De toegankelijkheidstool en de feedbackwidget lekken ook

De hulpmiddelen staan buiten de discussie¶

Als een organisatie haar toestemmingsvraag nakijkt, kijkt ze naar twee dingen. Naar de analytics, en naar de advertentietechniek. Daar gaat het gesprek over, daar zit de angst, daar wordt over onderhandeld met de leverancier.

Er is een derde categorie die vrijwel nooit op tafel komt. De voorleesknop voor mensen die slecht zien. Het formuliertje rechtsonder dat vraagt of u deze pagina nuttig vond. De archiveringsdienst die de site bewaart omdat de Archiefwet dat eist. De captcha voor het contactformulier. Het platform waarop de site zelf draait.

Die dingen zijn ingekocht om de site beter te maken. Voorleessoftware wordt gekocht omdat toegankelijkheid voor een overheidssite een wettelijke plicht is. Een feedbackknop wordt gekocht omdat een dienstverlener wil weten of de burger eruit komt. Ze staan in de offerte onder toegankelijkheid, klanttevredenheid of archiefplicht. Ze staan zelden in de cookieparagraaf.

En ze laden bijna allemaal voordat de bezoeker iets heeft kunnen kiezen.

Wat ik aantrof, per hulpmiddel¶

Dit komt uit de scan van 14 juli 2026 over 1.718 Nederlandse overheidssites, in de modus waarin de bezoeker niets deed. Alleen de pagina openen, geen klik, geen keuze.

partij                      sites   pre-consent   aandeel   servers
readspeaker.com                41            41    100 %    NL, SE
sitearchief.nl                 33            33    100 %    NL
mett.nl                        29            29    100 %    NL
mopinion.com                   26            25   96,2 %    US, IE
frcapi.com                     19            19    100 %    DE
siteimproveanalytics.com       26            20   76,9 %    US
siteimproveanalytics.io        23            18   78,3 %    DE
rovid.nl                       48            48    100 %    US

Vier van deze acht staan op honderd procent. Niet bijna, precies honderd. Op elke site waar de voorleesdienst voorkwam, laadde hij voor de toestemmingsvraag. Op elke site waar de archiefdienst voorkwam, hetzelfde. Er is dus geen enkele installatie waar iemand deze componenten wel achter de banner heeft gezet. Dat maakt het een bouwpatroon, geen incident.

De regel over servers is een aparte les. Twee van de acht domeinen eindigen op punt-nl en hebben toch servers buiten Nederland. Bij rovid.nl kwam het antwoord van adressen die de database in de Verenigde Staten plaatst. Een Nederlandse naam zegt niets over waar de bytes landen. Zie Data in Nederland kan toch onder Amerikaans recht vallen en, over de houdbaarheid van zo'n landlabel, Een landlabel is zo oud als de database die het gaf.

Het webarchief is het scherpste geval¶

Sitearchief.nl bewaart overheidswebsites zodat ze later nog raadpleegbaar zijn. Dat is een nette taak die uit de wet volgt. Het draait op Nederlandse servers.

En het draagt zijn eigen analytics mee. De scanner herkent op dat domein Google Analytics 4 via gtag.js. Op alle 33 sites waar sitearchief.nl voorkwam, laadde het voor de toestemmingsvraag.

Dat is de kern van deze notitie in één voorbeeld. De archiefdienst is ingekocht om een wettelijke plicht te vervullen. In de bagage van die dienst zit een meetpakket van een Amerikaanse partij, en dat pakket start op het moment dat de pagina opent. De inkopende organisatie heeft dat nooit besteld en weet er meestal niets van.

Het spoor is verder te volgen in de cookielijst van diezelfde scan. In de modus waarin niemand iets klikte, zag ik onder de sitearchief-subdomeinen zowel sessiecookies staan als cookies van een tweede meetpakket:

JSESSIONID        48 sites   gezet door archief39.sitearchief.nl
Archiefsessid     32 sites   gezet door rijkswaterstaat.sitearchief.nl
_gat              17 sites   gezet door .sitearchief.nl
_pk_id / _pk_ses  14 sites   gezet door minienw.sitearchief.nl

De eerste twee zijn sessiecookies. Die mogen zonder toestemming, want zonder sessie werkt de archiefomgeving niet. De onderste twee regels zijn iets anders. _gat hoort bij Google Analytics, _pk_id en _pk_ses horen bij Matomo of Piwik. Dat zijn meetcookies, en die vallen onder de toestemmingsplicht. Zie Cookies: functioneel versus niet-functioneel, met voorbeelden voor de toets die daarbij hoort, en Zonder geldige toestemming is de cookie onrechtmatig voor wat er dan geldt.

Eén dienst, drie meetpakketten, en een burger die dacht dat hij een gearchiveerde pagina opende.

De feedbackknop is de enige met een gedeeld nummer¶

Mopinion is het formuliertje dat vraagt of u tevreden bent. Van de 26 overheidssites waarop ik het aantrof, laadde het op 25 voor de toestemmingsvraag.

Dit is ook de enige uit deze reeks waarbij ik iets zwaarders zie. In de bredere verzameling over alle scanruns komt mopinion.com voor op 36 sites, en op 7 daarvan kwam een gedeeld herkenningsnummer bij die partij binnen. Een gedeeld nummer betekent dat twee losse partijen naar dezelfde bezoeker kunnen wijzen. Dat is geen los technisch detail. Het raakt de vraag of er sprake is van gezamenlijke verwerkingsverantwoordelijkheid.

Let op het verschil tussen die twee getallen. In de scan van 14 juli over 1.718 sites is het 26 sites. Over alle runs samen is het 36. Beide kloppen, ze tellen alleen iets anders: één momentopname tegenover alles wat ik ooit zag. Zie twee getallen die botsen meten vaak iets anders.

Bij mopinion.com wijzen de servers naar de Verenigde Staten en Ierland. Dat maakt het de enige uit deze reeks waarbij hoofdstuk V van de AVG in beeld komt, over doorgifte naar landen zonder adequaatheidsbesluit.

Wat er in hun voordeel pleit¶

Voor ik doorga met de aanklacht: het tegendeel verdient een eerlijke ronde, en op twee punten wint dat tegendeel.

Ten eerste zetten sommige van deze partijen helemaal geen cookies. Over alle runs samen zag ik readspeaker.com op 46 sites met 385 verzoeken en nul cookies. Ook mopinion.com zette op geen van de 36 sites een cookie. Wie deze twee wil aanpakken op de cookiewet, heeft daar dus weinig aan.

Dat is geen vrijbrief. Het verzoek zelf gaat wel uit, met een IP-adres, een user-agent en de pagina waar de bezoeker op stond. Dat is een verstrekking van persoonsgegevens die een grondslag nodig heeft. De cookiewet is de makkelijkste toets, en de AVG blijft er onverkort naast staan.

Ten tweede meet ik een verbinding, geen ontvangst. Dat mijn browser een partij aanroept, bewijst dat er iets vertrok. Het bewijst niet wat die partij ermee deed. Zie Een host die je toestel belt is nog geen partij die je data krijgt voor de categorieën die ik daarvoor gebruik.

Waar het tegendeel niet wint, is bij mett.nl en sitearchief.nl. Mett.nl zette cookies op 26 van de 29 sites waar het voorkwam. Sitearchief.nl zette cookies op 32 van de 33 sites, met op de zwaarste site 46 cookies in één bezoek. Daar is de cookiewet gewoon van toepassing.

Waarom juist deze categorie zo vaak lekt¶

Er zit een logica in, en die logica is banaal.

Een advertentietracker wordt met argwaan ingekocht. Er zit een jurist bij, er wordt een verwerkersovereenkomst getekend, iemand vraagt zich af of dit wel mag. Een voorleesknop wordt ingekocht met opluchting, want de toegankelijkheidsplicht was een probleem en nu is het opgelost.

Daarbij komt dat deze componenten vaak niet als los product worden gekozen. Ze zitten in het platform. Mett.nl staat op 29 sites die grotendeels tot dezelfde familie horen: informatiesites over wegwerkzaamheden, recreatieschappen, participatietrajecten. Wie zo'n site laat bouwen, kiest geen tracker. Hij kiest een leverancier, en de leverancier levert een stapel mee.

Dat is dezelfde beweging als bij een lettertype of een kaartje van een extern adres. Zie Wat je van een CDN haalt, laadt voor je banner. Het verschil is dat een lettertype niemand verbaast en een voorleesknop wel, omdat die knop een sociaal doel dient. Precies dat sociale doel houdt hem uit de discussie.

En dan is er nog de plek in de keten. De organisatie koopt van een bouwer. De bouwer koopt van een platform. Het platform neemt een dienst op. Die dienst draagt een meetpakket mee. Elke schakel is te verdedigen, en aan het eind staat een burger die vijf partijen tegelijk begroet zonder dat iemand dat heeft besloten. Zie De advertentieketen heeft schakels die niemand in de verklaring noemt en De bouwers en de beslissers weten vaak niet van elkaar.

Wie hiervoor verantwoordelijk is¶

De juridische kant is minder ingewikkeld dan het aanvoelt. De organisatie die de site aanbiedt, is de verwerkingsverantwoordelijke. Zij bepaalt doel en middelen. Dat de tracker via een leverancier binnenkwam, verandert daar niets aan.

De leverancier heeft in de praktijk het meeste effect. Een voorleesdienst die zijn script pas na een toestemmingssignaal laadt, repareert in één release 41 sites tegelijk. Een archiefdienst die zijn eigen analytics eruit haalt, repareert er 33. Dat is de goedkoopste reparatie in dit hele dossier, en ze ligt bij een handvol partijen.

Wat je maandagochtend doet¶

Dit is een half uur werk en het levert een lijst op die je aan je leverancier kunt voorleggen.

1. Open je eigen site in een vers browserprofiel. Ontwikkelaarstools open, netwerktabblad, "preserve log" aan. 2. Laad de pagina en doe verder niets. Klik de banner niet weg. 3. Noteer elk extern domein dat je ziet langskomen. 4. Streep de domeinen weg die je herkent als analytics of advertentietechniek. Wat overblijft is de categorie uit deze notitie. 5. Zoek per overgebleven domein uit welk contract erachter zit. Bij welke inkoop hoorde dit, en wie tekende ervoor. 6. Leg die lijst naast je verwerkingsregister en tel wat er niet in staat.

Stap 6 is de stap waar het pijn gaat doen, en het is dezelfde zelftest die ik beschrijf in De ontvangers die in geen enkel verwerkingsregister staan. In mijn meting bestaat de gemiddelde overheidssite uit een handvol externe partijen, en het zijn zelden de partijen die de organisatie zelf zou noemen.

Wie zijn toestemmingsvraag serieus neemt, telt dus ook zijn hulpmiddelen. De banner die je hebt ingekocht om de wet na te leven, telt trouwens net zo goed mee: zie Je cookiebanner is zelf een tracker. En wat er gebeurt als de bezoeker daarna op weigeren drukt, staat in Weigeren doet op vier van de vijf sites niets.

Bewijsniveau. De aantallen sites en het aandeel pre-consent zijn gemeten, in één run, op 14 juli 2026, en herhaalbaar met de methode uit Hoe mijn scanner werkt, van bezoek tot bewijsstuk. Dat het om ingekochte hulpmiddelen gaat en niet om bewuste tracking, is afgeleid uit de aard van de diensten. Wat de ontvangende partijen met het verkeer doen, weet ik niet en beweer ik niet.