‘Gebruikers Google Analytics overtreden wet’

Gebruikers van Google Analytics, en dus ook webshops, schenden ongemerkt de Nederlandse privacywet. Het CBP ‘waarschuwt de hele branche’ voor dit gegeven.

Het CPB stelt het onderwerp aan de kaak naar aanleiding van een recent onderzoek (pdf) naar de smart-tv-maker TP Vision, zo schrijft Webwereld. Volgens het CBP overtrad de fabrikant de wet bescherming persoonsgegevens (Wbp) door onder meer gebruik te maken van Google Analytics zonder aparte bewerkingsovereenkomst (artikel 14, tweede lid van Wbp).

Standaardvoorwaarden voldoen niet
Deze bewerkingsovereenkomst weigert Google met zijn gebruikers aan te gaan, omdat het niet om persoonsgegevens zou gaan. Aangezien de standaardvoorwaarden van Google Analytics volgens het CBP niet voldoen, zou in principe elke gebruiker van Analytics in overtreding zijn.

‘Uit de overeenkomst moet blijken wat de doeleinden van en de middelen voor de verwerking van persoonsgegevens zijn, welke soort gegevens wordt verwerkt, de duur van de opslag van de gegevens, het gebruik van de gegevens, alsmede eventuele verstrekking aan derden’, meldt het CBP. ‘Maar ook in welke mate de bewerker zeggenschap heeft, dat wil zeggen, in welke mate hij de details van de verwerkingswijze van persoonsgegevens kan bepalen. Dergelijke belangrijke elementen van de gegevensverwerking dienen in de bewerkersovereenkomst voldoende gedetailleerd te zijn opgenomen. In ieder geval zodanig dat de bewerker daadwerkelijk op instructie van de verantwoordelijke kan handelen en de verantwoordelijke daadwerkelijk toe kan zien op de feitelijke naleving daarvan.’

Zelf verantwoordelijk
De gebruiker kan daarbij niet met de vinger naar Google wijzen voor het niet automatisch verstrekken van een bewerkingsovereenkomst. Bedrijven, en dus ook webshops, zijn zelf verantwoordelijk voor het voldoen aan de wet. Het CBP in zijn onderzoeksrapport over TP Vision: ‘Dat Google zich op het standpunt stelt dat geen sprake is van persoonsgegevens laat onverlet dat op TP Vision de verplichting rust een bewerkersovereenkomst te sluiten indien zij persoonsgegevens laat verwerken door een derde partij.’

CBP treedt op
Het CBP zou dus handhavend kunnen optreden tegen TP Vision en andere gebruikers van Google Analytics. Volgens Mark Jansen, advocaat bij Dirkzwager, zal het zo vaart niet lopen: ‘Gelet op de enorme populariteit van Google Analytics, zou daadwerkelijke handhaving bij alle Google Analytics-gebruikers door het CBP zeer veel van zijn capaciteit vergen. Mocht het CBP echter besluiten bij slechts een deel van de gebruikers handhavend op te treden, dan roept dit weer de vraag op waarom gelijke gevallen ongelijk worden behandeld. Het valt dus nog te bezien welk een vaart het optreden tegen gebruik van Google Analytics zal lopen. Niettemin is het wellicht (wederom) een signaal om nog eens kritisch te kijken naar technieken die op de website worden gebruikt.’