Antwoord schriftelijke vragen : Antwoord op vragen van het lid Boswijk over sollicitatiegegevens die met Google gedeeld worden

Antwoord van Minister Uitermark (Binnenlandse Zaken en Koninkrijksrelaties), mede
namens de Minister van Defensie en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties
(ontvangen 19 februari 2025).

Vraag 1

Klopt het dat als men via de website werkenvoornederland.nl solliciteert bij de AIVD
of MIVD hierover informatie gedeeld wordt met Google via het gebruik van Google Analytics?
Zo ja, welke gegevens worden precies verzameld en verwerkt? Zo nee, kunt u een onderbouwing
geven waarom dit volgens u niet het geval is?1

Antwoord 1

Nee, er worden geen gegevens van sollicitanten bij de AIVD of MIVD gedeeld met Google
via het gebruik van Google Analytics op werkenvoornederland.nl. De sollicitatieprocessen
van de AIVD en MIVD zijn volledig gescheiden van dit platform en worden afgehandeld
via de eigen, beveiligde systemen van de AIVD en MIVD.

Google Analytics 4 (GA4) is op werkenvoornederland.nl geconfigureerd met de strengste
privacy-instellingen, waarbij alle identificerende gegevens zijn uitgeschakeld en
het IP-adres is geanonimiseerd tot op het niveau van het land. Hierdoor is het niet
mogelijk om individuele gebruikers te identificeren a.d.h.v. de verzamelde data. De
betrokken privacy en security officer binnen mijn organisatie bevestigt dat het gebruik
van GA4 op deze manier voldoet aan de geldende privacywetgeving en is betrokken geweest
bij de inrichting en de implementatie.

Om te garanderen dat werkenvoornederland.nl ook in de toekomst voldoet aan de gestelde
privacystandaarden evalueert mijn organisatie de configuratie van Google Analytics
4 regelmatig en past deze aan waar nodig. Deze aanpak zorgt voor een optimale balans
tussen het verkrijgen van inzicht in het gebruik van deze website en de bescherming
van de privacy van website bezoekers.

Vraag 2

In hoeverre zijn de gegevens over bezoekers en gebruikers van werkenvoornederland.nl
die worden doorgegeven aan Google Analytics mogelijk herleidbaar tot individuen? Kunt
u hierin ook het IP-adres betrekken, en hoeveel huishoudens jarenlang hetzelfde IP-adres
houden, en daarmee herleidbaar zijn?

Antwoord 2

De gegevens die via GA4 worden verzameld op werkenvoornederland.nl zijn niet herleidbaar
tot individuele personen. Het IP-adres wordt geanonimiseerd tot op het niveau van
het land, waardoor het onmogelijk is om specifieke bezoekers of huishoudens te identificeren.

Het is waar dat sommige huishoudens gedurende langere tijd hetzelfde IP-adres kunnen
hebben. Echter, door het toepassen van geavanceerde anonimiseringstechnieken en het
vermijden van het verzamelen van direct identificeerbare informatie zoals namen of
e-mailadressen, wordt het risico op herleidbaarheid tot een minimum beperkt.

GA4 is geconfigureerd met strenge privacy-instellingen om te voldoen aan de AVG. Daarnaast
voert men met regelmaat controle uit inzake de data en applicatie om de effectiviteit
van de privacymaatregelen te garanderen.

Vraag 3

Als gegevens van Google Analytics mogelijk herleidbaar zijn tot individuen, klopt
het dat op deze wijze de identiteit van sollicitanten bij de AIVD of MIVD feitelijk
met Google wordt gedeeld?

Antwoord 3

Het is onmogelijk dat de identiteit van sollicitanten bij de AIVD of MIVD via Google
Analytics wordt gedeeld. Hier zijn verschillende redenen voor. Ten eerste is er een
scheiding van sollicitatieprocessen. Werkenvoornederland.nl dient enkel en alleen
als promotieplatform voor vacatures. De daadwerkelijke sollicitatieprocessen bij de
AIVD en MIVD vinden plaats via hun eigen, beveiligde systemen. Er is géén directe
koppeling tussen deze systemen en GA4. Ten tweede hanteren we strikte privacy-instellingen.
GA4 is op werkenvoornederland.nl geconfigureerd met de strengste privacy-instellingen.
Dit betekent dat er geen gegevens worden verzameld die herleidbaar zijn tot individuele
personen. Zo zijn gebruikersidentificatie, demografische gegevens en het volledige
IP-adres uitgeschakeld. In plaats daarvan wordt het IP-adres geanonimiseerd tot op
het niveau van het land. Ten derde evalueren we regelmatig. Om te garanderen dat ook
in de toekomst wordt voldaan aan de hoogste privacystandaarden, wordt de configuratie
van Google Analytics 4 met regelmaat geëvalueerd en aangepast waar nodig.

Door deze combinatie van technische maatregelen en strikte privacy-instellingen kan
met zekerheid worden gesteld dat de gegevens die via GA4 worden verzameld, in geen
geval kunnen worden gebruikt om de identiteit van sollicitanten bij de AIVD of MIVD
te achterhalen.

Vraag 4

Klopt het dat in de nieuwste versie van Google Analytics, Google geen IP-adressen
van bezoekers meer kan zien? Of kan Google het IP-adres nog steeds zien en belooft
men alleen maar er niets mee te doen? Maakt werkenvoornederland.nl gebruik van de
nieuwste versie van Google Analytics?

Antwoord 4

GA4 anonimiseert IP-adressen automatisch tot op het niveau van het land, waardoor
het onmogelijk is om individuele gebruikers te identificeren. Dit betekent dat Google
geen toegang heeft tot de volledige IP-adressen en deze ook niet opslaat. Deze maatregel
is een essentieel onderdeel van de ingebouwde privacybescherming in GA4.

Werkenvoornederland.nl maakt inderdaad gebruik van de nieuwste versie van Google Analytics,
namelijk Google Analytics 4 (GA4). Door gebruik te maken van deze versie zijn we in
staat om aan de strengste privacy-eisen te voldoen. Daarnaast zijn er aanvullende
maatregelen getroffen om de privacy van website bezoekers te beschermen, zoals bijvoorbeeld
het uitschakelen van gebruikersidentificatie en het beperken van de dataretentie.
Google kan in GA4 geen volledige IP-adressen zien, en werkenvoornederland.nl heeft
alle mogelijke maatregelen getroffen om de privacy van bezoekers te waarborgen.

Vraag 5

Klopt het dat Google van de Amerikaanse wet op verzoek dit soort data moet doorgeven,
ongeacht wat een Nederlands contract hierover zegt? Zo nee, kunt u dit onderbouwen?2

Antwoord 5

De Amerikaanse Cloud Act verleent Amerikaanse autoriteiten inderdaad het recht om
gegevens op te vragen van bedrijven die in de Verenigde Staten gevestigd zijn, zoals
Google. Dit geldt ook voor gegevens die op servers buiten de Verenigde Staten zijn
opgeslagen. Echter, de specifieke gegevens die via GA4 worden verzameld op werkenvoornederland.nl
vallen buiten het bereik van deze wetgeving.

De strenge anonimisering van de gegevens, met name van IP-adressen, en het ontbreken
van direct identificeerbare informatie zorgen ervoor dat de gegevens die via GA4 worden
verzameld op werkenvoornederland.nl geen waarde hebben voor identificatiedoeleinden.
Zelfs als de Amerikaanse Cloud Act zou worden aangepast of uitgebreid, zouden deze
gegevens niet kunnen worden gebruikt om individuen te identificeren en zouden ze daarom
buiten het bereik vallen van eventuele dataverzoeken.

Het is in deze context belangrijk te benadrukken dat de Cloud Act primair gericht
is op het verkrijgen van gegevens die nodig zijn voor strafrechtelijke onderzoeken.
Gegevens die geen enkel verband houden met criminele activiteiten, zoals de geanonimiseerde
data die we verzamelen, vallen buiten de reikwijdte van deze wetgeving.

Vraag 6

Deelt u de mening dat het ongewenst is als gegevens van sollicitanten bij de AIVD
of MIVD worden gedeeld met Google, en in het verlengde daarmee mogelijk met een buitenlandse
regering? Zo nee, waarom niet?

Antwoord 6

Ik deel de mening dat het ongewenst is dat persoonsgegevens van sollicitanten bij
de AIVD of MIVD worden gedeeld met externe partijen, zoals Google, of in het verlengde
daarvan met buitenlandse overheden. Om deze reden heeft mijn organisatie ervoor gekozen
om GA4 dusdanig te configureren dat er geen persoonsgegevens worden verzameld of gedeeld.
De verzamelde data zijn volledig geanonimiseerd, waardoor het onmogelijk is om individuele
personen, waaronder sollicitanten, te identificeren.

Het delen van persoonsgegevens van sollicitanten, en in het bijzonder bij gevoelige
diensten als de AIVD en MIVD, zou niet alleen een inbreuk zijn op de privacy van de
kandidaten, maar zou ook een veiligheidsrisico kunnen vormen.

Vraag 7

Klopt het dat er inmiddels steeds meer alternatieven zijn voor het gebruik van Google
Analytics, en dat de Nederlandse overheid ook een eigen statistieken-faciliteit heeft
waarbij informatie niet met het buitenland wordt gedeeld?

Antwoord 7

Het klopt dat er steeds meer alternatieven voor Google Analytics beschikbaar zijn,
waaronder open-source oplossingen zoals Matomo en Piwik PRO (van origine Franse bedrijven).
Deze alternatieven bieden vaak meer controle over de data en kunnen beter aansluiten
bij specifieke privacy-eisen.

De Nederlandse overheid heeft inderdaad initiatieven genomen om eigen statistieken-faciliteiten
te ontwikkelen. Het doel hiervan is om de afhankelijkheid van externe aanbieders te
verminderen en de controle over gevoelige data te vergroten. Echter, de implementatie
van dergelijke oplossingen vereist aanzienlijke investeringen in tijd, geld en expertise.

In het geval van werkenvoornederland.nl is GA4 momenteel de gekozen oplossing vanwege
de uitgebreide functionaliteit en de lagere kosten in vergelijking met sommige alternatieven
zoals Matomo. Bij de keuze voor GA4 zijn, zoals eerder aangegeven, de privacy-instellingen
zorgvuldig geconfigureerd om te voldoen aan de geldende wet- en regelgeving.

Het is belangrijk op te merken dat de keuze voor een analytics-tool een afweging is
tussen verschillende factoren, waaronder functionaliteit, kosten, privacy en technische
expertise. De keuze voor GA4 is gebaseerd op een zorgvuldige afweging van deze factoren
in de context van werkenvoornederland.nl.

Bij toekomstige vernieuwingen van werkenvoornederland.nl zullen opnieuw alle beschikbare
opties tegen het licht worden houden, waarbij de ontwikkelingen op het gebied van
privacy, databeveiliging en cyberweerbaarheid een belangrijke rol spelen.

Vraag 8

Kunt u aangeven waarom de website werkenvoornederland.nl per se met Google Analytics
moet werken? Waarom wordt er geen gebruik gemaakt van Europese alternatieven of een
eigen faciliteit van de Rijksoverheid?

Antwoord 8

De keuze voor GA4 voor werkenvoornederland.nl is in eerste instantie gemaakt vanwege
de uitgebreide functionaliteiten en de relatief lage kosten. Het platform biedt een
schat aan data over websitebezoek, waardoor we inzicht krijgen in de gebruikerservaring
en onze dienstverlening kunnen optimaliseren. Echter, ik ben me bewust van de discussie
rondom de privacy-implicaties van het gebruik van Amerikaanse analytics-tools en de
beschikbaarheid van Europese alternatieven.

Bij de keuze voor een analytics-tool wegen we verschillende factoren mee, waaronder:

– Functionaliteit: de tool moet voldoende mogelijkheden bieden om inzicht te krijgen
in het gebruik van de website;

– Kosten: de kosten voor implementatie en onderhoud moeten binnen het beschikbare budget
passen;

– Privacy: de tool moet voldoen aan de geldende privacywetgeving en de gegevens moeten
op een veilige manier worden verwerkt;

– Technische integratie: de tool moet naadloos kunnen worden geïntegreerd in de bestaande
IT-infrastructuur.

Hoewel een Europees alternatief een optie lijkt, zijn er nog enkele uitdagingen te
overwinnen, zoals de hogere kosten en de noodzaak om de bestaande data-infrastructuur
aan te passen. De keuze voor een alternatief voor Google Analytics vraagt een zorgvuldige
afweging.

Vraag 9

Hoe staat het met het onderzoek van de Autoriteit Persoonsgegevens naar het gebruik
van Google Analytics en het mogelijke verbod op het gebruik hiervan?

Antwoord 9

De Autoriteit Persoonsgegevens (AP) heeft in 2022 onderzoek gedaan naar het gebruik
van Google Analytics en de mogelijke inbreuk op de Algemene Verordening Gegevensbescherming
(AVG). Dit onderzoek werd geïnspireerd door vergelijkbare onderzoeken in andere Europese
landen, die concludeerden dat het doorgeven van persoonsgegevens aan servers in de
Verenigde Staten in strijd kan zijn met de AVG.

Dit onderzoek heb ik met grote belangstelling gevolgd en de ontwikkelingen hou ik
nauwlettend in de gaten. Hoewel de AP nog geen definitieve uitspraak heeft gedaan,
is het duidelijk dat er zorgen zijn over de privacy-implicaties van het gebruik van
Google Analytics. Mocht de AP besluiten dat het gebruik van Google Analytics in de
huidige vorm niet langer is toegestaan, dan zal ik hier uiteraard gevolg aan geven.

Er zijn, zoals eerder aangegeven, verschillende alternatieven en zij houden rekening
met vernieuwingsvraagstukken waarin een scenario wordt beschreven om eventueel over
te stappen.

Het is belangrijk om te benadrukken dat de privacy van werkenvoornederland.nl bezoekers
zeer serieus wordt genomen. Ik zet me volledig in om te voldoen aan de geldende wet-
en regelgeving en om een veilige en vertrouwde online omgeving te bieden.

Vraag 10

Kunt u aangeven welke andere Europese landen gebruik maken van Google Analytics op
de sollicitatiepagina van de geheime diensten?

Antwoord 10

Het is niet eenvoudig een eenduidig antwoord te geven op de vraag welke Europese landen
gebruik maken van Google Analytics op de sollicitatiepagina's van hun geheime diensten.

Geheime diensten opereren doorgaans in een omgeving van strikte vertrouwelijkheid.
Dit betekent dat informatie over de gebruikte technologieën, waaronder analytics-tools,
vaak niet openbaar gemaakt wordt. Daarnaast verschillen de privacywetgevingen en -praktijken
tussen de verschillende Europese landen, waardoor er geen eenduidige aanpak is voor
het gebruik van analytics-tools binnen de overheid.

Redenen waarom deze informatie moeilijk te achterhalen is:

– Geheime status: geheime diensten zijn per definitie geheim. Het is zeer onwaarschijnlijk
dat ze openbaar maken welke software ze gebruiken;

– Snelle technologische ontwikkelingen: de IT-landschappen binnen geheime diensten evolueren
snel, waardoor informatie al snel verouderd kan zijn;

– Verschillende benaderingen: elk land heeft een eigen aanpak op het gebied van cybersecurity
en privacy, wat leidt tot verschillende keuzes in software.

Hoewel ik geen concrete gegevens kan verstrekken over het gebruik van Google Analytics
door specifieke Europese geheime diensten, kan ik wel stellen dat het gebruik van
analytics-tools binnen overheidsorganisaties in het algemeen steeds vaker onder de
loep wordt genomen. De discussie over privacy en databeveiliging is de afgelopen jaren
sterk toegenomen, en dit heeft ook terechte gevolgen voor de keuze van softwaretools.

Vraag 11

Bent u bereid te stoppen met het gebruik van Google Analytics op werkenvoornederland.nl
of het solliciteren bij de geheime diensten op een andere manier te regelen? Zo nee,
waarom niet?

Antwoord 11

De privacy van bezoekers aan werkenvoornederland.nl is van groot belang. Daarom sta
ik open voor het evalueren van alternatieven voor Google Analytics. Ik volg de ontwikkelingen
op het gebied van privacywetgeving en (nieuwe) technologieën nauwlettend en pas de
werkwijze daarop aan om daarmee te voldoen aan de verwachtingen van gebruikers en
afnemers.

Wat betreft het solliciteren bij de AIVD en MIVD is het voor mij van belang om te
benadrukken dat Google Analytics hierbij géén rol speelt. Sollicitaties verlopen volledig
via de eigen, beveiligde systemen van deze organisaties en worden niet via werkenvoornederland.nl
afgehandeld.

Mocht blijken dat het gebruik van Google Analytics niet langer in lijn is met de geldende
privacywetgeving, dan zal ik overstappen op een alternatief dat voldoet aan de hoogste
privacy en security standaarden. Hierbij zal er rekening worden gehouden met factoren
als functionaliteit, kosten en technische haalbaarheid.