'Overheidssites laks met Google Analytics-cookies'

De Rijksoverheid heeft bijna 1200 websites, van het Centraal Bureau voor de Statistiek (CBS) en de Kiesraad tot de Nationale Politie en de Sociale Verzekeringsbank (SVB). Alex Bik, CTO van provider Bit, was benieuwd hoeveel van die sites gebruikmaken van Google Analytics-software. Met deze software krijgen websitebeheerders inzicht in bezoekersaantallen en – indien ingesteld – meer gedetailleerde informatie. Google krijgt deze gegevens ook. De bezoekers registreren gebeurt via trackingcookies, die niet privacyvriendelijk zijn voor de consument. Uit Biks onderzoek zou blijken dat 236 Rijksoverheidsites gebruikmaken van Google Analytics, schrijft De Volkskrant. Hoe erg is dat?

Privacy

Bik is er niet blij mee. Als voorstander van online privacy vindt hij dat de overheid zo min mogelijk bezoekersstatistieken moet delen met Google. Helemaal omdat 72 procent van de onderzochte sites Analytics-cookies plaatst zonder dat de bezoeker hier expliciet van op de hoogte wordt gesteld, aldus Bik. En als kers op de taart missen de meeste sites een opt-outknop, die bezoekers de keuze geeft om de cookies te blokkeren. Van de 102 sites die Bik onder de loep nam, hebben er slechts 14 zo’n knop. De opt-outmogelijkheid betekent overigens niet dat je sitebezoek niet geregistreerd wordt. Een website kan de cookie(s) al plaatsen voordat jij wel of geen toestemming geeft. En dat mag niet, oordeelde de Autoriteit Persoonsgegevens (AP) laatst.

Zijn de cookies van de Rijksoverheid fout?

De grote vraag is daarom of de betreffende websites van de Rijksoverheid in strijd handelen met de cookiewetgeving. Dit hangt af van de vraag of de Google Analytics-cookies wel of geen trackingcookies zijn. Bik van provider BIT vindt van wel. De AP zegt tegen De Volkskrant dat dit afhangt van de wijze waarop de cookies zijn ingesteld. De Rijksoverheid moet net als iedere andere organisatie de richtlijnen volgen om Google Analytics ‘correct’ te gebruiken. De AP heeft hier een handleiding (pdf) van, die onder andere uitlegt hoe je bepaalde data binnenhuis (en dus buiten het zicht van Google) houdt. Als een site de richtlijnen volgt, is de Analytics-cookie een zuiver analytische cookie waar geen toestemming van de gebruiker voor nodig is.

Het is niet bekend of alle Rijksoverheidssites die richtlijnen aanhouden – en dus correct cookies gebruiken. De Volkskrant deed navraag bij een paar organisaties, die bevestigend antwoordden.

Adviesorgaan raadt privacyvriendelijker alternatief aan

Stel dat alle sites van de Rijksoverheid hun cookiebeleid op orde hebben, ook dan is Bik niet tevreden. Hij ziet graag dat de overheid Google Analytics inruilt voor een privacyvriendelijker alternatief. Privacyvoorvechters en techkenners raden bijvoorbeeld Piwik aan, een dienst die veel informatie levert maar bezoekersgegevens anonimiseert. De Dienst Publiek en Communicatie, die de Rijksoverheid adviseert bij websiteontwikkeling en online analyses, is volgens De Volkskrant eveneens voorstander van Piwik. De dienst raadt overheidssites Piwik aan, maar kan niets opleggen. Zo’n tweehonderd sites gebruiken Piwik, wat dus vergelijkbaar is met het aantal dat Google Analytics gebruikt (236).

De Autoriteit Persoonsgegevens start later dit jaar een onderzoek naar trackingcookies en zal ook kijken naar overheidswebsites.