Franse privacytoezichthouder biedt oplossing voor gebruik Google Analytics
Websites in Frankrijk kunnen met Google Analytics blijven werken, maar moeten dan wel van een goed geconfigureerde proxy gebruikmaken, zo stelt de Franse privacytoezichthouder CNIL. In februari oordeelde de toezichthouder dat het gebruik van Google Analytics in strijd met de Europese privacywetgeving GDPR is. Een Franse website die van Googles statistiekenprogramma gebruikmaakte kreeg één maand de tijd om een oplossing te zoeken.
CNIL deed uitspraak na klachten die waren ingediend door noyb, de privacyorganisatie van de bekende activist Max Schrems. De klachten waren onder andere gericht tegen een Franse website waarop Google Analytics draait. Volgens de Franse privacytoezichthouder is persoonlijke data die via Google Analytics naar de Verenigde Staten wordt gestuurd niet goed beschermd en kan door Amerikaanse inlichtingendiensten worden opgevraagd.
Na de uitspraak keken verschillende partijen naar technische oplossingen om Googles statistiekenprogramma toch te blijven gebruiken, maar volgens CNIL zijn er geen eenvoudige aanpassingen die dit mogelijk maken. Het grootste probleem is dat bij het bezoeken van een website met Google Analytics er ook requests met gebruikersinformatie naar Google gaan. Er mag dan ook geen contact zijn tussen Google en de bezoeker van een website waarop Analytics draait, aldus de Franse toezichthouder.
Dit is mogelijk door gebruik te maken van een proxy. Voorwaarde is wel dat alle data die de proxy naar Analytics doorstuurt geen informatie bevat waarmee de gebruiker is de identificeren. Zo mag er geen ip-adres worden doorgestuurd en moet de proxy de user identifier vervangen. Verder moet de referer worden verwijderd en mogen verzamelde url's geen parameters bevatten. Het is tevens belangrijk dat data op de proxyserver niet de Europese Unie verlaat.
Vorige maand werd bekend dat de Autoriteit Persoonsgegevens het onderzoek heeft afgerond of het gebruik van Google Analytics in Nederland is toegestaan. De conclusie wordt echter in de loop van het jaar bekendgemaakt. Op de eigen website waarschuwt de AP nog altijd dat het gebruik van Google statistiekenprogramma mogelijk binnenkort niet is toegestaan.
Dit is mogelijk door gebruik te maken van een proxy. Voorwaarde is wel dat alle data die de proxy naar Analytics doorstuurt geen informatie bevat waarmee de gebruiker is de identificeren. Zo mag er geen ip-adres worden doorgestuurd en moet de proxy de user identifier vervangen. Verder moet de referer worden verwijderd en mogen verzamelde url's geen parameters bevatten. Het is tevens belangrijk dat data op de proxyserver niet de Europese Unie verlaat.
Dit zou wellicht werken als Google niet al beschikte over een enorme voorraad data. Maar als de user identifier alleen "vervangen" hoeft te worden, naar aangenomen mag worden door een unieke code, dan weet Google al heel snel aan welke gebruiker deze vervangende code kan worden gekoppeld. Dat kan Google namelijk afleiden uit het unieke gebruikspatroon dat verbonden is met deze vervangende code, en dat tevens verbonden is met de oorspronkelijke gebruiker die achter die code schuilgaat, en van wie Google al over data beschikt.
Het is natuurlijk technisch prima mogelijk om de user identifier per sessie en per etmaal (bijv. ingaande om 00:00 uur Greenwich Mean Time) te vervangen door een random uniek nummer. Maar dan kunnen er m.b.v. analyse ofwel minder conclusies worden getrokken, ofwel Google kan de randomisation alsnog omzeilen.
Het echte dilemma is dan ook iets anders, namelijk dat het enerzijds onethisch is om het gedrag van privé-personen op internet te willen analyseren, maar anderzijds wel geld oplevert. Als ik vroeger een krant kocht bij een kiosk, werd dan mijn keuze voor een krant geregistreerd en geanalyseerd? Nee. Dat werd terecht niet gedaan. Dus waarom zou Google dat nu wel mogen doen? Omdat het geld oplevert? Tja, het levert ook geld op als bedrijven en overheden de boeken in iedere woning zouden mogen analyseren, of welke haarshampoo en tandpasta iemand in de winkel koopt en contant betaalt. Toch mag dat niet zonder toestemming van die persoon, want privé.
M.J.
Peer to peer gaat hem worden. Alles wat ertussen zit probeert je toch maar in de maling te nemen. Dat is ook te veel gaan opvallen dus geen medelijden mee. Met bijkomend voordeel dat we collectief steeds beter leren hoe en wanneer men tracht ons in de maling te nemen.
De winst ligt niet in dromen van databases die alles menen te weten. De winst ligt in groeiende digitale weerbaarheid. Door hebberigheid zomaar kado gekregen.
2. Wat voor nut heeft het gebruik van Google Analitics nog als je enkel kunt zien wat een gebruiker op je site gedaan heeft. De meerwaarde van GA zit er toch juist in dat je dat ook kan koppelen aan interesses/doelgroep/type gebruiker?
Een generiek verbod op het gebruik van systemen om gebruikers te volgen over sites heen zou én duidelijker zijn voor de gebruikers én een eerlijker speelveld maken voor bedrijven die het moeten stellen zónder deze marketing informatie.
Google en Microsoft Bing.maken in ernstige mate aan menige privacy schending als vanzelfsprekende.
Privacy autoriteiten missen de kennis om deze aan te pakken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
