De overheid knelt precies op de uitzondering waar ze zich op beroept

Twee gunsten in één wetsartikel¶

Artikel 11.7a van de Telecommunicatiewet doet twee dingen voor de overheid, en ze wijzen in tegengestelde richtingen.

Het derde lid geeft de uitzonderingen op de toestemmingsplicht: opslag of lezing die dient om de communicatie uit te voeren, die strikt noodzakelijk is voor een door de gebruiker gevraagde dienst, of die uitsluitend dient om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst met geringe gevolgen voor de persoonlijke levenssfeer.

Het vijfde lid is de bepaling die specifiek over de overheid gaat, en die luidt letterlijk:

De toegang van de gebruiker tot een dienst van de informatiemaatschappij
die wordt geleverd door of namens een krachtens publiekrecht ingestelde
rechtspersoon wordt niet afhankelijk gemaakt van het verlenen van
toestemming als bedoeld in het eerste lid.

Vindplaats: wetten.overheid.nl, artikel 11.7a Telecommunicatiewet, geldende versie 1 juli 2026. De bepaling kwam er bij Stb. 2015, 100, in werking op 11 maart 2015, via het amendement-Klever, Kamerstuk 33902 nr. 8, met de toelichting dat "websites van publieke instellingen geen gebruik mogen maken van zogeheten cookiemuren".

Let op de reikwijdte. Er staat "krachtens publiekrecht ingestelde rechtspersoon", en er staat "door of namens". Dat is ruimer dan overheidsinstantie en het pakt ook de leverancier die namens de overheid een dienst levert.

Wat lid 5 wel en niet zegt¶

Een cookiemuur is verboden voor publieke diensten. Daar zit een aanname onder die de wetgever hardop maakte: bij een overheidsloket kan de burger geen kant op, dus toestemming die je daar afdwingt is geen toestemming.

Die aanname wordt in de praktijk omgedraaid. Het verbod op de cookiemuur wordt gelezen als een vrijstelling van de toestemmingsvraag. Dat is precies verkeerd om. Lid 5 verbiedt een dwangkeuze. Lid 1 blijft gewoon staan, en dat lid vraagt om toestemming vooraf.

Het gevolg is een categorie sites waar helemaal geen vraag wordt gesteld. Zie ook Achter de overheidslogin is helemaal geen toestemmingsvraag.

Dit is de meting waar de rest op rust. Elke site werd drie keer bezocht in een vers browserprofiel: niets doen, weigeren, accepteren.

1.718 sites gemeten, 14 juli 2026
1.027 sites (59,8%)  er stond al iets voor de eerste klik
  933 sites          daarvan ging het alleen om cookies
  846 sites          trackingcookies, geen banner aangetroffen
  710 sites (41,3%)  verkeer via een eigen subdomein dat naar een derde wijst

Die laatste is de stilste. Een subdomein van de site zelf dat via een CNAME naar een tracker wijst, gedraagt zich voor de browser als eigen verkeer, dus de bescherming tegen derde-partijcookies grijpt niet. Zie CNAME-cloaking zit op vier op de tien overheidssites.

De analytics-uitzondering is smaller dan hij oogt¶

Dit is het punt waar de overheid knelt op precies de uitzondering waar ze zich op beroept.

De redenering die je overal hoort: onze analytics is privacyvriendelijk ingericht, dus hij valt onder de uitzondering van lid 3. Wat ik meet:

stg_traffic_source_priority   730 sites
stg_last_interaction          730 sites
stg_returning_visitor         730 sites
stg_externalReferrer          353 sites
_ga                           143 sites

Allemaal aangetroffen in de modus waarin de bezoeker niets deed. De stg_-cookies horen bij de tagbeheerder van Piwik PRO. Op de sites waar rijksoverheid.nl als partij optrad, laadde die verbinding op 668 van de 669 sites al voor enige toestemming, met servers in België op 667 waarnemingen. Zie De rijksbrede analytics staat op 668 sites voor toestemming.

Een tagbeheerder is iets anders dan een bezoekersteller. Hij laadt en vuurt andere scripts. De cookie stg_returning_visitor legt vast dat jij hier eerder was. Mijn weging, en ik label het als weging: een cookie die je bij terugkeer herkent, heeft moeilijk "geringe gevolgen voor de persoonlijke levenssfeer" in de zin van lid 3. Dat is een juridisch oordeel dat een rechter moet vellen, en de meting levert er de feiten voor.

De norm die de toezichthouder zelf nog invult¶

Hier moet ik iets rechtzetten dat in mijn eerdere werk te stellig stond.

De bekende vijfpuntslijst waaronder analytische cookies zonder toestemming zouden mogen, verwerkersovereenkomst, IP maskeren, geen gegevensdeling, geen koppeling over sites heen, en informeren, komt uit de AP-handleiding "Privacyvriendelijk instellen van Google Analytics". Die handleiding kreeg haar laatste inhoudelijke update op 15 augustus 2018 en kende zes stappen. De vijf punten die iedereen citeert, zijn de opsomming uit stap 6.

Twee dingen kloppen daaraan niet meer. De AP-pagina geeft per 25 juli 2026 een 404; de laatste gearchiveerde versie dateert van 3 augustus 2023. En het vierde punt luidde anders dan het circuleert: de AP schreef over het niet gebruiken van andere Google-diensten in combinatie met de Google Analytics-cookies.

In haar ambtsbericht over Google Analytics van 13 november 2025 schrijft de AP dat zij nog onderzoekt in hoeverre zij iets kan zeggen over welke cookies onder de uitzondering vallen, en dat de ACM formeel bevoegd is voor artikel 11.7a.

Wie zich vandaag op de analytics-uitzondering beroept, beroept zich dus op een norm die de toezichthouder zelf nog aan het invullen is. Dat is een reden om conservatief te zijn, en het is een reden om de vijf punten historisch te presenteren. Zie Cookies: functioneel versus niet-functioneel, met voorbeelden.

De weigerknop die er niet is¶

De uitzondering hierboven gaat over sites die wel een keuze aanbieden. De grootste groep doet dat niet.

module                sites   pre-consent   weigeren zinloos
geen module herkend    1011       79,5%          77,8%
TrustArc (legacy)       562       20,8%          19,6%
Cookieconsent (Osano)    53       88,7%          83,0%
CookiePro (OneTrust)     42       88,1%          88,1%

En op de sites waar wel geweigerd kon worden, hield het vaak niet:

107 sites   bekende trackers blijven actief na weigeren
 99 sites   trackerscripts blijven geladen na weigeren
 72 sites   trackingcookies blijven actief na weigeren

Zie Weigeren doet op vier van de vijf sites niets, Welke toestemmingsmodule je kiest, voorspelt of je overtreedt en Geen weigerknop is geen keuze.

Waarom dit bij de overheid zwaarder weegt¶

Bij een commerciële site kun je weglopen. Bij de Belastingdienst, een gemeenteloket of een zorgportaal kun je dat niet. De wetgever zag dat toen hij lid 5 schreef, en dezelfde redenering pleit tegen tracking voordat de vraag gesteld is. Zie De sterkste bevindingen liggen achter DigiD en vitale publieke diensten.

Er komt een tweede punt bij. De overheid verwerkt vaak op grond van artikel 6 lid 1 onder e van de AVG, de publieke taak. Die grondslag dekt de dienst die de burger komt halen. Voor het meten van dat bezoek door een derde is een eigen grondslag nodig, en die volgt niet vanzelf uit de publieke taak. Dit is mijn lezing en geen uitspraak van een rechter.

Wat een functionaris gegevensbescherming morgen kan doen¶

Vijf stappen, in deze volgorde, omdat elke stap goedkoper is dan de volgende.

1. Open je eigen site in een schoon profiel, doe niets, en exporteer het netwerkverkeer als HAR-bestand. Zie Netwerkverkeer lezen via HAR-files. 2. Leg de lijst met externe ontvangers naast je verwerkingsregister en tel wat er niet in staat. Over 1.177 overheidsdossiers was de mediaan 2 ontvangers, het gemiddelde 3,2, de negentigste percentiel 7 en het maximum 38. Zie De ontvangers die in geen enkel verwerkingsregister staan. 3. Haal je lettertypen, kaarten en scriptbibliotheken van je eigen server. Zie Wat je van een CDN haalt, laadt voor je banner. 4. Vraag je DNS-beheerder om een lijst van alle CNAME-records op je eigen domein en kijk waar ze uitkomen. 5. Zet je tagbeheerder zo dat hij zonder expliciete toestemmingsvlag niets uitvoert, en test dat daarna zelf.

Waar mijn meting ophoudt¶

Ik meet publieke pagina's. Wat er achter een DigiD-login gebeurt, meet ik niet op schaal, en juist daar is de burger het meest vastgeklonken.

Een verbinding naar een partij bewijst dat je toestel die partij benaderde. Het bewijst niet dat die partij persoonsgegevens ontving. Zie Een host die je toestel belt is nog geen partij die je data krijgt.

En de 1.718 is een werklijst, geen volledige telling van alle Nederlandse overheidssites. De percentages gelden over die lijst. Wie ze op de hele overheid projecteert, doet een aanname die ik niet heb getoetst.