Privacy

Server-side tracking en de AVG

Server-side tracking wordt vaak genoeg als privacyverbetering verkocht dat het de moeite waard is precies te zijn over wat het onder de AVG wel en niet doet. De korte versie: het verandert de route die je gegevens afleggen, wat echt nuttig is, en het verandert geen van de verplichtingen die aan het verzamelen ervan vastzitten.

Wat server-side tracking wél verandert

De gegevens komen eerst bij jou. Bij een client-side opzet stuurt de browser rechtstreeks naar Google of Meta, en wat het script besloot mee te sturen is wat zij krijgen. Bij een server-side opzet komt het eerst binnen bij een server die jij beheert. Je kunt zien wat erin zit, velden weglaten, waarden afronden, of helemaal stoppen met sturen naar een bestemming.

Dat is een echt vermogen, en het is degene die telt voor dataminimalisatie. Het is het verschil tussen hopen dat het script van een leverancier zich gedraagt en zelf bepalen wat er weggaat.

Je kunt de server in de EU zetten. Draait de container in de EU, dan roept het stuk van bezoeker naar jouw server geen vraag op over internationale doorgifte. Het stuk van jouw server verder wel, en eerlijk gezegd meestal ook — de meeste advertentieplatformen zitten niet in de EU. Server-side haalt dat niet weg; het maakt er één duidelijk benoemde doorgifte van in plaats van een diffuus geheel.

Wat server-side tracking niet verandert

Je hebt nog steeds een grondslag nodig, en meestal toestemming. Wat je op iemands apparaat mag plaatsen en uitlezen wordt geregeld door de ePrivacy-regels, en die gaan over het apparaat, niet over welke machine daarna het verzoek verstuurt. Het versturen server-side maken verandert een cookie die toestemming nodig had niet in een cookie die dat niet heeft.

Je moet de keuze nog steeds respecteren. Een server-side opzet maakt het makkelijker een toestemmingssignaal goed door te geven, omdat jij de tussenstap beheert. Dat is een argument om het goed te doen, geen argument om het over te slaan.

Je bent nog steeds verantwoordelijke. Het is jouw site, jouw doeleinden, jouw meetplan. Een partij die de container voor je host is verwerker en heeft een verwerkersovereenkomst met je nodig. Die verplichting verhuist niet mee met de infrastructuur.

De vier documenten

Neemt de jurist van je klant je opzet door, dan is dit meestal de lijst. Het is de moeite waard om alle vier te kunnen laten zien zonder te hoeven bellen.

Een verwerkersovereenkomst op grond van artikel 28, met de verplichte inhoud er werkelijk in in plaats van op aanvraag beloofd. Een subverwerkerslijst die elke betrokken partij noemt en waar die zit. Een privacyverklaring die beschrijft wat er verwerkt wordt en hoe lang. En voorwaarden die zeggen wat er met de gegevens gebeurt als je stopt.

Bij ons staan ze alle vier op de site in plaats van achter een formulier: de verwerkersovereenkomst, de subverwerkerslijst, de privacyverklaring en de voorwaarden. Ze zijn geschreven op het echte product, wat ook betekent dat ze het lezen waard zijn in plaats van het doorbladeren.

De eerlijke samenvatting

Server-side tracking is een betere plek om privacybeslissingen vandaan te nemen, en een slechter excuus om ze niet te nemen. Kies je een aanbieder mede hierop, dan zijn de vragen: waar de servers staan, wie de subverwerkers zijn, en of de verwerkersovereenkomst vandaag bestaat.

Server-side tracking tools vergeleken loopt de andere criteria langs. Ben je eerder in het traject, dan legt client-side versus server-side tracking het mechanisme uit, en behandelt het stuk over de Meta Conversions API het platform waar de meesten voor komen.

Dit is een beschrijving van hoe de techniek zich tot de regels verhoudt, geen juridisch advies. Vraag voor je eigen opzet iemand die daarvoor is opgeleid.

Vragen die hierover gesteld worden

Ben ik met server-side tracking AVG-proof?
Nee. Het verandert waar persoonsgegevens langsgaan, niet wat je mag verzamelen of waarvoor. Het kan naleving wel makkelijker aantoonbaar maken, omdat de gegevens eerst bij een server komen die jij beheert en je kunt beperken wat er weggaat. De naleving zelf hangt nog steeds op een grondslag, mensen informeren, en hun keuze respecteren.
Heb ik met server-side tracking nog een cookiebanner nodig?
Ja, overal waar je er eerst een nodig had. Of toestemming vereist is volgt uit wat je op het apparaat van een bezoeker plaatst en uitleest en wat je met de gegevens doet, niet uit welke machine het verzoek verstuurt. Wie server-side presenteert als omweg om toestemming heen, beschrijft een nalevingsprobleem.
Wie is verwerkingsverantwoordelijke en wie verwerker?
Jij bent verantwoordelijke: het is jouw site, jouw meetplan, jouw doeleinden. Een hostingpartij die de servercontainer voor je draait is verwerker, en heeft daarvoor een verwerkersovereenkomst met je nodig op grond van artikel 28. De advertentieplatformen waar je gegevens naartoe stuurt hebben een eigen rol, en dat is meestal niet die van verwerker.
Maakt het uit waar de server staat?
Het maakt uit voor doorgifte buiten de EU, en het maakt uit voor het gesprek. Een server in de EU haalt een doorgiftevraag weg die je anders met een mechanisme en een toets zou moeten beantwoorden. Het haalt niet de doorgifte weg die ontstaat als je gebeurtenissen doorstuurt naar een platform buiten de EU.