Privacyvriendelijke webanalyse: meten wat telt zonder cookiebanner-chaos

Elke ondernemer wil weten of zijn website werkt. Hoeveel mensen komen er, waar komen ze vandaan, en nemen ze contact op? Tegelijk is het antwoord op de vraag “hoe meet ik dat zonder een cookiebanner die de helft van je bezoekers wegjaagt?” minder simpel dan het lijkt. In dit artikel zetten we op een rij wat de Autoriteit Persoonsgegevens (AP) en de Franse toezichthouder CNIL zeggen over analytische cookies, wat Google Analytics en een cookieloos alternatief als Plausible over zichzelf zeggen, en hoe je kiest. Let op: dit is algemene informatie en geen juridisch advies. De regels zijn afhankelijk van hoe je tool precies is ingesteld; laat dat controleren als je twijfelt.

Eerst: welke cijfers heb je echt nodig?

De meeste kleine bedrijven hebben aan een handvol cijfers genoeg:

1. Bezoekers en pagina's: hoeveel mensen komen er en welke pagina's worden gelezen?
2. Herkomst: komen ze via zoeken, social, een advertentie of rechtstreeks?
3. Aanvragen: hoeveel formulieren, telefoontjes of afspraken komen er uit?
4. Zoekopdrachten in Google: waarop word je gevonden? Daarvoor is Google Search Console bedoeld, dat volgens Google laat zien hoe je site presteert in Google Search en je helpt problemen te vinden.
5. Snelheid en problemen: zie Core Web Vitals uitgelegd.

Alles wat daarbovenop komt, zoals profielen van individuele bezoekers of koppelingen aan advertentienetwerken, is alleen nodig als je er een duidelijk doel mee hebt. Hoe minder je verzamelt, hoe minder je hoeft uit te leggen.

Wat zegt de AP over analytische cookies?

De AP onderscheidt drie soorten cookies: functionele cookies, beperkt analytische cookies en overige cookies. Over de tweede soort zegt de AP dat die informatie verzamelen over het bezoek van een website, zoals het aantal bezoekers en de meest bezochte pagina's, en dat zij geen grote gevolgen voor de privacy mogen hebben. Hebben ze geen of geringe gevolgen, dan is volgens de AP geen toestemming nodig; dat staat in de Telecommunicatiewet (artikel 11.7a). Twee kanttekeningen die de AP zelf maakt: verwerken zulke cookies persoonsgegevens, dan heeft de eigenaar een grondslag onder de AVG nodig, en het gebruik moet in de privacyverklaring staan. Trackingcookies, die gedrag over meerdere websites en apps volgen, vallen onder de overige cookies en daarvoor is wel toestemming nodig.

Wat niet telt als geldige toestemming, staat in een nieuwsbericht van de AP uit december 2019, na een controle van circa 175 websites: bijna de helft van de websites die trackingcookies gebruikte, voldeed niet. Toestemming vraagt een ondubbelzinnige en actieve handeling; een vooraf aangevinkt hokje mag niet, en stilzwijgen, inactiviteit, omlaag scrollen of “u gaat akkoord als u verder gaat” ook niet. Ook een cookiewall, waarbij je alleen toegang krijgt als je trackingcookies accepteert, voldoet volgens de AP niet aan de AVG. Meer daarover in cookies en AVG voor je website.

Wat zegt de CNIL?

De Franse toezichthouder CNIL beschrijft in zijn informatieblad over analytics dat meetcookies in beginsel toestemming vereisen, maar onder voorwaarden zijn vrijgesteld. Die voorwaarden zijn onder meer: gebruikers informeren en de mogelijkheid geven bezwaar te maken, de doeleinden beperken tot het meten van het publiek en A/B-testen, de gegevens niet combineren met andere verwerkingen, het bereik beperken tot één site of app, het laatste byte van het IP-adres afkappen en de levensduur van de cookies beperken tot 13 maanden. De CNIL zegt er direct bij dat de meeste grote meetdiensten, ongeacht hun configuratie, niet binnen die vrijstelling vallen, en noemt zelfbeheerde open-sourcesoftware zoals Matomo als alternatief. Dit is een Franse lezing van de ePrivacyrichtlijn; Nederland heeft zijn eigen toezichthouder en wetgeving. Gebruik het als illustratie van wat een toezichthouder onder “beperkt” verstaat, niet als Nederlands recht.

Wat zegt Google Analytics over zichzelf?

Google heeft een pagina met privacyinstellingen in Google Analytics. Daarop staat onder meer dat je het verzamelen van gedetailleerde locatie- en apparaatgegevens per regio kunt uitschakelen, dat je e-mailadressen en zelfgekozen URL-parameters kunt laten redigeren, dat je de bewaartermijn van gegevens kunt instellen, dat Google signals en advertentiefuncties uitgezet kunnen worden en dat IP-adressen in Google Analytics niet worden gelogd of opgeslagen. Dat zijn nuttige instellingen. Maar ze beantwoorden niet de vraag of voor het gebruik van de tool in jouw situatie toestemming nodig is, en niet of je gegevens naar een derde partij laat gaan die je moet vermelden. Het laat ook zien dat je ervoor moet kiezen: standaard staan veel zaken aan, zoals het verzamelen van granulaire locatie- en apparaatgegevens, die uitgezet kunnen worden.

En een cookieloos alternatief?

Plausible Analytics beschrijft in zijn databeleid dat het geen cookies gebruikt en geen persistente bezoekersidentificatoren genereert, dat het mensen niet over apparaten, websites of apps volgt en dat het geen ruwe IP-adressen of user-agentstrings opslaat. Het zegt gehost te worden in de EU. Dat is een uitspraak van de leverancier over zichzelf, en geen oordeel van een toezichthouder; lees het beleid van elke tool zelf en leg in je privacyverklaring vast wat je gebruikt. In het algemeen geldt wel: een tool die geen cookies plaatst en geen individuen volgt, vraagt minder van je bezoeker en van jou. Het nadeel is dat je minder detail hebt: geen langdurige profielen en minder inzicht in individuele reizen. Voor de meeste kleine bedrijven is dat geen gemis.

Meten met toestemming: wanneer is dat nodig?

Als je advertentieplatforms gebruikt, bijvoorbeeld voor Google Ads, wil je conversiegegevens terugkoppelen. Google legt uit dat je zelf definieert wat een conversie is, en wijst adverteerders in de EER erop dat de toestemmingsregels moeten worden nageleefd en Consent Mode moet worden ingesteld. Dat betekent dat je een toestemmingsbanner nodig hebt en dat je de meting daaraan moet koppelen. In dat geval is het zaak om de banner eerlijk te maken: geen vooraf aangevinkte hokjes, geen cookiewall en geen tracking vooraf. Naar ons idee hoort weigeren ook even makkelijk te zijn als accepteren. Een kleine site zonder advertenties kan daar vaak omheen met een cookieloze tool, waardoor je de banner helemaal niet nodig hebt.

Zo kies je

1. Schrijf op welke vragen je wilt beantwoorden. Het doel bepaalt het gereedschap.
2. Kies de lichtste tool die dat kan. Zonder advertenties volstaan vaak Search Console en een cookieloze analysetool.
3. Met advertenties: richt toestemming en conversiemeting goed in en test beide.
4. Leg het vast. Zet in je privacyverklaring welke tools je gebruikt, met welk doel, hoe lang je gegevens bewaart en met wie je ze deelt.
5. Beperk wat je bewaart. Stel waar mogelijk een korte bewaartermijn in.
6. Controleer jaarlijks. Tools en regels veranderen, en een nieuwe plug-in kan stilletjes tracking toevoegen.

Veelgemaakte fouten

• Een banner die toestemming op de verkeerde manier vraagt. De AP vond in 2019 dat bijna de helft van de gecontroleerde websites met trackingcookies niet voldeed.
• Tracking vóór toestemming. Controleer in de netwerktab van je browser wat er vooraf wordt geladen.
• Een tool die niemand bekijkt. Meten heeft pas zin als iemand maandelijks naar de cijfers kijkt en er iets mee doet.
• Te veel meten, te weinig concluderen. Eén aantal aanvragen per week zegt meer dan veertig grafieken.

Tot slot

Meten hoeft niet ingewikkeld te zijn. Begin met de vragen, kies de lichtste tool en leg uit wat je doet. Wij richten meting en privacyverklaring in als onderdeel van onze websites, en zorgen via hosting en onderhoud dat het blijft kloppen. Plan een gratis kennismaking.

Bronnen

Gecontroleerd op 28 oktober 2026 aan de hand van de bronnen hieronder. Regels en richtlijnen veranderen; dit artikel is algemene informatie en geen juridisch of fiscaal advies.

• Cookies (Autoriteit Persoonsgegevens)
• AP: veel websites vragen op onjuiste wijze toestemming voor het plaatsen van trackingcookies
• Sheet n°16: Use analytics on your websites and applications (CNIL)
• Privacy controls in Google Analytics (Analytics Help)
• Plausible data policy
• About conversion tracking (Google Ads Help)
• About Google Search Console

Plan kennismaking