Gebruikersgegevens anonimiseren in Google Analytics 4

De Algemene Verordening Gegevensbescherming (AVG, ook bekend als GDPR) maakt het noodzakelijk om de privacy van gebruikers te beschermen. Volgens de AVG moet u alle persoonsgegevens die tot een individu herleidbaar zijn verwijderen voordat u gebruikersgegevens overdraagt aan een tool van een Amerikaans bedrijf. Deze stap werd noodzakelijk nadat het Privacy Shield ongeldig werd verklaard.

In dit artikel leggen we uit hoe u gebruikersgegevens automatisch kunt verwijderen met de Anonymizer power-up van Stape en hoe u gebruikersgegevens handmatig kunt verwijderen via web- en server-side GTM. Dit artikel is een aanvulling op ons eerdere blogartikel over waarom u een proxyserver nodig hebt om Google Analytics op een AVG-conforme manier te gebruiken.

In verschillende EU-landen (Italië, Frankrijk, Oostenrijk en Denemarken) hebben burgers contact opgenomen met hun nationale gegevensbeschermingsautoriteiten om te achterhalen of het gebruik van Google Analytics op een website voldoet aan de AVG. In al deze gevallen was het antwoord hetzelfde: het gebruik van Google Analytics is niet in overeenstemming met de AVG.

De belangrijkste reden hiervoor is dat Amerikaanse bedrijven, waaronder Google, onvoldoende beveiligingsmaatregelen bieden om de persoonsgegevens van EU-gebruikers te beschermen. Daarom is het delen van persoonsgegevens (PII) met Amerikaanse bedrijven in strijd met de AVG. Meer informatie hierover vindt u in ons eerdere blogartikel.

Het goede nieuws is dat er een oplossing bestaat waarmee u Google Analytics kunt gebruiken en tegelijkertijd server-side tracking AVG-conform kunt implementeren. Volgens de Franse gegevensbeschermingsautoriteit CNIL zijn hiervoor twee belangrijke maatregelen nodig: een proxyserver binnen de EU en pseudonimisering van gebruikersgegevens voordat deze worden doorgestuurd.

Een proxyserver voorkomt rechtstreeks contact tussen de website en een Amerikaanse analysetool. De eenvoudigste manier om zo'n proxyserver te implementeren, is door een server-side Google Tag Manager-container (sGTM) te gebruiken. Proxyservers moeten aan verschillende criteria voldoen. De belangrijkste zijn dat het bedrijf dat de proxyserver aanbiedt in de EU geregistreerd moet zijn en dat de servers waarop uw sGTM-container wordt gehost zich fysiek binnen de EU moeten bevinden. Om deze twee redenen kunt u Google Cloud (GCP) niet gebruiken voor sGTM. De reden is dezelfde als bij Google Analytics: Google Cloud is eigendom van Google, een Amerikaans bedrijf.

Een ander goed nieuws is dat Stape hiervoor een oplossing biedt. We hebben een specifiek product: Stape Europe, dat aan alle vereisten voor een EU-proxyserver voldoet. Stape Europe is geregistreerd in de EU (Estland) en maakt gebruik van EU-cloudservers van Scaleway om uw sGTM-container te hosten.

In dit artikel wil ik me vooral richten op het tweede onderdeel van de regelgeving: de pseudonimisering van gebruikersgegevens. Bij Stape ontwikkelen we verschillende functies waarmee u gebruikersgegevens automatisch kunt verwijderen. Daarom verdeel ik dit artikel in twee delen:

• Gebruikersgegevens automatisch verwijderen of pseudonimiseren met de Anonymizer power-up van Stape.
• Gebruikersgegevens handmatig verwijderen met web- en server-side GTM.

Welke gebruikersgegevens precies gepseudonimiseerd moeten worden, is niet duidelijk afgebakend.

• IP-adressen.
• Gebruikersidentificatoren (zoals de Google Client ID).
• Externe verwijzingsbronnen (referrers).
• URL-parameters.
• Gegevens die kunnen worden gebruikt voor browserfingerprinting.
• Cross-site identificatoren.
• Alle andere gegevens waarmee een gebruiker kan worden geïdentificeerd.

IP-adressen vormen een van de meest voorkomende privacykwesties bij het verzenden van gegevens naar analyseplatforms. Hoewel GA4 IP-adressen automatisch anonimiseert, moeten sommige bedrijven IP-adressen mogelijk vervangen voordat deze hun eigen infrastructuur verlaten. Lees hoe u aanvullende IP-anonimisering voor GA4 kunt implementeren met server-side GTM.

Op dit moment ontwikkelen we de Anonymizer power-up van Stape uitsluitend voor GA4. In toekomstige updates wordt deze echter aangepast en ook beschikbaar gemaakt met een anonimiseringsfunctie voor UA.

Het is belangrijk om te begrijpen dat de parameters die GA4 verzendt kunnen veranderen. We blijven dit artikel bijwerken, maar zorg ervoor dat u de anonimisering van gebruikersgegevens test voordat u deze in uw productieomgeving implementeert.

De beste tool die ik heb gevonden om GA4-parameters bij te houden en te identificeren, is deze tool.

De pseudonimisering van gebruikersgegevens vindt plaats binnen de GA4-tags in de web- en server-side GTM-container. Als u GA4 server-side tracking nog niet hebt ingesteld, volg dan onze handleiding voor het instellen van GA4 server-side tracking.

Er zijn geen strikte richtlijnen voor welke gegevens precies moeten worden verwijderd. U bepaalt zelf welke maatregelen u wilt nemen om uw bedrijf te beschermen. U kunt bijvoorbeeld het IP-adres van een gebruiker volledig verwijderen of alleen de laatste cijfers weglaten. Een andere belangrijke vraag gaat over parameters zoals land, taal en browser. Elke parameter afzonderlijk bevat mogelijk onvoldoende informatie om een gebruiker te identificeren, maar een combinatie van deze parameters kan dat wel mogelijk maken.

Over het verwijderen van parameters zoals de Client ID of URL-queryparameters bestaat weinig twijfel. Elk van deze parameters kan afzonderlijk al leiden tot identificatie van een gebruiker vanwege de unieke identificatoren die Google gebruikt.

Stel dat het voor u belangrijk is om mobiel verkeer met desktopverkeer te vergelijken of conversies in verschillende browsers te analyseren. Moet u dan alle gegevens verwijderen die voor fingerprinting en gebruikersidentificatie kunnen worden gebruikt, of slechts een deel daarvan? Kunt u informatie over de browser en het apparaat behouden als u alle andere parameters verwijdert?

Bespreek deze vragen met uw juristen of functionaris voor gegevensbescherming (DPO), zodat uw bedrijf goed beschermd is als een toezichthouder een onderzoek instelt. Naar mijn mening is het beter om alle gebruikersidentificatoren te verwijderen die kunnen worden gebruikt voor fingerprinting of heridentificatie. Zo verkleint u de risico's voor uw bedrijf.

Dit artikel is niet bedoeld als een bindende handleiding. We delen alleen onze ervaringen met het verwijderen en pseudonimiseren van gegevens en laten zien hoe Stape dit automatisch doet. U kunt ervoor kiezen onze Anonymizer power-up niet te gebruiken of elke parameter handmatig te anonimiseren.

We hebben onlangs de Anonymizer power-up uitgebracht. Deze is beschikbaar voor alle Stape-gebruikers. Het belangrijkste doel van Anonymizer is om gebruikersgegevens in Google Analytics 4 te verwijderen of te anonimiseren.

Om Anonymizer in te schakelen, opent u uw sGTM-container in Stape, klikt u op Power-ups en selecteert u Anonymizer.

Dit product bevat GeoLite2-gegevens die zijn ontwikkeld door MaxMind en beschikbaar zijn via https://www.maxmind.com.

U moet aangeven welke parameters u ongewijzigd wilt laten, verwijderen of anonimiseren. Nadat u de parameters hebt ingesteld, moet u de taggingserver-URL voor Google Analytics 4 bijwerken. Als u eerder https://sgtm.example.comals taggingserver-URL gebruikte, wordt de bijgewerkte URL na het inschakelen van Anonymizer https://sgtm.example.com/anonymize. We leiden uw verzoeken via het pad /anonymize naar sGTM en verwijderen de opgegeven gegevens.

Wanneer GA-verzoeken via een taggingserver-URL met /anonymize worden verzonden, verwijderen of anonimiseren we de geselecteerde parameters automatisch.

Controleer na het inschakelen en configureren van Anonymizer of u de GA4/UA-transport-URL in de configuratietag van Web GTM hebt gewijzigd naar de URL die eindigt op /anonymize.

Hieronder vindt u een lijst met alle parameters die Anonymizer kan verwijderen of anonimiseren. Bij de ontwikkeling van Anonymizer wilden we onze klanten de mogelijkheid bieden om alle parameters te verwijderen die mogelijk als persoonsgegevens kunnen worden beschouwd. U kunt zelf selecteren welke parameters u wilt verwijderen. Bespreek met uw DPO of juristen welke parameters verwijderd moeten worden.

Voor de meeste parameters hebt u twee opties: ongewijzigd laten of verwijderen. Voor twee parameters (IP en Client ID) zijn ook de opties Anonymize en Anonymize Strictly beschikbaar.

IP

Anonymize – Verwijdert het laatste octet.

Anonymize Strictly – Verwijdert de laatste twee octetten.

Client ID. Werkt alleen als u JavaScript Managed-clientidentificatie gebruikt.

Anonymize – Gebruikt een hash van IP + UserAgent en voegt het jaar en de maand toe.

Anonymize Strictly – Gebruikt een hash van IP + UserAgent en voegt een tijdstempel toe: crc32_hash(IP+UA).timestamp.

De parameters die Google Analytics 4 verzamelt, kunnen van tijd tot tijd veranderen. Controleer daarom uw GA4-verzoeken om er zeker van te zijn dat alle gebruikersgegevens worden verwijderd.

Nadat u de parameters in Anonymizer hebt geconfigureerd en de GA4-transport-URL hebt gewijzigd naar een URL die eindigt op /anonymize, verwijderen of anonimiseren we de opgegeven parameters.

Gebruik na het inschakelen van Anonymizer en het bijwerken van de GA4-transport-URL de debuggers van web-GTM en sGTM, de console en de GA4-debugger om te controleren of alle vereiste parameters zijn verwijderd.

Dit is relatief eenvoudig te implementeren, maar er bestaat enige discussie over. Google heeft een ingebouwde functie waarmee de laatste byte van het IP-adres wordt verwijderd. Door deze byte te verwijderen, wordt de kans dat Google een gebruiker kan identificeren 1 op 256. In combinatie met andere parameters kan een IP-adres echter snel worden gebruikt om een specifieke persoon te identificeren.

Sommige mensen vinden dat het verwijderen van het laatste octet voldoende is. Anderen zijn van mening dat het volledige IP-adres moet worden verwijderd. Naar mijn mening is het beter om het IP-adres van de gebruiker volledig te vervangen. U weet immers nooit of en hoe Google IP-adressen opnieuw gebruikt.

Om het IP-adres van de gebruiker te verwijderen, heb ik de server-side GA4-tag gebruikt en ip_override ingesteld op een willekeurig IP-adres.

Google kent een unieke Client ID toe aan elke combinatie van browser en apparaat. Deze wordt gebruikt om te herkennen wanneer dezelfde gebruiker uw website opnieuw bezoekt. Deze parameter moet worden verwijderd of gepseudonimiseerd voordat deze naar GA4 wordt verzonden.

Er zijn talloze manieren om Client ID's te anonimiseren. Welke methode u kiest, hangt af van uw creativiteit en de tools die u gebruikt. Zorg er wel voor dat de Client ID uniek is en dat u een tijdsafhankelijke component toevoegt.

U kunt bijvoorbeeld een hash gebruiken van de User Agent, het IP-adres of een willekeurig getal dat door een GTM-variabele wordt gegenereerd. Anders dan bij het IP-adres hebben we geen manier gevonden om de Client ID aan de serverzijde te verwijderen. Daarom hebben we dit aan de clientzijde gedaan.

Nadat u de Google Analytics Client ID hebt geanonimiseerd, wilt u mogelijk ook de GA4-cookies overschrijven met de nieuwe waarden om ervoor te zorgen dat GA4 geen gebruikersidentificatoren instelt. Hiervoor heb ik het Cookie Monster-tagsjabloon voor de server-side GTM-container gebruikt. U hoeft alleen de namen en waarden van de cookies toe te voegen. Vergeet na afloop niet om via de console te controleren welke cookies GA instelt.

Het anonimiseren van de Client ID heeft aanzienlijke gevolgen voor de rapportage in GA4. Omdat de Client ID uniek zal zijn, kan GA geen onderscheid meer maken tussen nieuwe en terugkerende bezoekers. Dit heeft ook gevolgen voor multichannel-attributie en gebeurtenissen zoals het begin van een sessie, het eerste bezoek en dergelijke.

Een externe verwijzingsbron wordt gebruikt om te bepalen hoe een gebruiker op uw website terecht is gekomen. Kwam de gebruiker via organisch zoekverkeer, betaalde advertenties of misschien sociale media?

Om deze informatie te verwijderen, moet u de parameter page_referrer overschrijven.

Het belangrijkste doel van URL-parameters is om de herkomst van advertentiecampagnes te bepalen. URL-parameters kunnen bijvoorbeeld utm_source, utm_medium, verschillende soorten Click ID's en andere gegevens bevatten. Daarnaast voegen sommige platforms automatisch gebruikersgegevens toe aan de URL.

Om URL-parameters te verwijderen, moet u de pagina-URL overschrijven. In de sjabloongalerij van web-GTM zijn verschillende variabelen beschikbaar die hierbij kunnen helpen. Ik heb Trim Query gebruikt. U hoeft alleen een blokkeerlijst (blocklist) of lijst met toegestane queryparameters (allowlist) op te geven. De variabele doet vervolgens automatisch de rest.

Dit kan informatie zijn zoals de User Agent, het apparaat, de browser, de schermresolutie, de taal, het besturingssysteem enzovoort. Zorg ervoor dat u alle informatie verwijdert die kan worden gebruikt voor browserfingerprinting.

Zorg ervoor dat u geen cross-site identificatoren gebruikt, zoals een gebruikers-ID of CRM-ID.

Dit onderdeel is misschien wat lastiger te begrijpen. Ik raad u aan om de verzoeken die uw sGTM-container naar GA verzendt te controleren en ervoor te zorgen dat er geen parameters aanwezig zijn waarmee een gebruiker opnieuw kan worden geïdentificeerd.

Ga eerst naar de server-side GTM-debugger en bekijk de uitgaande GA4-verzoeken. Test verschillende scenario's, bijvoorbeeld met en zonder gebruikersparameters, met URL-parameters, verschillende gebeurtenissen, verwijzingsbronnen enzovoort.

De tweede methode is om de Google Analytics 4-debugger te gebruiken en te controleren welke gegevens GA4 verwerkt.

Google is niet het enige bedrijf dat gegevens van EU-gebruikers verzamelt en naar de VS overdraagt, wat in strijd is met de AVG. Verschillende bedrijven verzamelen al jarenlang persoonsgegevens van Europeanen. Nu lijkt het erop dat deze praktijken over de hele linie zullen worden beperkt als gevolg van het ongeldig verklaren van het Privacy Shield en de uitspraak dat de overdracht van gegevens van EU-gebruikers naar de VS volgens de AVG onrechtmatig is.

Als u eigenaar bent van een website in de Europese Unie, is het tijd om opnieuw te beoordelen welke gegevens u met Amerikaanse bedrijven deelt. Anders loopt u het risico op boetes van toezichthoudende instanties.