Ook een informatiepagina kan een complete advertentiestack dragen

Eén pagina, vierendertig meelezers¶

De meting die dit stuk draagt, ging over één adres: minvws.pr.co, een perspagina van het ministerie van Volksgezondheid, Welzijn en Sport. Bij het openen daarvan registreerde mijn scanner 34 unieke derde partijen die meelezen. Twaalf van die 34 kregen hetzelfde herkenningsnummer aangereikt.

Onder die 34 stonden Taboola en Outbrain, plus partijen als AppNexus, LinkedIn en AdRoll. Dat is een advertentiestack. Zie Een overheidspagina kan tientallen meelezers dragen voor de telling zelf en Wat de meting op overheidssites liet zien voor het bredere beeld waarin die telling staat.

Dit stuk gaat over iets anders dan het aantal. Het gaat over de plek.

Waaraan je een stack herkent¶

Een enkele analytics-tracker is één partij met één doel. Een advertentiestack is een keten met drie lagen, en die lagen herken je aan hun functie.

verkoopkant     de partij die de advertentieruimte aanbiedt
koopkant        de partij die namens adverteerders biedt
matchlaag       de partij die de identiteiten van beide kanten koppelt

Taboola en Outbrain zitten in de eerste laag: aanbevelingsblokken onder een artikel, betaald geplaatst. AppNexus zit in de tweede. De matchlaag is de laag die je in de pagina niet ziet, en daar zit de kern van dit stuk.

De vijf die geen cookie zetten¶

Op deze perspagina zetten vijf advertentiebedrijven nul cookies in de browser. Ze ontvingen wel hetzelfde herkenningsnummer.

Lees dat nog eens. Geen zichtbare cookie, wel een gesynchroniseerd nummer. De uitwisseling liep van server naar server. Wie de cookielijst in de ontwikkelaarstools openslaat en niets vindt, concludeert dat het meevalt, en heeft de belangrijkste laag gemist. Zie Elke browsermeting is een ondergrens.

Dit is de reden dat een cookiescan als enige instrument tekortschiet. Een cookie is een spoor. De koppeling is de gebeurtenis.

Waarom juist zo'n pagina buiten beeld blijft¶

Een perspagina op pr.co staat op een subdomein van een extern platform. Dat is een ingekochte dienst, aangeschaft door een afdeling communicatie, met een eigen contract en een eigen leverancier.

Wie het verwerkingsregister van het ministerie leest, vindt de hoofdsite. De persomgeving hangt aan een ander contract, is technisch niet van het ministerie, en valt daarmee vaak buiten de inventarisatie. Dezelfde mechaniek geldt voor campagnesites, subsidieportalen, congresomgevingen en vacaturesites.

Het bredere cijfer laat zien waar dat toe leidt. Over 1.177 overheidsdossiers uit de meting van 14 juli 2026 was de mediaan 2 externe ontvangers en het gemiddelde 3,2. De negentigste percentiel lag op 7 en het maximum op 38. De typische overheidssite is dus rustig. De staart is waar het risico zit, en de staart bestaat vrijwel altijd uit dit soort ingekochte randomgevingen. Zie De ontvangers die in geen enkel verwerkingsregister staan.

Zulke plekken zijn verdacht om een eenvoudige reden: niemand zoekt ze daar.

Twaalf partijen op één nummer¶

Het aantal meelezers is minder interessant dan wat ze samen kunnen. Twaalf partijen die hetzelfde herkenningsnummer krijgen, kunnen hun losse waarnemingen achteraf aan elkaar knopen. Dat mechanisme heet cookie-sync. Zie Cookie-sync laat losse partijen dezelfde persoon herkennen.

Hoe vaak dat gebeurt, verschilt sterk per soort site:

overheidssites, 1.718 gemeten   120 sites (7,0%) met cookie-sync
                                 98 sites (5,7%) zonder toestemming
NPI-set, 32 gemeten              28 sites (87,5%) met cookie-sync
                                 16 sites (50,0%) zonder toestemming

En over de bedrijven zelf: van de 685 partijen die op de gemeten sites meelezen, kregen er 137 op minstens één site hetzelfde herkenningsnummer aangereikt. Google op 89 sites, DoubleClick op 83.

Juridisch komt dan artikel 26 van de AVG in beeld, gezamenlijke verwerkingsverantwoordelijkheid. Twee arresten zetten daar de lijnen uit. In Fashion ID, HvJ-EU 29 juli 2019, zaak C-40/17, oordeelde het Hof dat de website-exploitant die een social plugin inbedt medeverantwoordelijke is, met een aansprakelijkheid die beperkt blijft tot het verzamelen en het doorgeven van de gegevens, en dat de toestemming moet worden verkregen door de exploitant van de website, omdat het bezoek aan die site de verwerking in gang zet. In Wirtschaftsakademie, HvJ-EU 5 juni 2018, zaak C-210/16, stelde het Hof dat gezamenlijke verantwoordelijkheid geen gelijke verantwoordelijkheid impliceert.

Kanttekening die erbij hoort: beide arresten zijn gewezen onder Richtlijn 95/46, de voorganger van de AVG. De doorwerking naar de AVG loopt via de EDPB-richtsnoeren 07/2020, versie 2.1 van 7 juli 2021.

Of een gedeeld nummer in een concreet geval gezamenlijke verantwoordelijkheid oplevert, is een juridische vraag. De meting levert het feit dat het nummer gedeeld werd.

Wat de meting hier wel en niet zegt¶

Drie afbakeningen, want zonder die drie is dit stuk overtuigender dan het mag zijn.

De partijen die het gesynchroniseerde nummer kregen, kregen daarbij geen expliciete aanduiding van het artikel dat werd gelezen. Ze kregen het nummer en de toestemmingsstring. Alleen de echte biedaanvragen droegen paginacontext mee. Zie Ze krijgen je nummer, niet per se welke pagina je las.

Een uitgewisseld nummer is geen bod. In 82 geschikte videoveilingen, verdeeld over 48 sessies en drie dagdelen, wisselde het gemeten advertentiebedrijf telkens een herkenningsnummer uit en bracht het nul keer een bod uit. De koppeling was er, het bod nooit. Zie Een cookie-match bewijst herkenning, geen bod.

En een aangesproken host is nog geen ontvanger van gegevens. Wie elke aangeraakte host meetelt, telt te hoog. Zie Een host die je toestel belt is nog geen partij die je data krijgt en Een aanwijzing is nog geen bewijs.

Waarom een informatiepagina de slechtst denkbare plek is¶

Hier verlaat ik de meting en geef ik een weging. Ik label dit als gedachte.

Een perspagina van VWS gaat over gezondheid. Wie zo'n bericht opent, heeft daar meestal een reden voor. Die reden is context, en context is precies wat een advertentiestack waard is. Gezondheid is onder artikel 9 van de AVG een bijzondere categorie, en het domein was in mijn meting als gevoelig gemarkeerd.

Het patroon is breder dan deze ene pagina. Advertentie-infrastructuur in een omgeving die zich als zorg of voorlichting presenteert, is een keuze in het ontwerp, gemaakt door wie de omgeving liet bouwen. Zie Advertentie-infrastructuur in een zorgjas is een bouwkeuze.

Ik trek hier geen conclusie over opzet. Een communicatieafdeling die een persplatform inkoopt, kiest voor gemak en bereik. De stack komt mee in de doos.

De vragen die je bij inkoop stelt¶

Vier vragen, en ze kosten samen één e-mail aan de leverancier.

1. welke externe code laadt jullie platform op onze pagina's?
2. welke daarvan laden voordat de bezoeker iets heeft gekozen?
3. wordt er een herkenningsnummer met andere partijen gedeeld,
   en zo ja met welke?
4. staat dat in onze verwerkersovereenkomst en in ons register?

Vraag 3 is degene die het vaakst onbeantwoord blijft, en die het meest oplevert.

Om te laten zien dat dit geen theoretisch probleem is: over de 1.718 gemeten overheidssites telde ik 604 gevallen van POST-verzoeken met inhoud naar derde partijen, dus verkeer waarin actief gegevens worden verstuurd. Op de NPI-set van 32 sites gebeurde dat op 29 sites.

Ik leg dezelfde meetlat langs een ministerie en langs een willekeurige app, om precies deze reden. Zie Dezelfde meetlat voor de overheid en de app in je broekzak.