepen of rapportage over meerdere apparaten, dan biedt Google Analytics functies die alternatieven niet hebben.
Houd rekening met je sector. Zorg, financiële en juridische dienstverlening, de publieke sector en diensten voor kinderen krijgen meer toezicht en verwerken gevoeligere gegevens. Dat maakt gegevens in eigen beheer houden aantrekkelijker.
Denk ook aan toekomstbestendigheid. Moet je halsoverkop van analyticsdienst wisselen als het Data Privacy Framework ongeldig wordt verklaard? Met een hulpmiddel dat niet van trans-Atlantische doorgiften afhankelijk is, verdwijnt dat risico volledig.
Tot slot
De uitspraken uit 2022 in Oostenrijk, Frankrijk, Italië en Denemarken en de waarschuwing van de Nederlandse AP kwamen voort uit het ontbreken van een geldig doorgiftemechanisme. Het EU-US Data Privacy Framework heeft dat voorlopig opgelost, waardoor Google Analytics met toestemming en een zorgvuldige configuratie in de EU kan worden gebruikt. Risicoloos is het daarmee niet, en de toekomst van het Framework ligt nog bij het Hof van Justitie.
Voor veel Europese websites, zeker als cookiebanners en onvolledige gegevens al frustratie opleveren, is privacyvriendelijke analytics op eigen infrastructuur op de lange termijn de eenvoudigere oplossing.
Bedankt voor het lezen! Wil je analytics onder EU-recht op je eigen infrastructuur draaien, dan biedt QDE unmanaged KVM VPS-hosting in Amsterdam, met AVG-conforme infrastructuur, minimale gegevensverzameling en volledige root-toegang voor zelfgehoste hulpmiddelen als Plausible, Matomo en Umami.
Hulp nodig bij het kiezen van een pakket? Neem gerust contact met ons op.
Veelgestelde vragen over Google Analytics en de AVG
Is Google Analytics verboden in de EU?
Nee. Er bestaat geen EU-breed verbod. Verschillende toezichthouders oordeelden in 2022 dat specifieke configuraties in strijd waren met de AVG-regels voor doorgifte. Het EU-US Data Privacy Framework van juli 2023 biedt doorgiften aan gecertificeerde bedrijven zoals Google inmiddels een rechtsgrond.
Heb ik cookietoestemming nodig voor Google Analytics?
In de praktijk wel. Google Analytics-cookies gelden onder de e-privacyregels doorgaans als niet-essentieel, waardoor voorafgaande toestemming nodig is voordat ze worden geplaatst. Dat staat los van het Data Privacy Framework.
Wat zei de Autoriteit Persoonsgegevens over Google Analytics?
De AP meldde in 2022 dat zij klachten onderzocht en waarschuwde dat Google Analytics mogelijk binnenkort niet meer zou zijn toegestaan. Die waarschuwing hoorde bij de juridische situatie van vóór het Data Privacy Framework en vormt op zichzelf geen huidig algemeen verbod op GA4.
Voldoet GA4 beter aan de AVG dan Universal Analytics?
Google vermeldt dat GA4 individuele IP-adressen van gebruikers uit de EU niet registreert of opslaat, al worden ze vóór verwijdering wel gebruikt om een globale locatie af te leiden. GA4 biedt ook instellingen voor bewaartermijnen. De dienst stuurt nog steeds gegevens naar Google, gebruikt cookies waarvoor toestemming nodig is en vereist een toepasselijk doorgiftemechanisme voor gegevens die buiten de EER worden verzonden. Voor gecertificeerde ontvangers waarop het van toepassing is, kan het Data Privacy Framework zo'n mechanisme zijn.
Wat gebeurt er met Google Analytics als het Data Privacy Framework ongeldig wordt verklaard?
Websites die op dat besluit steunen, moeten dan het arrest en hun andere doorgiftemechanismen beoordelen. Standaardcontractbepalingen, aanvullende waarborgen en eventuele overgangsregelingen vragen om een actuele analyse; de uitkomst hoeft niet automatisch gelijk te zijn aan de situatie in 2022.
Wat is het privacyvriendelijkste alternatief voor Google Analytics?
Met een zelfgehoste installatie van Plausible, Matomo of Umami krijg je meer controle over de gegevensverzameling. Controleer wel de toegang van de hostingprovider, subverwerkers en integraties: een server in de EU garandeert op zichzelf niet dat internationale doorgiften uitgesloten zijn. Ook een cookieloze configuratie neemt niet automatisch alle privacyverplichtingen weg.