Tussen wat gebruikelijk is en wat mag, zit een gat

Twee werelden die elkaar niet kennen¶

Vraag een ontwikkelaar waarom een veld wordt opgeslagen en het antwoord is bijna altijd hetzelfde: het kan later van pas komen. Vraag een jurist hetzelfde en het antwoord is dat je alleen mag verwerken wat noodzakelijk is voor het doel.

Dat zijn geen twee meningen over hetzelfde. Het zijn twee standaardinstellingen die tegengesteld staan. De ene bouwt vanuit de gedachte dat weggooien onherstelbaar is. De andere gaat ervan uit dat bewaren de uitzondering hoort te zijn.

De praktijk volgt de eerste. De wet volgt de tweede. Het gat daartussen is waar het grootste deel van mijn metingen landt. Zie De bouwers en de beslissers weten vaak niet van elkaar.

Het gat is te meten, met één meetlat¶

Het aardige aan minimalisatie is dat je haar niet hoeft te beargumenteren zolang je twee groepen naast elkaar kunt zetten die op hetzelfde web draaien.

Uit de scan van 14 juli 2026 over 1.718 Nederlandse overheidssites en de scan van 18 juli 2026 over 32 nieuws- en handelssites, zelfde scanner, zelfde drie toestemmingsmodi:

                                     overheid (1.718)   commercieel (32)
mediaan externe ontvangers per site                 2                 36
gemiddeld                                         3,2               37,8
negentigste percentiel                              7                 75
hoogste enkele site                                38                 87

Lees de tabel diagonaal. De zwaarst beladen overheidssite uit de hele set, met 38 ontvangers, komt aan de commerciële kant net boven de mediaan uit. Dat is geen verschil in techniek, want beide groepen kunnen dezelfde bouwstenen inkopen. Het is een verschil in wat als normaal geldt.

Daarmee is het belangrijkste tegenargument weerlegd. Zodra iemand zegt dat zesendertig ontvangers nu eenmaal nodig zijn om een moderne website te draaien, wijs je op duizenden sites die het met twee doen. Zie Dezelfde meetlat voor de overheid en de app in je broekzak.

Waar het gat zich op een site laat zien¶

De meting geeft ook de plek aan waar het misgaat, en dat is meestal voor er iets is gevraagd.

In de overheidsset laadde op 1.027 van de 1.718 sites, 59,8 procent, al tracking voordat de bezoeker iets had gekozen. Bij 933 daarvan ging het uitsluitend om cookies. In de commerciële set was dat 31 van de 32 sites, 96,9 procent.

De cookies die dat het vaakst deden, zijn niet spectaculair en juist daarom bruikbaar:

stg_traffic_source_priority   op 730 sites
stg_last_interaction          op 730 sites
stg_returning_visitor         op 730 sites
stg_externalReferrer          op 353 sites
_ga                           op 143 sites

Vier van die vijf houden bij waar je vandaan kwam, of je eerder langskwam en wanneer je laatste interactie was. Dat zijn keuzes die iemand ooit heeft aangezet, waarschijnlijk omdat ze standaard aanstonden in het analysepakket. Zie Je cookiebanner is zelf een tracker.

De scanner benoemt dit ook als zodanig. In de commerciële set leverde de regel over minimale gegevensverwerking, artikel 5 lid 1 onder c van de AVG, 19 bevindingen op waarin het aantal aangesproken externe domeinen tijdens een normale gebruikersflow als disproportioneel werd aangemerkt, plus nog eens 7 op een zwaardere drempel.

Het geval waarin de verwachting bijna een oordeel werd¶

Hier hield de regel me tegen, en het ging om de grootste post in de hele overheidsmeting.

De vaakst voorkomende externe partij op Nederlandse overheidssites is de Nederlandse overheid zelf. Op 669 sites treedt rijksoverheid.nl op als externe partij, en op 668 daarvan laadde die verbinding al voordat er iets was gekozen, oftewel 99,9 procent. Het gaat om een zelf gehost analysepakket, met 667 van die verbindingen naar servers in België.

Als je minimalisatie als norm hanteert en de meting als vonnis, ligt de conclusie klaar: de grootste privacyschending op de Nederlandse overheidssites wordt gepleegd door de rijksoverheid, op 668 sites tegelijk.

Die zin is meetbaar waar en juridisch voorbarig. Analytics voor toestemming kan onder een uitzondering vallen, afhankelijk van hoe het pakket is ingericht, of er identificerende gegevens in gaan, en wat er met het resultaat gebeurt. Dat is precies de discussie die je niet uit een netwerkopname kunt beslechten. Zie Gemeten is niet bewezen en De rijksbrede analytics staat op 668 sites voor toestemming.

De publiceerbare vorm werd daarom een vraag met bewijs eronder in plaats van een oordeel: dit staat er, op deze schaal, voor toestemming, en dit zijn de voorwaarden waaronder het rechtmatig kan zijn, dus toon aan dat u eraan voldoet. Die vraag is beantwoordbaar en de beschuldiging was dat niet.

Waarom noodzaak zelf niet te meten is¶

Dit is de eerlijke beperking en ze zit in het hart van het onderwerp.

Ik kan meten wat er vertrekt, naar wie, wanneer en na welke keuze. Ik kan niet meten of het nodig was. Noodzaak is een oordeel over een doel, en het doel staat in een hoofd, in een offerte of in een verwerkingsregister. Niet in het verkeer.

Wat ik wel kan doen is de vraag scherp maken, en daar bestaat een goed hulpmiddel voor. In de overheidsset kwamen 224 bevindingen naar voren waarin een uniek trackernummer in de inhoud van een bestand stond, met de instructie om te controleren of die verwerking in het register of de privacyverklaring is opgenomen. Dat is de brug: de meting levert de vraag, het register hoort het antwoord te leveren, en het uitblijven van dat antwoord is zelf informatie. Zie Papier versus code: de verklaring en de uitvoering en De ontvangers die in geen enkel verwerkingsregister staan.

Wat een bouwer hiermee doet¶

Minimalisatie is voor een bouwer geen abstractie. Het is een reeks kleine besluiten die allemaal in de configuratie staan.

Zet analysepakketten op de standaard waarin ze niets herkennen tot de bezoeker heeft gekozen, in plaats van op de standaard waarin alles aanstaat. Haal lettertypen, kaarten en bibliotheken van je eigen server, want dan vertrekt er niets voordat er iets gevraagd is. Kies een bewaartermijn per cookie in plaats van de fabrieksinstelling. En loop één keer per jaar de ontvangerslijst van je eigen site langs en schrap wat niemand meer kan uitleggen.

Die laatste is de goedkoopste en levert het meeste op. In de meeste gevallen staat er iets in dat ooit voor een campagne is toegevoegd en waarvan de eigenaar het bedrijf verlaten heeft.

Wat een onderzoeker hiermee doet¶

Houd de verwachting en het oordeel uit elkaar in je eigen tekst. De verwachting is dat een organisatie het met minder kan, en die is te onderbouwen met een vergelijkbare groep die het aantoonbaar met minder doet. Het oordeel dat een concrete verwerking onrechtmatig is, vraagt om het doel, de grondslag en de context, en die haal je niet uit een opname.

De sterkste vorm is daarom bijna altijd dezelfde. Meet, vergelijk met een groep die op hetzelfde web draait, en formuleer het verschil als een vraag die de organisatie kan beantwoorden. Wie zo schrijft, houdt zijn zwaarste claim overeind en dwingt tegelijk het gesprek af dat hij wilde. Zie Mijn onderzoek gaat niet over jouw bedrijf.

Werkregel. Onderbouw minimalisatie met een vergelijkbare groep die het aantoonbaar met minder doet, en formuleer het verschil als een vraag naar de rechtvaardiging in plaats van als een vastgesteld oordeel, want noodzaak zit in het doel en niet in het verkeer.