Privacy-first aanpak voor Overheid & NGO’s

Meten en inzicht met behoud van privacy

Als publieke organisatie wil je aantonen welk bereik je hebt en of je boodschap het gewenste effect heeft. Daarvoor meet je het gedrag van je bezoekers, vaak met diensten van Amerikaanse bedrijven zoals Google. Maar wie er bij die gegevens kan, is dan juridisch onzeker. Het Hof van Justitie van de EU heeft al twee eerdere afspraken tussen de EU en de VS over het doorgeven van persoonsgegevens ongeldig verklaard. De huidige afspraak is nog geldig, maar ook daarover loopt weer een zaak bij het Hof. Wij richten de data en tracking in met Europese diensten. Zo kun je precies aanwijzen waar de gegevens staan, wie erbij kan en op welke grond. Op deze manier kan je zo compleet en accuraat mogelijke data verzamelen, zonder de zorgen dat de privacy en anonimiteit van de bezoekers niet gewaarborgd wordt.

Plan een kort gesprek in

Ga naar case studies

Waar het misgaat

Je wilt weten hoeveel mensen je bereikt en wat er op je pagina’s goed werkt. Daarbij wil je kunnen uitleggen wat er met de gegevens van je bezoekers gebeurt. In de praktijk gaat het meestal op een van deze vier punten mis: de gegevens komen bij een buitenlandse partij terecht, niemand weet precies wat er wordt verzameld, de privacy en anonimiteit van bezoekers wordt niet gewaarborgd, of de cijfers kloppen niet.

Veel platforms, zoals Google Analytics, sturen gegevens van bezoekers naar de VS, waar Amerikaanse overheidsdiensten ze kunnen opvragen. Toezichthouders in Oostenrijk en Frankrijk vonden dat in 2022 in strijd met de AVG. Een eigen server in Europa, waarop je zelf bepaalt wat er wordt doorgestuurd, helpt alleen als die server niet van een Amerikaans bedrijf is. Zo kun je voorkomen dat gevoelige data van jouw gebruikers beter beschermd is.

Je organisatie is verantwoordelijk voor alle gegevens die je van bezoekers verzamelt, ook als je daar zelf nooit voor hebt gekozen. Denk aan code die een reclamebureau ooit op je pagina’s heeft gezet om advertenties op LinkedIn te meten, en die er na afloop van de campagne nog steeds staat. Bij onze audits komen wij regelmatig code tegen waar binnen de organisatie niemand meer van wist. Ook zien wij vaak dat er al gegevens worden verzameld voordat de bezoeker toestemming heeft gegeven via de cookiebanner.

Bij veel organisaties is het garanderen van de online privacy en anonimiteit van de website bezoekers een kernwaarde. Hierom is het extra kwalijk als er toch (onbewust) persoonlijk identificeerbare informatie (PII) wordt verzameld. Als dit mis gaat, kan dit het vertrouwen in de organisatie enorm schaden. Vaak gebeurt dit snel en zonder dat mensen het weten, door een verkeerde instelling in het Analytics platform, de Tag Manager of de Consent Banner.

Met je websitestatistieken laat je zien wat je hebt bereikt, in je jaarverslag of tegenover een subsidiegever. Maar dan moeten ze wel kloppen. Vaak wordt een groot deel van je bezoekers niet gemeten, omdat ze geen toestemming geven of een advertentieblokker gebruiken. Hoe groot dat deel is, weet je meestal niet. Ook tellen meetdiensten niet allemaal op dezelfde manier. Stap je over naar een andere dienst, dan kun je je bezoekersaantallen niet meer vergelijken met die van voorgaande jaren.

Begin klein, bouw verder waar nodig

Wij geloven niet in full service marketing agencies. Wij doen het technische werk en brengen de rest onder bij partners uit ons netwerk. Meestal beginnen wij met een gesprek en een audit. Daaruit blijkt op welke van de bovenstaande punten het bij jouw organisatie beter kan, en welke onderdelen je daarna nodig hebt. Elk onderdeel hieronder is apart in te kopen en heeft een vaste prijs, zodat je vooraf weet waar je aan toe bent.

Audit & meetplan
Een overzicht van wat je huidige tracking verzamelt, waar die gegevens terechtkomen en wat er aangepast moet worden. In het meetplan leggen we vast welke cijfers je echt nodig hebt en voor welk doeleinde binnen de bedrijfsvoering, zodat deze data accuraat verzameld kan worden.
Consent van bezoekers
Voordat er data verzameld mag worden moeten bezoekers toestemming geven in de consent/cookie banner. Hier zijn veel vuistregels waaraan deze banner moet voldoen, zowel in het ontwerp als wat er onder water verzameld wordt. Zo wordt er pas gemeten na toestemming. Wie weigert, kan waar dat mag anoniem worden meegeteld.
Server-side tracking op Europese systemen
De gegevens van je bezoekers gaan eerst naar je eigen server, waar jij bepaalt wat er wordt doorgestuurd. Die server draait bij een Europese partij die past bij je situatie. Wij zijn niet gebonden aan één leverancier, maar werken onder meer met TAGGRS. Omdat de meting via je eigen domein loopt, worden je cijfers ook vollediger.
Privacy-first analytics
Een overstap van Google Analytics naar een meetdienst zoals Piwik PRO of Matomo, waarbij je de gegevens in eigen beheer houdt en focust op privacy. Je weet vooraf welke cijfers anders worden.
Onderbouwing voor je DPIA.
De technische feiten die je functionaris gegevensbescherming nodig heeft.
First-line technical support.
Voor een vast bedrag per maand staan wij klaar voor alle vragen en problemen rond de bestaande meting. Werkt er iets niet meer, dan zoeken wij uit wat er mis is en lossen we het op. Bij wensen voor iets nieuws denken we mee over de aanpak. Het bouwen zelf valt buiten het maandbedrag en volgt in een apart voorstel.

Wat we voor anderen hebben gedaan

De Kindertelefoon

De Kindertelefoon wilde de werving van vrijwilligers goed kunnen volgen, zonder gegevens van kinderen te verzamelen. Wij bouwden een meting met Piwik PRO en server-side tracking op Europese systemen. Op pagina’s voor kinderen wordt alleen anoniem gemeten. Deze aanpak presenteerden wij op de Piwik PRO Meetup’26 in Rotterdam. Lees de case.

Stichting Long Covid

Stichting Long Covid financiert en stimuleert biomedisch onderzoek naar de oorzaken en de behandeling van langdurige COVID-klachten, en richt zich daarbij op patiënten, zorgverleners en beleidsmakers. Wij werkten pro bono voor de stichting, zoals wij dat voor een beperkt aantal goede doelen doen. Wij voerden een technische SEO-audit uit met een geprioriteerde verbeterlijst, implementeerden een Cookiebot consent banner afgestemd op Google Consent Mode V2, en richtten Google Tag Manager in voor het meten van de interacties op de site. Lees de case.

CBI

Toen Universal Analytics stopte, had CBI, onderdeel van RVO, bedenkingen bij Google Analytics 4 vanwege de gegevens van bezoekers. Samen kozen we voor Piwik PRO, omdat de rapportages daarvan sterk lijken op die van Universal Analytics. Ook Google Tag Manager is vervangen, zodat Google helemaal niet meer nodig is.

Een tijd lang draaiden de oude en de nieuwe meting naast elkaar, zodat elk verschil in de cijfers te verklaren was. Daarbij bleek dat Piwik PRO flink meer bezoeken telt. Die draait op een eigen domein van CBI en wordt daardoor meestal niet geblokkeerd door advertentieblokkers. Doordat de inrichting de meetrichtlijnen van RVO volgt, kan CBI zijn cijfers bovendien vergelijken met die van andere overheidsorganisaties.

Privacy-first tools die wij inzetten

We kiezen per situatie wat past, niet wat we toevallig altijd gebruiken. Elke tool hieronder moet langs drie vragen. Waar staan de gegevens? Van wie zijn de servers? En onder welke wet valt de leverancier? Komt een tool daar niet goed door, dan gebruiken we hem niet.

Piwik PRO

Een platform voor webstatistieken waarmee je zelf de controle houdt over je data. Het helpt bij het naleven van de AVG en wordt onder meer gebruikt door Rijksoverheid.nl. Goed ingericht kun je ermee meten zonder dat bezoekers toestemming hoeven te geven.

Matomo

Open source en volledig op je eigen servers te draaien. De data verlaat je eigen omgeving niet, en daarmee is de vraag wie de eigenaar is meteen beantwoord. Onder meer de Tsjechische overheid koos voor deze aanpak.

Simple Analytics

Een Nederlandse dienst uit Amsterdam die bezoekers telt zonder cookies. Geschikt voor organisaties die vooral willen weten hoeveel mensen hun website bezoeken, zonder cookiebanner.

Govanalytics

Onze partner Govanalytics biedt cookieloze webanalytics voor overheidsorganisaties, met hosting in Nederland. Daarmee krijg je inzicht in het gebruik van je website, met aandacht voor privacy en controle over je gegevens.

rAnalytics

Onze partner rAnalytics biedt first-party analytics met een eigen datastroom, database en dashboard in je eigen cloudomgeving. Je houdt zelf de controle over je meetgegevens. We kijken daarbij ook naar de cloudleverancier, want eigen beheer betekent niet automatisch Europese hosting.

TAGGRS

Europese hosting voor server-side tracking, met privacykeurmerk en een Europese eigenaar. Daarmee is server-side tracking niet alleen een techniek, maar ook een antwoord op de vraag naar digitale soevereiniteit.

Cookiebot en Usercentrics

Twee platforms voor toestemmingsbeheer van dezelfde Duitse eigenaar. Voor Cookiebot zijn we gecertificeerd partner en verzorgen we de inrichting, de implementatie en het maatwerk van de cookiebanner. Usercentrics zetten we in als de toestemming van de bezoeker door de hele keten moet worden doorgegeven, ook aan de serverkant.

Code-Cube

Houdt je metingen doorlopend in de gaten. Fouten in de dataLayer of in de toestemmingsinstellingen zie je direct, en niet pas bij de kwartaalrapportage.

PostHog

Voor digitale dienstverlening waarbij het gaat om wat mensen in een applicatie doen, niet alleen om welke pagina’s ze bezoeken. PostHog is een Amerikaans bedrijf. Wij zetten het daarom alleen in op eigen servers, zodat de data in je eigen omgeving blijft.

Veelgestelde vragen

Moeten wij dan helemaal stoppen met Google?

Nee, en dat zouden we ook niet als eerste voorstellen. Het hangt af van wat je organisatie nodig heeft. Bij CBI, onderdeel van RVO, hebben we Google helemaal uit de meting gehaald, ook Google Tag Manager. Bij De Kindertelefoon gaan er geen gegevens van bezoekers meer naar Google, maar het beheer loopt nog via Google Tag Manager. Wat wel moet verdwijnen, is elke route waarlangs persoonsgegevens van je bezoekers bij een partij buiten de EU terechtkomen.

Welke organisaties werken al zo?

Onder meer CBI, De Kindertelefoon en Stichting Long Covid. Bij CBI sluit de meting aan op de meetrichtlijnen van RVO. Bij De Kindertelefoon wordt op pagina’s voor kinderen alleen anoniem gemeten. Die aanpak hebben we gepresenteerd op de Piwik PRO Meetup’26 in Rotterdam. Voor Stichting Long Covid werkten we pro bono, zoals we dat voor een beperkt aantal goede doelen doen.

Wat hebben wij hieraan voor onze DPIA?

Je krijgt van ons de technische onderbouwing: welke gegevens er worden verzameld, waar ze fysiek worden verwerkt, wie de subverwerkers zijn en welke bewaartermijnen er echt zijn ingesteld. We lezen daarvoor de verwerkersovereenkomst van elke leverancier zelf door en verwijzen naar de pagina waar het staat. Zo kan je functionaris gegevensbescherming alles zelf nagaan. De beoordeling blijft bij hem of haar. Wij schrijven de DPIA niet en doen geen juridische uitspraken.

Kunnen wij onze cijfers van voorgaande jaren meenemen?

Deels, en daar zijn we vooraf graag eerlijk over. Bij CBI lieten we de oude en de nieuwe meting een tijd naast elkaar draaien. Zo konden we nagaan dat er geen gegevens verloren gingen. Wat bleek: de nieuwe meting telde flink meer bezoeken, omdat advertentieblokkers haar veel minder tegenhouden. En niet elk cijfer betekent nog hetzelfde. Piwik PRO berekent een bounce anders dan Universal Analytics, waardoor de percentages sterk verschilden. Daarom vertellen we bij de start welke rapportages een breuk krijgen. Dan hoef je dat niet een jaar later in een bestuursrapportage uit te leggen.

Werkt dit samen met onze eigen IT-organisatie?

Ja, en meestal is dat ook de enige manier die werkt. Bij CBI ligt de IT bij DICTU, met eigen procedures en een eigen planning voor nieuwe versies. We hebben de meting daar zo ingericht dat DICTU nieuwe tracking scripts eerst controleert voordat die live gaat. Wij leveren ontwerpen die zo zijn uitgewerkt dat ontwikkelaars ze direct kunnen beoordelen en uitvoeren.

Wat gebeurt er als de meting later niet meer goed werkt?

Dan kun je ons inschakelen. We zoeken snel uit wat er mis is en lossen het op. Met Code-Cube houden we je metingen doorlopend in de gaten, zodat fouten direct zichtbaar zijn en niet pas bij de kwartaalrapportage.

Hoe lang duurt zo’n traject?

Begin met een audit van je huidige meting. Die levert binnen een paar weken resultaat op, en je weet daarna precies waar je staat. Een volledige Europese meetopzet kost meer tijd. De doorlooptijd hangt dan vaker af van je interne besluitvorming dan van het bouwen zelf. Bij CBI was bijvoorbeeld goedkeuring van RVO nodig om de meting aan Looker Studio te koppelen. In de tussentijd hebben we de rapportages in Piwik PRO zelf nagebouwd, zodat niemand hoefde te wachten. Na het eerste gesprek krijg je van ons een realistische planning, geen wensdatum.

Wat kost het?

We werken met vaste prijzen per onderdeel, niet per uur. Na het eerste gesprek weet je het bedrag en wat je ervoor krijgt. Wil je klein beginnen, dan is de audit een goede eerste stap.

Laten we kennismaken (met een kop koffie)

We kijken samen of we je kunnen helpen. Kan dat, dan krijg je een voorstel met een vaste prijs. Geen lange trajecten vooraf, we beginnen gewoon. Past je vraag niet bij ons, dan hoor je dat meteen, en vertellen we je wie je wel verder kan helpen.

Go home