Bijna elke website heeft statistieken, en bij het overgrote deel is dat Google Analytics. Rond google analytics en de avg is de afgelopen jaren veel verwarring ontstaan: het mocht niet, het mocht wel, het mocht alleen onder voorwaarden. De korte samenvatting voor 2026 is dat het gebruik is toegestaan mits u een aantal zaken bewust instelt en vastlegt.
Wij zijn geen juristen, dus dit artikel geeft de praktische kant: welke schakelaars ertoe doen, wat u administratief regelt en wanneer een ander pakket u simpelweg minder werk oplevert. Voor de juridische beoordeling van uw eigen situatie raadpleegt u iemand die daarvoor is opgeleid.
Waar het precies om gaat
Een statistiekenpakket verzamelt gegevens over uw bezoekers: welke pagina’s ze bekijken, waar ze vandaan komen, welk apparaat ze gebruiken. Een deel daarvan is herleidbaar tot een persoon, zeker in combinatie met een identificatie die in een cookie wordt opgeslagen. Daarmee verwerkt u persoonsgegevens en gelden er regels.
Er spelen twee dingen door elkaar. Ten eerste de cookiewetgeving: voor niet-noodzakelijke cookies heeft u toestemming vooraf nodig. Ten tweede de privacywetgeving: u moet weten wat u verwerkt, waarom, hoelang en met wie u het deelt. Analytics raakt beide.
Praktisch betekent dat: zonder toestemming van de bezoeker mag het meetscript niet laden. Een banner die alleen meldt dat u cookies gebruikt, is niet genoeg; hoe dat zit staat in de uitleg over wanneer een cookiemelding verplicht is.
De instellingen die ertoe doen
Loop deze punten in uw eigendom in Analytics af. Het kost een halfuur en het scheelt de meeste discussie.
- Zet de bewaartermijn voor gebruikersgegevens op twee maanden in plaats van de standaardwaarde. Uw rapportages over verkeer blijven gewoon werken; alleen de gedetailleerde gegevens per gebruiker verdwijnen eerder.
- Schakel het delen van gegevens met Google uit. In de accountinstellingen staan meerdere vinkjes voor het delen ten behoeve van productverbetering en benchmarking. Zet ze uit tenzij u ze bewust wilt.
- Zet advertentiepersonalisatie uit als u niet adverteert. Dat scheelt een verwerking waar u niets aan heeft.
- Beperk de doorgifte van gegevens die u niet nodig heeft. Stuur nooit e-mailadressen, klantnummers of bestelgegevens mee in gebeurtenissen of paginatitels. Dit gebeurt vaker dan u denkt, bijvoorbeeld doordat een bedanktpagina het ordernummer in de URL heeft staan.
- Zet de instelling voor gegevensverzameling in de EU aan waar uw pakket dat aanbiedt.
- Controleer wie toegang heeft tot het eigendom. Vaak staan er nog accounts van een oud bureau in.
Over het anonimiseren van IP-adressen: in de huidige versie van Analytics gebeurt dat standaard en is er geen aparte knop meer voor. Vindt u nog instructies met een aparte instelling daarvoor, dan gaat die handleiding over de vorige versie.
Wat u administratief vastlegt
Instellen is de helft. Het andere deel is dat u kunt laten zien wat u doet.
- Een verwerkersovereenkomst met de leverancier. Bij Google zitten die voorwaarden in de accountinstellingen en accepteert u ze daar; bewaar een kopie of een schermafdruk met datum.
- Uw privacyverklaring. Noem het pakket, wat u meet, hoelang u bewaart en dat gegevens buiten de EU verwerkt kunnen worden. Hoe u zo’n verklaring opbouwt staat bij het opstellen van een privacyverklaring.
- Uw verwerkingsregister. Eén regel volstaat: doel, categorieën gegevens, bewaartermijn, ontvanger.
- Bewijs dat toestemming werkt. Uw toestemmingsbanner moet vastleggen wie wanneer waarop klikte. De meeste pakketten doen dat; controleer of het aanstaat.
Testen of het echt klopt
De meest voorkomende fout is niet de instelling maar de uitvoering: de banner staat er, maar het meetscript laadt toch al voordat iemand iets heeft aangeklikt. Dat maakt de hele opzet waardeloos.
Test het zo. Open uw site in een privévenster van uw browser, open de ontwikkelaarshulpmiddelen en kijk bij het netwerkoverzicht of er verzoeken naar Google vertrekken vóórdat u op accepteren klikt. Ziet u ze, dan laadt het script te vroeg en moet uw toestemmingsplugin het blokkeren in plaats van alleen tonen.
Doe daarna dezelfde test met weigeren. Klikt u op weigeren en gaat er alsnog verkeer naar de meetdienst, dan werkt de blokkade niet. Herhaal deze controle na elke thema-update, want zulke instellingen sneuvelen daar geregeld bij.
Het alternatief: meten zonder toestemming
Er is een categorie statistiekpakketten die zo werkt dat er geen persoonsgegevens worden opgeslagen en geen cookie wordt gezet. Bekende namen zijn Plausible, Fathom en Matomo in de variant zonder cookies. Sommige daarvan draaien op Europese servers of zelfs op uw eigen hosting.
Het voordeel is aanzienlijk: geen toestemmingsvraag voor statistieken, dus ook geen meetverlies door mensen die weigeren. Dat laatste is een praktisch punt dat vaak wordt vergeten. Weigert veertig procent van uw bezoekers de cookies, dan meet u met Analytics dus zestig procent van uw verkeer en trekt u conclusies uit een half beeld.
Het nadeel: minder detail, geen koppeling met advertentiecampagnes en geen doelgroepen voor remarketing. Adverteert u actief via Google, dan heeft u het volledige pakket waarschijnlijk nodig. Kijkt u vooral naar bezoekersaantallen en populaire pagina’s, dan is het eenvoudige alternatief in de praktijk beter én goedkoper in beheer, ook al kost het een paar tientjes per maand.
Kort samengevat
Analytics gebruiken mag, maar niet op de automatische piloot. Zet de bewaartermijn kort, deel niets wat u niet hoeft te delen, houd persoonsgegevens uit uw meetdata, blokkeer het script tot er toestemming is en leg vast wat u doet. Wilt u van de hele toestemmingsdiscussie af, dan is een pakket zonder cookies de rustigste route.
Bij het beheer dat wij doen, controleren wij deze punten mee in de periodieke ronde rond privacy en beveiliging van een WordPress-site, omdat het precies het soort instelling is dat na een update stilletjes terugvalt naar de standaardwaarde.
Concrete volgende stap: open uw site in een privévenster en kijk vóór het accepteren van cookies of er al meetverkeer vertrekt. Dat is in vijf minuten getest en het is het punt waar de meeste sites op vastlopen.
