Is Google Analytics toegestaan onder de AVG?

Ja, op dit moment wel, maar meestal alleen met toestemming van de bezoeker. Er spelen twee vragen. De eerste is of de gegevens naar de Verenigde Staten mogen. Dat mag nu, op grond van het EU-VS Data Privacy Framework (DPF). De tweede is of je toestemming nodig hebt. In de regel wel. De Autoriteit Persoonsgegevens (AP) onderzoekt nog of je de huidige versie, Google Analytics 4 (GA4), privacyvriendelijk ingesteld zonder toestemming mag gebruiken.

Voor dit artikel legden we 1.457 pagina's interne stukken van de AP uit 2020 tot en met 2023 (openbaar na een Woo-verzoek), een antwoord van de AP uit begin 2026 en een eigen meting op de 2.000 grootste .nl-domeinen naast elkaar.

\ 01Is Google Analytics verboden?

Nee. Tussen eind 2021 en medio 2023 oordeelden toezichthouders in onder meer Oostenrijk, Frankrijk, Italië en Zweden wel dat websites Universal Analytics zo niet mochten gebruiken, omdat de doorgifte naar de VS niet goed geregeld was.

De AP stond op het punt om te volgen. Op 20 december 2021 lag er al een concept-persbericht klaar.

Websites zouden tot maart 2022 de tijd krijgen, "daarna kunnen websites die zich niet aan de AVG houden worden beboet". De AP waarschuwde in januari 2022 alleen dat het gebruik "mogelijk binnenkort niet toegestaan" was. Toen een medewerker in maart 2023 vroeg wanneer het besluit kwam, was het antwoord intern: "Geen idee".

In juli 2023 kwam het DPF, en sinds 1 september 2023 beroept Google zich daarop voor Google Analytics. De AP haalde haar handleiding ervoor offline en schreef aan iemand die meldde dat de link niet meer werkte: "We gaan geen nieuwe versie maken."

Het oordeel van de AP zou volgen uit haar onderzoek naar twee klachten over websites van Nederlandse bedrijven. Van één zaak is de afloop bekend. In augustus 2024 kreeg Takeaway.com, het bedrijf achter Thuisbezorgd.nl, een berisping, een formele terechtwijzing zonder boete, voor de doorgifte naar de VS via Universal Analytics in de jaren vóór het DPF. Een algemeen oordeel over Google Analytics gaf de AP nooit. In november 2025 schreef ze dat een totaalverbod "op dit moment niet voor de hand" ligt. Er geldt nu een adequaatheidsbesluit, over de diensten van Google zelf oordeelt de Ierse toezichthouder, en voor cookies is formeel de ACM bevoegd.

Ook nu de doorgifte op het DPF rust, geeft de AP geen stempel van goedkeuring voor Google Analytics. In een interne Q&A over Google Analytics en het DPF, openbaar geworden met de Woo-stukken, schreef ze dat het niet genoeg is dat een bedrijf op de DPF-lijst staat. Je moet bij Google nagaan of juist het product Google Analytics onder het framework valt, en zelf kunnen aantonen dat het gebruik aan alle eisen van de AVG voldoet.

\ 02Wat gebeurt er als het Data Privacy Framework valt?

Dan mag de doorgifte naar de VS via Google Analytics niet meer zonder meer, net als vóór 2023. Die kans is deze zomer groter geworden. Op 29 juni 2026 oordeelde het Amerikaanse Hooggerechtshof in Trump v. Slaughter dat de president leden van de Federal Trade Commission (FTC) vrij mag ontslaan, terwijl het DPF op de onafhankelijkheid van die FTC leunt. De EDPB vroeg de Commissie in juli om de gevolgen te beoordelen. Volgens het kabinet blijft het DPF "tot nader order van kracht", en kunnen organisaties nu al "voorzorgsmaatregelen treffen". De Deense toezichthouder vraagt organisaties hun exitstrategie te herzien.

Op een overgangstermijn kun je niet rekenen. Het Data Privacy Framework heeft een voorganger, het Privacy Shield, dat het Hof van Justitie in 2020 ongeldig verklaarde. De EDPB schreef toen dat er geen overgangsperiode was. Wie gegevens naar de VS doorgaf, moest meteen opnieuw beoordelen of dat nog mocht, en anders stoppen. Toen toezichthouders Google Analytics daarna echt aanpakten, waren de termijnen kort. De gezamenlijke Europese lijn gaf websites in 2021 vier weken om het weg te halen, en het Nederlandse concept-persbericht gaf een paar maanden. Google noemt modelcontractbepalingen (SCC's) als terugvaloptie, maar ook die vragen een beoordeling van het Amerikaanse recht.

\ 03Heb je toestemming nodig voor Google Analytics?

In de regel wel. Volgens artikel 11.7a van de Telecommunicatiewet mag je zonder toestemming alleen functionele cookies plaatsen en analytische cookies met geen of geringe gevolgen voor de privacy. De oude handleiding van de AP beschreef hoe Google Analytics daaronder kon vallen. Wie de gegevens ook voor advertenties van Google gebruikte, had volgens die handleiding toch toestemming nodig.

Begin 2026 liet de AP in antwoord op vragen van PRIVAN weten dat ze onderzoekt of analysesoftware van derden, zoals Google Analytics, vóór toestemming gebruikt mag worden, en zo ja onder welke voorwaarden. Duidelijkheid kon ze nog niet geven. Voor voorbeelden verwees ze naar de memorie van toelichting bij de wetswijziging die deze uitzondering invoerde (Kamerstuk 33902, nr. 3), en ze kondigde aan op termijn met nadere uitleg over analytische cookies te komen. Dat ze nog geen uitsluitsel geeft, hangt ook samen met haar bevoegdheden: voor artikel 11.7a is formeel de ACM de toezichthouder, en de AP stelde in 2025 voor om dat toezicht over te nemen.

De AP zei iets vergelijkbaars in een antwoord dat ze begin 2026 aan een aangeschreven organisatie gaf. Omdat ze niet kan zien hoe Google Analytics is ingesteld, meldt ze het als ze de cookies zonder toestemming ziet laden. Is het zo privacyvriendelijk mogelijk ingesteld, dan kan het op dit moment als beperkt analytische cookie gelden, al kan dat veranderen.

Reken er niet op dat Google Analytics onder die uitzondering valt. De AP kan haar standpunt nog veranderen, en voor veel websites geldt de uitzondering sowieso niet. Een eigen meting laat dat zien. Op 701 van de 1.706 bereikbare homepages (41 procent) ging er op 1 en 2 oktober 2026 al verkeer naar GA4 voordat de bezoeker iets koos, en op twee derde daarvan tegelijk naar de advertentiediensten van Google. Wie Google Analytics ook voor advertenties gebruikt, bijvoorbeeld via Google Signals of een koppeling met Google Ads, valt buiten de uitzondering en heeft toestemming nodig. Hoe zo'n waarschuwing van de AP eruitziet, lees je in Wat doe je met een brief van de AP over je cookiebanner?

\ 04Helpt server-side tagging of een proxy?

Alleen als wat er naar Google gaat niet meer naar een persoon te herleiden is. Takeaway had zelf een proxyserver in de EER ingericht, zodat bezoekers geen rechtstreeks contact meer hadden met Google. Volgens de AP was heridentificatie daarmee niet voldoende uitgesloten, omdat er nog een uitgebreide set gegevens naar Google ging.

\ 05Wat kun je nu doen?

Wie Google Analytics blijft gebruiken, moet kunnen uitleggen waarom het mag, en wat het plan is als het niet meer mag.

1. Breng in kaart op welke websites GA4 draait, welke functies aanstaan (Google Signals, de koppeling met Google Ads) en wat er laadt voordat een bezoeker kiest.
2. Leg vast waarop de doorgifte rust en wat je terugvaloptie is.
3. Laadt Google Analytics zonder toestemming, onderbouw dan waarom het onder de uitzondering valt. Lukt dat niet, laat het dan pas na toestemming laden.
4. Draai nu al een privacyvriendelijk alternatief naast GA4, dan loopt je meting door als GA4 niet meer mag. Voorbeelden die zonder cookies kunnen meten zijn GovAnalytics, Plausible en Piwik PRO; Plausible staat ook op de lijst met privacyvriendelijke voorbeelden van de AP.

Wil je weten wat jouw website naar Google en andere partijen stuurt voordat een bezoeker iets kiest, doe dan de gratis risicoanalyse. Je ziet welke cookies en trackers dan al laden, en met welke partijen gegevens worden gedeeld.

\ 06Vragen en antwoorden

Is GA4 anders dan Universal Analytics?

Het onderzoek van de AP ging over Universal Analytics, en de AP zei zelf dat het geen uitsluitsel geeft over GA4, de huidige versie. GA4 slaat volgens Google geen IP-adressen op. Een unieke code per bezoeker, de client-ID, gaat nog wel mee. Het bestuur van de AP zag in februari 2023 ook GA4 als mogelijk onrechtmatig zolang er persoonsgegevens naar de VS gaan; sinds het DPF rust die doorgifte op dat besluit.

Heeft de AP ooit een boete opgelegd voor Google Analytics?

Nee. Er is alleen de berisping van 20 augustus 2024, voor Takeaway.com (Thuisbezorgd.nl). De AP maakte die niet openbaar; de klager publiceerde het besluit, en Security.NL berichtte erover. In het register berispingen staat het als overtreding van artikel 44 van de AVG.

\ 07Zo houden we dit artikel bij

We werken dit artikel bij als de Commissie een besluit neemt over het DPF, of als de AP duidelijkheid geeft over analytische cookies.

• 5 oktober 2026: eerste versie.