Trackers vuren pas echt na accepteren, doorklikken en video's starten

Drie standen, drie opnames¶

Elke site in mijn scans wordt drie keer bezocht, in drie los van elkaar staande browserprofielen. Eerst de stand waarin de bezoeker niets doet, alleen de pagina opent. Dan de stand waarin hij expliciet weigert. Dan de stand waarin hij accepteert.

Die opzet bestaat omdat één opname per site systematisch de verkeerde vraag beantwoordt. Wie alleen de voorpagina in de nulstand scant, meet de etalage. De echte lading zit in de andere twee opnames, en in wat er pas na een handeling vuurt. Zie Hoe mijn scanner werkt, van bezoek tot bewijsstuk.

Alle cijfers hieronder komen uit twee runs: de scan van 1.718 Nederlandse overheidssites van 14 juli 2026, en de NPI-scan van 32 commerciële sites van 18 juli 2026 (thesis20.json en diep.json).

Wat accepteren opent¶

Dit is het getal waar deze notitie op staat.

Op de 32 commerciële sites lag de mediaan van het aantal externe partijen in de nulstand op 7,5. Na accepteren lag diezelfde mediaan op 30,5. De mediaan van de verhouding per site staat op 2,89 (thesis20.json, run npi_2026-07-18, T5).

Die twee uitkomsten meten iets anders, en dat verschil is de moeite waard. De sprong van 7,5 naar 30,5 vergelijkt twee medianen met elkaar. De 2,89 is de middelste waarde van alle verhoudingen per site afzonderlijk. Beide wijzen dezelfde kant op: accepteren opent op de mediane commerciële site een veelvoud van wat er in de nulstand stond.

De keten die daarna hangt, is fors. Van de gemeten commerciële sites met een dossier is de mediaan 36 ontvangers, het gemiddelde 37,8, het negentigste percentiel 75 en het maximum 87 (diep.json, npi/C_ketenomvang).

Wat er dan bijkomt is herkenbaar advertentiewerk. In de top van de aangesproken domeinen staan doubleclick.net op 22 sites, adnxs.com op 16, casalemedia.com op 14, criteo.com op 14 en bidswitch.net op 13 (thesis20.json, run npi_2026-07-18, T7). Op 29 van de 32 sites zitten ontvangers met servers in een derde land, dat is 90,6 procent (T6).

Wie op een nieuwssite accepteert, opent dus geen vast lijstje partijen. Hij opent een markt. Zie Toestemming opent een wereldwijde advertentiemarkt en De cookiemuur toont minder partners dan de code telt.

Wat er al voor de vraag vertrekt¶

De tweede helft van deze notitie is de spiegel van de eerste. Een deel van de lading wacht niet op de vraag.

Op de 32 commerciële sites laadde er op 31 al volgtechniek voordat de bezoeker iets koos, dat is 96,9 procent (thesis20.json, run npi_2026-07-18, T1). Op de 1.718 overheidssites gebeurde dat op 1.027 sites, 59,8 procent, waarvan 933 met alleen cookies (T1 bij run mijnoverheid_2026-07-14).

De onderliggende bevindingen zijn per artikel geteld. Op de overheidskant: 988 sites met bekende externe trackers geladen voor toestemming, en 846 sites met tracking-cookies gezet voor toestemming zonder dat er een cookiebanner werd aangetroffen (diep.json, overheid_1718/D_overtredingen). Op de commerciële kant: 28 van de 32 met trackers voor toestemming, en 22 met tracking-cookies voor toestemming zonder gedetecteerde banner (diep.json, npi/D_overtredingen).

Ook het uitwisselen van herkenningsnummers wacht niet netjes. Op de commerciële sites gebeurde dat op 28 sites (87,5 procent), waarvan 16 zonder enige toestemming (50 procent) (T10). Zie Cookie-sync laat losse partijen dezelfde persoon herkennen en Je cookiebanner is zelf een tracker.

Weigeren als derde stand¶

De weiger-stand hoort in dit stuk thuis, want zonder die stand lijkt "voor toestemming" en "na weigeren" hetzelfde probleem.

Op de overheidssites laadde na een expliciete weigering op 1.664 sites evenveel als bij niets doen, en op 23 sites méér. Samen betekent dat 98,2 procent waar weigeren geen vermindering opleverde (thesis20.json, run mijnoverheid_2026-07-14, T2). Op de commerciële kant is dat 87,5 procent, met 6 sites waar weigeren méér opleverde (T2 bij run npi_2026-07-18).

Per bevinding uitgesplitst, op de overheidskant: 107 sites waar bekende trackers actief blijven na klikken op weigeren, 99 sites waar tracker-scripts geladen blijven, en 72 sites waar tracking-cookies actief blijven na weigeren (diep.json, overheid_1718/D_overtredingen). Op de commerciële kant: 11, 12 en 8 sites (diep.json, npi/D_overtredingen).

Dat is een aparte bevinding met een eigen rechtsgrond. Toestemming intrekken moet even makkelijk zijn als geven, artikel 7 lid 3 van de AVG, en opslag zonder toestemming raakt artikel 11.7a van de Telecommunicatiewet. Zie Weigeren doet op vier van de vijf sites niets.

Wat pas na een handeling vuurt¶

De derde laag zit in de tijd. Een deel van de keten wacht op gedrag.

Op 183 overheidssites verschenen trackers pas ná scrollen of interactie, ruim na het laden van de pagina, en dus buiten het bereik van een statische scan (diep.json, overheid_1718/D_overtredingen). Op de commerciële kant staat dezelfde bevinding twee keer in de lijst, op 23 en op 6 sites, met verschillende drempels (diep.json, npi/D_overtredingen).

Op 19 commerciële sites was het aantal aangesproken derde-partijdomeinen tijdens een realistische gebruikersflow disproportioneel groot voor de geleverde functie (diep.json, npi/D_overtredingen). Dat cijfer bestaat alleen omdat er is doorgeklikt en gescrold.

En de zwaarste vormen zitten juist in die staart. Sessie-replay, dat elke muisbeweging, klik, scroll en formulierinvoer vastlegt, draaide op 13 van de 32 commerciële sites (40,6 procent) (T16). Sociale pixels op 19 sites (59,4 procent) (T17). Op de overheidskant lagen die twee op 36 sites elk (2,1 procent), maar met een scherpe wending: van die 36 sessie-replay-sites laadden er 24 al voor toestemming, en van de 36 pixel-sites laadden er 31 al voor toestemming (T16 en T17 bij run mijnoverheid_2026-07-14).

Wie op één moment meet, mist deze hele laag. Zie Niet alles vuurt bij opstart, sommige trackers wachten op jou en Meet zoals een bezoeker, niet zoals een scanner.

Waar de meting ophoudt, en waar ze mij tegenspreekt¶

Dit hoort erbij, en het is de eerlijkste paragraaf van het stuk.

De overheidsdata spreekt de kop tegen. Op alle overheidsruns lag de mediaan van het aantal externe partijen bij niets doen op 1,0 en na accepteren óók op 1,0, met een mediane verhouding van 1,0 (thesis20.json, T5 bij de runs mijnoverheid_2026-07-14, headed_deep_2026-06-22, overheid_nieuw_2026-06-28, v3.8_2026-05-18 en v3.8_2026-05-14). Op de mediane overheidssite opent accepteren dus niets. De stelling "de echte lading komt pas na accepteren" geldt aantoonbaar voor de commerciële kant en is op de overheidskant in de mediaan niet terug te vinden. Dat komt doordat het overheidsprobleem aan de voorkant zit, in wat er al voor de vraag vertrekt. Zie Dezelfde meetlat voor de overheid en de app in je broekzak.

De 32 is een kleine steekproef. Alle NPI-cijfers hierboven staan op 32 sites. Percentages op zo'n aantal bewegen hard, want elke afzonderlijke site telt zwaar mee. Ik noem daarom overal de absolute aantallen erbij.

Metingen verschillen tussen runs. Van de sites die in drie of meer runs voorkomen, 434 stuks, is het mediane verschil tussen de laagste en de hoogste meting 0,0 (thesis20.json, T19_herhaalbaarheid). De staart is wel groot: veva.nl liep van 4 tot 46 ontvangers, werkenbijdefensie.nl van 13 tot 53, en 2todrive.nl, een rijexamenplatform voor jongeren, van 1 tot 30. Zo'n spreiding komt door campagnes, A/B-tests en veilingen die per bezoek verschillen. Eén meting op zo'n site is een momentopname.

Een sterke aanwijzing is nog geen vastgestelde overtreding. Waar na een weigering toch een volgtechniek afvuurde, leg ik dat vast als sterke technische aanwijzing voor strijd met artikel 11.7a, uitdrukkelijk niet als vastgestelde overtreding zolang doel, timing en uitzonderingen niet juridisch zijn gewogen. Zie Een aanwijzing is nog geen bewijs en Label elke bevinding op bewijsniveau.

En ik meet vanuit de browser. Wat er op de server van een site gebeurt nadat het verkeer daar is aangekomen, blijft buiten beeld. Elk getal hierboven is een ondergrens. Zie Server-side tagging verplaatst de tracking uit het zicht.

Wat je hier morgen mee doet¶

Als lezer, in twee minuten per site. Open een site, druk op F12, ga naar het tabblad Netwerk en herlaad de pagina zonder iets te klikken. Noteer het aantal regels. Klik daarna op Accepteren en herlaad opnieuw. Het verschil tussen die twee getallen is jouw eigen versie van de 7,5 tegenover 30,5. Je hebt er geen gereedschap voor nodig dat je nog moet installeren.

Als functionaris gegevensbescherming: laat je site in drie standen meten en eis dat het rapport per stand een aparte lijst ontvangers bevat. Een rapport met één lijst is een rapport over de etalage. Loop daarna vooral de nulstand na, want daar zit de goedkoopst te repareren overtreding. Zie Wat je van een CDN haalt, laadt voor je banner en De toegankelijkheidstool en de feedbackwidget lekken ook.

Als je een toestemmingsmodule beheert: test de weigerknop met de netwerkopname erbij open, en niet met de configuratiepagina van je leverancier erbij. De keuze van je leverancier voorspelt je nalevingsniveau bovendien beter dan je privacyverklaring dat doet. Zie Welke toestemmingsmodule je kiest, voorspelt of je overtreedt.

En als je zelf meet: meet zoals een bezoeker. Scroll, klik door naar een tweede pagina, start een video, en wacht daarna nog een paar seconden. De 183 overheidssites en de 23 commerciële sites met vertraagde trackers zitten alleen in je opname als je die handelingen doet.