Is Google Analytics eigenlijk legaal in Europa? De stand van zaken

"Mag Google Analytics eigenlijk nog?" is een vraag die wij vaak krijgen — en het eerlijke antwoord is: het hangt ervan af wanneer je hem stelt. De juridische status van 's werelds populairste meetinstrument is de voorbije jaren meermaals gekanteld. Dit is de stand van zaken, zonder paniekzaaierij en zonder wishful thinking.

Foto: "European Parliament Flags" door rpaulucci3, CC0 1.0, via Openverse. Verkleind.

Hoe we hier geraakt zijn

Het probleem is nooit de statistiek zelf geweest, maar de datastroom eronder: Google Analytics stuurt bezoekersgegevens naar Google, een Amerikaans bedrijf. En het Hof van Justitie van de EU vernietigde tot twee keer toe het juridische kader dat zulke doorgiften naar de VS toeliet — Safe Harbor in 2015, Privacy Shield in 2020 (het "Schrems II"-arrest, genoemd naar de Oostenrijkse jurist die de zaken aanspande).

Na Schrems II volgden concrete beslissingen: de Oostenrijkse toezichthouder, de Franse CNIL en de Italiaanse Garante oordeelden in 2022 dat het gebruik van Google Analytics in strijd was met de AVG, omdat Amerikaanse inlichtingendiensten toegang tot de data konden krijgen. Europese websites kregen letterlijk de instructie ermee te stoppen.

En toen mocht het weer (voorlopig)

In juli 2023 keurde de Europese Commissie een derde kader goed: het EU-US Data Privacy Framework. Doorgiften aan gecertificeerde Amerikaanse bedrijven — waaronder Google — zijn daarmee opnieuw toegelaten. Wie vandaag Google Analytics correct configureert én toestemming vraagt via een cookiebanner, zit dus formeel juist.

Let op de twee voorwaarden in die zin. De eerste is het framework zelf: het steunt op Amerikaanse beleidsbeslissingen die een volgende regering kan terugdraaien, en het ligt — net als zijn twee gesneuvelde voorgangers — onder juridisch vuur. De tweede staat los van heel dit transfer-verhaal: analytics-cookies vereisen sowieso toestemming onder de ePrivacy-regels. Geen banner betekent geen legale GA-meting, framework of niet. En elke geweigerde banner is een bezoeker die uit je cijfers verdwijnt.

Wat dit betekent voor een KMO

Je kán vandaag legaal Google Analytics draaien. De vraag is of je je meetstrategie wilt bouwen op een fundament dat al twee keer instortte, waarvoor je een banner nodig hebt die 30 tot 50 procent van je data wegfiltert, en dat je afhankelijk maakt van de volgende uitspraak van een Europees hof of de volgende Amerikaanse verkiezing.

Er is een alternatief dat buiten dit hele juridische slagveld staat: cookieloze analytics. Geen persoonsgegevens, geen doorgifte naar de VS, geen toestemming nodig — en dus ook niets dat een rechter je kan afnemen. Webmotor meet zo (vanaf Business), op Europese infrastructuur.

De checklist als je tóch GA gebruikt

Gebruik je vandaag Google Analytics, controleer dan minstens: staat er een correcte banner die de meting pas start ná toestemming? Is IP-anonimisering actief en zijn de bewaartermijnen ingekort? Staat Google als verwerker in je privacyverklaring? En — de vraag die niemand stelt — gebruik je die individuele bezoekersprofielen eigenlijk ergens voor, of kijk je gewoon maandelijks hoeveel bezoek er was? In dat laatste geval betaal je juridisch risico voor data die je niet nodig hebt.

Dit artikel beschrijft de juridische situatie zoals gekend op 9 september 2026 en is informatief, geen juridisch advies. Regelgeving en rechtspraak evolueren; check de datum en raadpleeg bij twijfel een jurist.