Google Analytics en de AVG: mag het in Nederland?

Heb je toestemming nodig voor Google Analytics?

In de standaardinstelling wel. Google Analytics 4 plaatst cookies zoals _ga, met een uniek ID per bezoeker en een looptijd van 2 jaar, en stuurt gegevens naar Google. Volgens de cookiewet mag je alleen zonder toestemming meten als dat geen of geringe gevolgen heeft voor de privacy van je bezoekers. De ACM schrijft dat privacygevoelige analytische cookies alleen met toestemming mogen.

Gebruik je Google Analytics daarnaast voor advertenties, bijvoorbeeld via een koppeling met Google Ads, Google Signals of remarketing, dan gaat het om trackingcookies en heb je zonder twijfel toestemming nodig.

Kan het privacyvriendelijk, zonder toestemming?

Daar is voor Google Analytics 4 op dit moment geen officieel antwoord op.

Jarenlang verwezen websites naar een stappenplan van de AP om Google Analytics privacyvriendelijk in te stellen, met onder meer een verwerkersovereenkomst, gemaskeerde IP-adressen en het uitzetten van gegevens delen met Google. Dat stappenplan ging over Universal Analytics. Die versie werkt sinds 1 juli 2023 niet meer, en de AP schrijft bij de vrijgegeven documenten dat ze over een oude versie van Google Analytics gaan.

In een ambtsbericht van 13 november 2025 schreef de AP:

• dat de ACM de bevoegde toezichthouder is op de cookiebepaling, en de AP daarom nu geen oordeel geeft over Google Analytics onder de cookiewet;
• dat de AP onderzoekt welke cookies wel en niet onder de uitzondering vallen, en dat de duidelijkheid daarover mede afhangt van het overhevelen van het toezicht naar de AP.

Wie Google Analytics zonder toestemming gebruikt, loopt dus het risico dat een toezichthouder het later anders ziet. De veiligste keuze is toestemming vragen.

Wat besliste de AP over doorgifte naar de VS?

Eind 2021 en in 2022 oordeelden toezichthouders in onder meer Oostenrijk en Frankrijk dat het gebruik van Google Analytics in strijd was met de AVG, omdat gegevens naar de Verenigde Staten gingen zonder voldoende bescherming. De AP startte toen een eigen onderzoek naar de oude versie van Google Analytics. Volgens de AP leidde dat tot een berisping voor de organisatie die Google Analytics gebruikte; een apart besluit publiceerde de AP niet.

Sinds 10 juli 2023 geldt het EU-VS Data Privacy Framework (DPF): een besluit van de Europese Commissie dat de VS een passend beschermingsniveau biedt voor bedrijven die zich bij het DPF hebben aangesloten. Volgens de AP voldoet doorgifte naar de VS daarmee aan de AVG-eisen voor doorgifte, voor zover aan de eisen van het DPF is voldaan. Het onderzoek naar de oude versie is volgens de AP niet één op één door te trekken naar het huidige gebruik. Een totaalverbod op Google Analytics ligt volgens de AP niet voor de hand; over de diensten van Google zelf gaat de Ierse toezichthouder.

Het DPF staat wel onder druk. Het Gerecht van de EU wees op 3 september 2025 een verzoek tot nietigverklaring af (zaak Latombe, T-553/23). Tegen die uitspraak is hoger beroep ingesteld bij het Hof van Justitie. Zolang het Hof het besluit niet ongeldig verklaart, blijft het DPF van kracht.

Wat doet Google zelf aan privacy?

• IP-adressen: volgens Google logt of bewaart Google Analytics geen IP-adressen van gebruikers in de EU, Zwitserland en het Verenigd Koninkrijk. Het IP-adres wordt alleen gebruikt voor een globale locatie en daarna weggegooid. Gegevens van Europese gebruikers worden via servers in de EU verzameld voordat ze naar de servers van Analytics gaan.
• Verwerkersvoorwaarden: Google biedt de Data Processing Terms. Volgens Google zijn klanten in de EER, het VK en Zwitserland daar al door gedekt.
• Consent Mode: met Google Consent Mode v2 plaatst Google Analytics zonder toestemming geen cookies (analytics_storage op "denied").

Dat zijn nuttige maatregelen, maar ze veranderen niets aan het uitgangspunt: met de cookie _ga herkent Google Analytics bezoekers aan een uniek ID, en daarvoor vraag je in Nederland het beste toestemming.

Alternatieven

De AP noemt zelf alternatieven die statistieken bijhouden zonder bezoekers over het hele internet te volgen: Matomo, Apache Superset, Plausible Analytics en OpenPanel, "mits goed ingesteld". Ook voor die tools geldt: kijk welke cookies of vergelijkbare technieken ze gebruiken, en informeer je bezoekers in je cookieverklaring.

Zo gebruik je Google Analytics volgens de regels

1. Vraag toestemming in je cookiebanner, met statistieken als aparte categorie en "Weigeren" naast "Accepteren".
2. Laat Google Analytics pas meten na toestemming, of gebruik Consent Mode v2 met analytics_storage standaard op "denied".
3. Zet functies uit die je niet gebruikt, zoals Google Signals en koppelingen met advertentieproducten, of vraag daar ook toestemming voor.
4. Controleer je verwerkersvoorwaarden in de accountinstellingen van Google Analytics.
5. Vermeld Google Analytics in je cookieverklaring en je privacyverklaring, met de cookies, het doel en de bewaartermijn.

Cookie Confirm blokkeert Google Analytics tot de bezoeker toestemming geeft, geeft de keuze door aan Google Consent Mode v2 met alle vier de signalen en maakt de cookieverklaring op basis van de scan van je website, dus inclusief de cookies van Google Analytics. Je betaalt €7,95 per website per maand, maandelijks opzegbaar, en je probeert het eerst 7 dagen gratis zonder creditcard.

Bronnen

• AP: Ambtsbericht over Google Analytics (13 november 2025)
• AP: Woo-besluit advies van de AP over Google Analytics (oude versie)
• AP: Cookies en uw organisatie (alternatieven)
• ACM: Cookies plaatsen
• Telecommunicatiewet, artikel 11.7a (wetten.overheid.nl)
• Uitvoeringsbesluit (EU) 2023/1795 over het EU-VS Data Privacy Framework (EUR-Lex)
• Hoger beroep tegen het arrest T-553/23 Latombe (Publicatieblad C/2025/6610)
• CNIL: ingebrekestelling over Google Analytics (februari 2022)
• Google: IP-adressen en gegevensverzameling in Google Analytics
• Google: Data Processing Terms voor Google Analytics
• Google: cookies van Google Analytics 4
• Google: Universal Analytics gestopt per 1 juli 2023