Hoe privacyvriendelijk is server-side tracking echt?

Waarom wordt server-side tracking als oplossing gezien?

Server-side tracking kreeg veel aandacht toen browsers en platformen tracking steeds verder begonnen te beperken. Safari en Firefox blokkeerden al langer bepaalde trackingtechnieken, adblockers werden beter en Google kondigde aan third-party cookies in Chrome te willen uitfaseren.

Voor marketeers betekende dit dat steeds minder meetdata beschikbaar kwam. Server-side tracking werd daardoor steeds vaker ingezet om metingen betrouwbaarder te maken en meer controle te krijgen over de data die naar externe partijen wordt gestuurd.

Google stapte uiteindelijk af van het plan om third-party cookies standaard volledig uit Chrome te verwijderen en koos ervoor gebruikers zelf de keuze te laten, maar server-side tracking had inmiddels een vaste plek gekregen binnen online marketing en analytics.

Hoe wordt server-side tracking verkocht?

Server-side tracking wordt tegenwoordig vaak verkocht als manier om ‘verloren data terug te halen’. Daarbij worden voordelen genoemd als het omzeilen van adblockers en browserbeperkingen, first-party tracking en een privacyvriendelijkere of zelfs ‘AVG-proof’ manier van meten.

Daar zit een interessante tegenstelling in. Adblockers en browserbeperkingen zijn juist bedoeld om tracking te beperken en gebruikers meer controle te geven. Toch betekent het omzeilen daarvan niet automatisch dat je de privacykeuze van een bezoeker negeert. Een adblocker kan bijvoorbeeld ook een meting blokkeren waarvoor iemand gewoon toestemming heeft gegeven.

De belangrijkste vraag is daarom waarvoor je server-side tracking gebruikt. Maak je een toegestane meting technisch betrouwbaarder, of probeer je vooral data alsnog binnen te krijgen die een gebruiker of browser bewust probeert tegen te houden?

Waarom is server-side tracking niet automatisch AVG-proof?

Juist doordat server-side tracking via je eigen domein kan lopen, ontstaat makkelijk de indruk dat de verwerking daarmee ook ‘first-party’ en privacyvriendelijk is. Dat is niet automatisch het geval.

Een browser kan bijvoorbeeld alleen dit zien:

website → analytics.jouwdomein.nl

Maar achter die server kan de datastroom gewoon verdergaan:

analytics.jouwdomein.nl → Google / Meta / LinkedIn

Server-side Google Tag Manager maakt dit relatief eenvoudig. De browser stuurt een event naar de server-side GTM-container, waarna GTM bepaalt welke gegevens naar externe partijen worden doorgestuurd. Je kunt daar gegevens filteren of verwijderen, maar je kunt ook vrijwel alles ongewijzigd doorsturen.

Bij traditionele client-side tracking zie je in de browser vaak direct requests naar bijvoorbeeld facebook.com of google-analytics.com. Bij server-side tracking ziet de browser mogelijk alleen een request naar het eigen domein, terwijl de server de gegevens daarna alsnog doorstuurt naar externe partijen. Voor een bezoeker of browsergebaseerde scanner is het daardoor moeilijker te zien wat er achter de schermen met de gegevens gebeurt.

Een first-party cookie of endpoint zegt vooral iets over de technische route van de data, niet over wie de data uiteindelijk ontvangt of verwerkt. Of de verwerking AVG-compliant is, hangt nog steeds af van welke gegevens je verzamelt, waarom je ze nodig hebt, welke grondslag je hebt en met wie je ze deelt.

Hoe richt je server-side tracking wél privacyvriendelijk in?

Begin met bepalen welke data je daadwerkelijk nodig hebt en verzamel niet meer dan dat. Ook bij server-side tracking blijven de AVG en de regels rondom cookies en tracking gewoon gelden. Dat gegevens eerst via je eigen server lopen, verandert daar niets aan.

Bekijk vervolgens kritisch wat je naar externe partijen doorstuurt. Is het bijvoorbeeld nodig om een volledige URL, IP-adres of andere herleidbare gegevens mee te sturen? Gegevens die niet nodig zijn, kun je verwijderen, beperken of minder herleidbaar maken voordat ze worden doorgestuurd.

Juist daar zit de mogelijke privacywinst van server-side tracking. Je krijgt meer controle over de datastroom en kunt die controle gebruiken om bewust minder gegevens met externe partijen te delen. De techniek zelf is dus niet automatisch privacyvriendelijk; dat wordt bepaald door de keuzes die je maakt in wat je verzamelt, verwerkt en doorstuurt.