Server-side Tracking AVG: wat je moet weten

Hoe is de AVG van toepassing op Server-side Tracking?

De AVG (Algemene Verordening Gegevensbescherming) is een privacywet die het verwerken van persoonsgegevens regelt, en die geldt net zo goed voor server-side tracking.

Online vallen onder persoonsgegevens onder andere: naam, e-mailadres, IP-adres, bepaalde cookies, gezondheidsgegevens en financiële gegevens. Elke keer dat je website of applicatie deze gegevens verzamelt of verwerkt – of dat nu via Server-side Tracking of client-side tracking is – moet je zorgen dat minimaal één van de zes rechtsgronden van toepassing is:

• expliciete toestemming van de gebruiker
• contractuele noodzaak
• bescherming van vitale belangen
• algemeen belang of uitoefening van openbaar gezag
• gerechtvaardigd belang, tenzij de rechten van de gebruiker zwaarder wegen.

Hoe ondersteunt Server-side Tracking de AVG-naleving?

Server-side Tracking geeft je meer controle over welke data wordt verzameld, verwerkt en gedeeld met derden. Zo kun je bijvoorbeeld persoonlijke informatie zoals IP-adressen en client-ID’s filteren voordat je data doorspeelt naar platforms als Google Analytics of Facebook.

De AVG-vereisten blijven echter hetzelfde: elke gegevensverwerking moet een geldige rechtsgrond hebben, en gebruikers moeten op een transparante manier geïnformeerd worden over welke data wordt verzameld en met welk doel. Voor veel online bedrijven is het volgen van gebruikersgedrag essentieel om diensten te optimaliseren en weloverwogen beslissingen te nemen. Website-tracking is op zichzelf niet verboden, maar de rechtmatigheid ervan hangt af van je bedrijfszetel en van hoe je trackingactiviteiten regelt.

Wil je AVG-conform tracken, dan moet je je methodes voor dataverzameling goed begrijpen en gerichte stappen nemen om te voldoen aan de wetgeving. Dat betekent dat je het verzamelen, opslaan en verwerken van gegevens moet beheren volgens de AVG. Server-side tracking moet je inrichten met privacy by design, goed consent management en regelmatige audits, zodat je aan de regels blijft voldoen en de rechten van gebruikers beschermt.

Verzamelen data

Het verzamelen van data gebeurt doorgaans met een third party tracking script en third party cookies. Dit zijn codes van bijv. Google en Facebook. Deze worden vaak geplaatst via GTM. Deze codes verzamelen data. Je hebt hier vrijwel geen controle over. Google kan dus verzamelen wat het wil. Om controle te houden op welke data verzameld wordt kun je Server Side Tagging toepassen. Hierdoor neem je de volledige controle over welke data naar Google of Facebook wordt verstuurd.

Daarmee kun je ook uitsluiten dat bepaalde gegevens verzameld worden. Zo kun je IP adressen en client id’s uitsluiten van de tracking. Daarnaast kun je nog verder gaan door ook geen URL parameters (UTM tags bijvoorbeeld) mee te sturen.

De nieuwe versie van GA4 heeft ook meer flexibiliteit om te zorgen dat sommige data niet verzameld wordt. Zo kun je Google Signals, advertentie personalisatie en locatiegegevens uitschakelen voor optimale zekerheid.

Tenslotte is het meest belangrijke om door middel van een cookiebanner toestemming te vragen om data te tracken (en aan te geven welke data je gaat verzamelen, met welke doeleinden). Wij gebruiken daar Cookiebot voor, omdat deze goed samenwerkt met Google Tag Manager. Door middel van de consent mode in Google Tag Manager kun je reguleren dat de tracking ook daadwerkelijk naleeft wat er in de cookiebanner is aangegeven.

Wanneer je Consent Mode instelt in de Google Tag Manager server container stuur je op basis van het consent level wat iemand invult bij de cookiebanner de data door naar de desbetreffende platformen. Hierdoor zorg je ervoor dat de gegevensverwerking meer in overeenstemming is met de gebruikersvoorkeuren en privacywetgeving, waardoor een balans wordt gevonden tussen gebruikersprivacy en data-gebruik voor gerichte marketing en analyse

Opslaan data

Daarnaast is het opslaan van data ook een belangrijke factor. Hoe lang wordt de data opgeslagen? GA4 heeft hier ook veel stappen in gemaakt. Zo kun je uitsluiten dat data gedeeld wordt naar andere onderdelen binnen Google.

Daarnaast is het belangrijk dat persoonsgegevens niet buiten de EU worden opgeslagen. Dat is bij Google Analytics wel het geval. Door middel van  Server-side Tracking zorgen we ervoor dat de persoonsgegevens al eerder uitgesloten worden en dus nooit worden verstuurd naar Google Analytics. Op deze manier kun je het binnen de richtlijnen van de AVG gebruiken.

TAGGRS heeft servers over de hele wereld, waardoor gegevens veilig worden opgeslagen en verwerkt binnen je eigen land.

Verwerken data

Tenslotte dien je een verwerkingsovereenkomst te sluiten met de partij die de data ontvangt. In het geval van GA4 teken je hiervoor als je een account aanmaakt.

Invloed AVG op data tracking

Een specifiek voorbeeld van de invloed van privacywetgeving op Server-side Tracking is het verbod door sommige overheden op het gebruik van Google Analytics. Omdat Google Analytics gegevens verzamelt over het gedrag van websitebezoekers, kan dit leiden tot privacy zorgen. Daarom hebben bepaalde overheden besloten Google Analytics te verbieden op overheidswebsites om de privacy van burgers te beschermen.

Er zijn veel landen die vinden dat Google Analytics niet voldoet aan de AVG wetgeving. Deze ontwikkeling benadrukt het groeiende belang van privacy en gegevensbescherming in de digitale wereld en tegelijkertijd laat het de behoefte zien aan alternatieven zoals Server-side Tracking.

Hier kun je een lijst vinden van landen die vinden dat Google Analytics illegaal is.

Hoe helpt Server Side GTM om te voldoen aan de AVG-regels?

Als je met third party cookies werkt, weet je dat controle over je data soms lastig is. Met Server GTM kun je dit probleem oplossen en beter beheren wat er met je data gebeurt. Hieronder bespreken we hoe.

Controle over data van derden

Werken met third-party web tracking scripts betekent niet altijd dat je weet welke data er verzameld wordt. Met Server GTM kun je dit nauwkeuriger beheren. Bijvoorbeeld, als je Server Side Tagging voor Facebook wilt instellen, kun je met server tags precies aangeven welke info naar Facebook gaat. Hiermee beperk je wat Facebook kan zien.

Veilig omgaan met gevoelige info en PII

Het is tegen het beleid van platforms als Google en Facebook om persoonlijk identificeerbare informatie (PII) te sturen. Server GTM helpt je hiermee om te gaan. Je kunt PII  zoals IP adressen verwijderen voordat het naar externe platforms gaat, of je kunt de info hashen.

Oplossingen voor Data Management

• Hashing van Gebruikersgegevens: Verschillende platforms hebben hun eigen normen voor hashing. Bijvoorbeeld, Google Analytics gebruikt SHA256, net als Facebook.
• Gebruik een Fake GA4 ID: Sommige mensen gebruiken een echt Google Analytics 4 ID voor event tracking, en een fake GA4 ID om data naar de server container te sturen.

Server GTM biedt je ook de mogelijkheid om website-URL's aan te passen voordat je deze naar een externe partij stuurt. Dit is handig als je bijvoorbeeld gevoelige informatie in je URL’s hebt staan die niet mag worden gedeeld.

Is Server-side de toekomst?

Gezien de toenemende nadruk op data privacy en de AVG, lijkt Server Side Tagging meer dan een trend. Het stelt bedrijven in staat om de dataverzameling te verfijnen, terwijl het zorgt voor een betere naleving van de privacywetgeving. Sommige landen verbieden al het gebruik van bepaalde third-party tracking tools, wat de behoefte aan server side oplossingen verder versterkt.

Ook is er een verschuiving van Third Party naar First Party Cookies vanwege grotere nadruk op gebruikersprivacy. Server Side Tagging biedt hier een aanvullende oplossing door gevoelige data te filteren en te hashen voordat deze naar externe partijen wordt gestuurd.

Al met al lijkt  Server Side Tagging niet alleen de toekomst te zijn; het lijkt de toekomst te vormen. Met een toenemende focus op AVG-compliance en data-integriteit, biedt Server Side Tagging een pad naar zowel naleving als gedetailleerde data-analyse.

TAGGRS bied Server-side Tracking hosting aan waardoor je online data kan blijven verzamelen terwijl je wel voldoet aan de AVG wetgeving.