De Autoriteit Persoonsgegevens (“AP”) houdt actief toezicht op het gebruik van cookies. Dit toezicht houdt onder andere in dat cookiebanners op websites van organisaties door de AP worden gecontroleerd. Indien een cookiebanner volgens de AP niet voldoet aan de Algemene Verordening Gegevensbescherming (“AVG”), ontvangt de organisatie een waarschuwingsbrief. Wij hebben inmiddels verschillende cliënten bijgestaan die zo’n brief ontvingen. Dit leerden wij over het gebruik van Google Analytics 4.
Handhaving & toezicht: De cookiebrief
De AP maakt volgens haar website gebruik van een hulpmiddel dat controleert of cookiebanners aan de eisen van de AVG voldoen.[1] Welk hulpmiddel dit precies is, is onbekend. We kunnen ons voorstellen dat dit hulpmiddel vergelijkbaar is aan de website auditing tool die door de European Data Protection Board (“EDPB”) gratis en open source op haar website beschikbaar is gesteld.[2] De AP voert in ieder geval een ‘quick scan’ uit op de cookiebanner en komt dan tot de conclusie dat deze wel of niet voldoet aan de AVG.
Als de cookiebanner niet aan de AVG voldoet, stuurt de AP de waarschuwingsbrief. In de brief wordt vervolgens onder andere toegelicht wat volgens de AP de regels zijn voor het gebruik van (tracking) cookies, de voorlopige bevindingen over op cookies die worden gebruikt op de website en de termijn om de cookiebanner aan te passen. Ook benadrukt de AP dat persoonsgegevens die worden verzameld door middel van cookies vaak gedeeld wordt met veel partijen in binnen- en buitenland. De AP doet zelfs suggesties voor alternatieve diensten die gebruikt kunnen worden voor analytische toepassingen en advertentiedoeleinden.
Taken en bevoegdheden: AP & ACM
De AP is op grond van de AVG en de Uitvoeringswet AVG belast met verschillende taken.[3] Hieronder valt het monitoren en handhaven van de toepassing van de AVG. Ook is het een taak van de AP om verwerkingsverantwoordelijken en verwerkers voor te lichten over hun verplichtingen op grond van de AVG. De cookiebrief past daarmee binnen haar taakstelling. Wel geldt dat de waarschuwingsbrief geen formele handhavingsmaatregel is, zoals een boete of last onder dwangsom. Neemt een organisatie geen maatregelen, dan kan alsnog een onderzoek volgen gericht op het opleggen van handhavingsmaatregel.
Vooralsnog is de AP alleen belast met het toezicht op de (U)AVG. Dit betekent dat de AP alleen bevoegd is om de verwerking van persoonsgegevens te beoordelen. De Autoriteit Consument & Markt (ACM) is bevoegd toezichthouder voor de regels omtrent cookies in artikel 11.7a in de Telecommunicatiewet (“Tw”). Dit betekent dat zij allebei vanuit een andere invalshoek bevoegd zijn om toezicht te houden op het gebruik van cookies. Begin dit jaar publiceerden de toezichthouders een samenwerkingsprotocol Hierin zijn afspraken vastgelegd over de samenwerking in de gevallen waarin de taken en bevoegdheden van de toezichthouders overlappen of elkaar raken.[4]
Beide toezichthouders zien dit echter graag veranderen: zij hebben in april van dit jaar gezamenlijk de minister van Economische Zaken verzocht de AP aan te wijzen als de bevoegde toezichthouder voor art. 11.7a Tw.[5] De realiteit is echter nog steeds dat beide toezichthouders dus bevoegd zijn op hun eigen onderwerp.
Google Analytics 4
Veel organisaties gebruiken Google Analytics om inzicht te krijgen in het gedrag van bezoekers op hun website. De AP heeft zich in het verleden zeer kritisch uitgelaten over het gebruik van Universal Analytics, een eerdere versie van Google Analytics. Op 22 april 2022 publiceerde de AP dat het gebruik daarvan ‘mogelijk binnenkort niet meer is toegestaan’.[6] Intussen heeft Google haar diensten doorontwikkeld tot de versie Google Analytics 4 (“GA4”). De AP heeft hierover nog geen officieel standpunt ingenomen.[7]
Het kritische standpunt van de AP over Google Analytics zorgt al geruime tijd voor onzekerheid in de markt. Vindt de AP überhaupt dat GA4 in overeenstemming met de AVG gebruikt kan worden? En zo ja, is altijd toestemming vereist of mag GA4 – mits goed ingesteld – ook persoonsgegevens verwerken op basis van het gerechtvaardigd belang?
GA4: cookies en persoonsgegevens
GA4 maakt het mogelijk om gegevens te verzamelen over websitebezoekers. Dit wordt doorgaans gedaan door middel van cookies die op het apparaat, zoals de telefoon of laptop, van de website bezoeker worden geplaatst. Hiermee worden bijvoorbeeld IP-adressen, klikgedrag en technische informatie verzameld. Met deze gegevens zijn statistische analyses mogelijk. Bovendien kan je aanvullende diensten inschakelen waarmee gerichte advertenties getoond kunnen worden.
Op basis van artikel 11.7a van de Tw moet je toestemming vragen voor cookies, tenzij de cookies geen of slechts een geringe privacy impact hebben. Is er dus sprake van een geringe privacy impact, dan hoef je geen toestemming te vragen. In dat laatste geval is géén toestemming nodig, maar blijft een verwerkingsgrondslag op grond van artikel 6 lid 1 AVG vereist. Als toestemming onder de Tw niet nodig is, kan men een beroep doen op gerechtvaardigd belang (art. 6 lid 1 sub f AVG).
De AP publiceerde eerder een handleiding voor privacy vriendelijk gebruik van Universal Analytics.[8] Als je de handleiding volgde was toestemming op basis van de AVG volgens de AP niet vereist. Aangezien de AP echter al drie jaar geleden communiceerde dat het gebruik van Google Analytics mogelijk binnenkort niet meer is toegestaan en de handleiding is verwijderd van de website, is het onzeker of GA4 nog op eenzelfde manier gebruikt kan worden.
Wat is bekend?
Zoals hiervoor beschreven is de handleiding, inclusief de melding dat het gebruik van Google Analytics mogelijk binnenkort niet meer is toegestaan, verwijderd van de website van de AP. De reden hiervoor is nooit publiekelijk gedeeld. Het is dus onbekend wat de betekenis hiervan is.
Uit openbare stukken, zoals de website van de AP en het recentelijk gepubliceerde Woo-besluit[9], volgt enige informatie over waarom tot op heden geen duidelijkheid bestaat over het gebruik van GA4. Kennelijk is het voor de AP onvoldoende duidelijk of de internationale doorgifte van persoonsgegevens naar de Verenigde Staten in overeenstemming met de AVG plaatsvindt. Ook blijkt uit de stukken dat de AP het de verantwoordelijkheid van de gebruiker van GA4 vindt om te controleren of het gebruik aan de AVG voldoet.
Wat heeft de cookiebrief hiermee te maken?
Als je een waarschuwingsbrief ontvangt en je gebruikt GA4 is er dus veel onduidelijk: moet je op zoek naar een andere tool? Kan je GA4 zo instellen dat je geen toestemming nodig hebt?
In de verschillende contacten die wij met de toezichthouder hebben gehad, is bevestigd dat in de toekomst meer informatie volgt over het standpunt van de AP over GA4. Mits de instellingen zo privacy-vriendelijk mogelijk worden ingesteld, is volgens de AP vooralsnog geen toestemming nodig. Zodra de AP wel een standpunt inneemt zal dit eerst publiekelijk gecommuniceerd worden. Vooralsnog is het gebruik van GA4 dus niet per definitie in strijd met de AVG.
Conclusie
Voorlopig kan dus nog steeds gebruik worden gemaakt van GA4 zonder handhaving van de AP te vrezen. Let wel op dat je dan de meest uitgeklede versie van GA4 gebruikt, zonder bijvoorbeeld advertentiediensten. Er zijn echter ook alternatieven beschikbaar voor het meten van statistieken op de website. Vragen over de waarschuwingsbrief of cookies? Stel ze ons gerust!
[1] <Zo houdt de AP toezicht op cookies | Autoriteit Persoonsgegevens>
[2] <EDPB website auditing tool | European Data Protection Board>
[3] Art. 57 AVG jo. art. 14 UAVG
[4] <Staatscourant 2025, 3534 | Overheid.nl > Officiële bekendmakingen>
[5] <Voorstel AP toezicht cookies | Autoriteit Persoonsgegevens>
[6] Bovenaan de ‘Handleiding privacyvriendelijk instellen van Google Analytics’ van de AP was toegevoegd ‘Let op: gebruik Google Analytics mogelijk binnenkort niet toegestaan’. De Handleiding is inmiddels verwijderd van de website van de AP, maar is hier nog te vinden.
[7] Zie bijvoorbeeld het artikel van de DMCC <Google Analytics cookies plaatsen zonder toestemming, mag dat? – DMCC>
[8] ‘Handleiding privacyvriendelijk instellen van Google Analytics’ De Handleiding is inmiddels verwijderd van de website van de AP, maar kan hier nog worden geraadpleegd.
[9] <Woo-besluit: Advies van de AP over Google Analytics | Autoriteit Persoonsgegevens>
