De webcoördinator van een middelgrote gemeente belde me een tijdje geleden met een vraag die ik inmiddels vaker heb gehoord: “Wij weten dat GA4 juridisch een probleem is, maar we hebben geen capaciteit om het zelf te vervangen. Wat zijn de opties?”
Het is een eerlijke vraag. Analytics is voor de meeste publieke organisaties geen kerncompetentie, het is infrastructuur. Je wil weten hoeveel bezoekers een pagina had, hoe ze het contactformulier vinden, en of die campagne heeft gewerkt. Je wil daar geen halftime FTE op zetten.
Tegelijk is het geen beslissing die je kunt blijven uitstellen. De AVG, de Schrems II-uitspraken en de handhavingsdruk op overheidsorganisaties maken dat de juridische rekening vroeg of laat gepresenteerd wordt. De vraag is alleen wanneer.
Waarom dit specifiek voor overheden speelt
Voor een commercieel bedrijf is GA4 risicovol maar hanteerbaar. Je kunt een juridische afweging maken, cookiebanner optuigen en doorrijden.
Voor publieke organisaties werkt die redenering niet. Overheidswebsites zijn niet optioneel; burgers kunnen niet kiezen om niet naar de gemeentewebsite te gaan als ze een vergunning nodig hebben. Dat maakt de verwerkingsgrondslag lastiger te rechtvaardigen. Een cookiemuur voor een belastingaangifte of een bezwaarformulier is juridisch en maatschappelijk onverdedigbaar.
Bovendien heeft elke publieke organisatie een Functionaris Gegevensbescherming die bij een audit naar de DPIA vraagt. Een DPIA voor GA4 schrijven die waterdicht is, lukt nauwelijks: de datastromen zijn deels Googles kant en daarmee moeilijk volledig te beschrijven.
Wat uitbesteden aan een webanalytics bureau concreet inhoudt
Uitbesteden aan een analytics bureau is niet één ding. Er zijn grofweg drie varianten.
Alleen implementatie. Het bureau richt de tool in (tags, events, dashboards) en jij beheert het daarna zelf. Dit is geschikt als je intern capaciteit hebt om rapportages te draaien en vragen te beantwoorden, maar niet om een implementatie te bouwen.
Implementatie plus rapportage. Het bureau richt in en levert periodieke rapportages. Handig voor organisaties die intern geen analyst hebben, maar wel stuurinformatie nodig hebben voor directie of raad.
Volledig ontzorgd. Van toolkeuze tot DPIA tot maandelijkse analyse. Dit is wat grotere uitvoeringsorganisaties en ministeries vaak nodig hebben: één aanspreekpunt dat de technische en juridische kant beheerst, zodat communicatie zich op de inhoud kan richten.
De keuze tussen die drie hangt af van je interne capaciteit, niet van je budget. Een bureau inschakelen voor alleen implementatie terwijl je intern niemand hebt die rapportages interpreteert, is geld uitgeven zonder voordeel.
Wat het kost
Analytics uitbesteden aan een bureau loopt uiteen van een paar honderd euro per maand voor basisrapportages tot zes- tot achtduizend euro per jaar voor een volledig beheerd traject bij een middelgrote gemeente.
De relevante vraag is niet wat het kost, maar wat het kost om het zelf te doen. Een junior medewerker die een halve dag per week kwijt is aan analytics plus een licentie voor een tool die juridisch wankel is, is zelden de goedkoopste route. En de rekening voor een incidentrespons na een AVG-melding of een AP-onderzoek is een veelvoud van elk uurtarief van elk bureau.
Waarom cookieloze analytics het fundament verandert
De meeste discussies over analytics uitbesteden gaan over toolkeuze en kosten. Wat er te weinig bij wordt gezegd: de toolkeuze bepaalt of je een DPIA nodig hebt, of een cookiebanner verplicht is, en of je überhaupt toestemming moet vragen.
Cookieloze analytics werkt zonder persistent identifiers in de browser van de bezoeker. Er worden geen cookies geplaatst. Er worden geen gegevens doorgestuurd naar servers buiten de EU. De rechtsgrondslag verschuift van toestemming naar gerechtvaardigd belang of wettelijke taak. Een fundament dat bij overheidswebsites veel makkelijker te verdedigen is.
Voor publieke organisaties is dit geen luxe maar een architecturale keuze met directe juridische implicaties. Een bureau dat dit begrijpt, en dat tools inzet die op deze basis zijn gebouwd, geeft je een fundamenteel andere positie bij een audit dan een bureau dat GA4 optuigt met een uitgebreide cookiebanner.
Hoe je een goed bureau herkent
Niet elk webanalytics bureau begrijpt de context van de publieke sector. Een paar vragen die snel duidelijkheid geven.
Waar staat de data? Als het antwoord “in de EU” is zonder verdere specificatie, is het onvoldoende. Je wilt weten: welke juridische entiteit beheert de server, onder welke verwerkingsovereenkomst, en wie heeft toegang.
Welke tool zetten ze in? Een bureau dat standaard GA4 voorstelt voor overheidsklanten, begrijpt het juridische landschap niet of verkiest gemak boven verantwoordelijkheid.
Hebben ze ervaring met DPIAs? Niet alleen met “wij helpen je aan een sjabloon”, maar met de inhoud: weten ze welke gegevenscategorieën een analytics-tool verwerkt en hoe je dat in een DPIA onderbouwt?
Wat gebeurt er met jouw data als je het contract beëindigt? Elk serieus bureau moet kunnen uitleggen hoe je jouw ruwe data meeneemt naar een opvolger. Als het antwoord vaag is, is dat een signaal.
Wanneer uitbesteden het meeste oplevert
Uitbesteden werkt goed als aan één van de volgende condities is voldaan.
Je hebt intern geen analyst en de rapportages worden nu zelden gelezen omdat niemand er tijd voor heeft. Een bureau dat maandelijks een leesbare samenvatting stuurt is meer waard dan een licentie die stof verzamelt.
Je hebt een aanstaande audit, een FG-review of een NIS2-deadline en je wil de analytics-positie snel op orde hebben. Een implementatietraject van zes tot twaalf weken is realistisch; een interne herbouw van een jaar is dat niet.
Je organisatie groeit of fuseert en de meetstrategie moet mee. Een extern bureau kan die transitie begeleiden zonder de dagelijkse operatie te verstoren.
Eerlijk gezegd: wij zijn ook zo'n bureau.
ook zonder dat je er zelf naar gevraagd hebt.
Govanalytics begeleidt zelf dit soort trajecten. Alles hierboven over hoe je een goed bureau herkent, geldt als maatstaf voor ons. We werken met cookieloze technologie, data gehost in Nederland en een implementatieproces ingericht op de publieke sector. Vraag dezelfde vragen aan ons en aan elk ander bureau op je shortlist.
Vrijblijvend kennismaken →Veelgestelde vragen
- Is Google Analytics 4 nog legaal voor Nederlandse overheidsorganisaties?
- De juridische positie van GA4 bij Nederlandse overheidsorganisaties is precair. De Autoriteit Persoonsgegevens en Europese toezichthouders hebben herhaaldelijk gewezen op het risico van datadoorgifte naar de VS, ook bij gebruik van de EU-regio-optie. Voor publieke organisaties die onder de AVG vallen en waarbij burgers geen keuze hebben om de website te mijden, is de verwerkingsgrondslag extra lastig te rechtvaardigen. De verstandige keuze is migreren voordat handhaving dat afdwingt.
- Wat is het verschil tussen Google Analytics uitbesteden en een privacyvriendelijke tool kopen?
- Dit zijn twee afzonderlijke beslissingen. Je kunt GA4 uitbesteden aan een bureau dat het voor je beheert, maar je houdt dan een tool die juridisch kwetsbaar is. Je kunt ook overstappen naar een privacyvriendelijk alternatief en dat zelf beheren. De sterkste combinatie is een tool met een solide AVG-positie, beheerd door een bureau dat de publieke sector begrijpt. Dan is zowel de technische als de juridische last van je eigen team af.
- Hoe lang duurt een analytics-migratie gemiddeld?
- Voor een middelgrote gemeentewebsite rekenen we met zes tot twaalf weken van eerste gesprek tot volledig operationele nieuwe omgeving. De voornaamste factor is de complexiteit van de bestaande GTM-implementatie. Bij tools die het GA4-trackingprotocol ondersteunen zoals Govanalytics hoeft de tagging op de website zelf vaak niet te veranderen, wat de doorlooptijd aanzienlijk verkort.
- Kan ik mijn historische GA4-data meenemen bij een migratie?
- Ruwe event-data uit GA4 is niet exporteerbaar in een standaard formaat dat andere tools direct inlezen. Wat je kunt doen: geaggregeerde rapporten exporteren als referentie. Als je GA4 via BigQuery exporteerde, bewaar je die ruwe data in eigen beheer. Voor de doorlopende meting start je met een nieuwe omgeving. De meeste organisaties laten beide systemen een periode parallel draaien om de cijfers te valideren voordat GA4 wordt stopgezet.
- Wat moet er minimaal in een DPIA staan voor analytics-tooling?
- Een DPIA voor analytics-tooling beschrijft welke persoonsgegevens worden verwerkt (IP-adressen, cookie-ID's, gedragsdata), op welke rechtsgrondslag, door welke verwerkers, waar de data wordt opgeslagen en hoe lang. Voor cookieloze analytics is dit aanzienlijk eenvoudiger: als er geen persoonsgegevens worden verwerkt, is de DPIA kort en verdedigbaar. Voor GA4 is de DPIA complex omdat de datastromen deels door Google worden beheerd en moeilijk volledig te beschrijven zijn.