Daar ben ik het helemaal mee eens. Nu jullie nog.
Die zin is niet van mij. Hij komt uit een column van de toenmalige bestuursvoorzitter van Pels Rijcken. Elk woord in het beeld hierboven staat letterlijk in een publicatie van het kantoor zelf.
Meting van 10 augustus 2026, met dezelfde methode als de Nationale Privacy Index. Alles hieronder is na te rekenen.
Op 22 mei schreef de landsadvocaat op de eigen website één woord over mijn bevinding: onjuist.
Ze beriepen zich op een rapport van beveiligingsbedrijf Northwave. Daarin stond, in hun eigen weergave, dat mijn conclusie “in de gepresenteerde vorm technisch onjuist en misleidend” was. Dat rapport heeft nooit iemand gezien.
Bijna drie maanden later heb ik alle vijf hun websites opnieuw gemeten.
Alles wat ik had aangewezen is weg. Geen Hotjar meer, geen Google Tag Manager, geen Google Analytics. De weigerknop werkt nu wel. Op alle vijf de domeinen.
Ze hebben mijn lijst afgewerkt. Punt voor punt. En er nooit één woord over gezegd.
Dat is het hele verhaal in twee zinnen. Publiekelijk werd de onderzoeker weggezet. Binnenskamers werd zijn onderzoek uitgevoerd.
Wat de meting van vandaag vond
Ik heb op 10 augustus alle vijf de domeinen gemeten die Pels Rijcken zelf onder zijn privacyverklaring schaart. Per domein een verse browser in een eigen wegwerpcontainer, in drie standen: niets aanklikken, weigeren, accepteren.
| Domein | Mei 2026 | 10 augustus 2026 |
|---|---|---|
| pelsrijcken.nl | Google Tag Manager en Hotjar session recording | alleen een cookiebanner, nul trackers |
| werkenbijpelsrijcken.nl | tracking-pixels vóór toestemming | YouTube laadt pas ná toestemming |
| cassatieblog.nl | weigeren liet vijf trackers gewoon staan | weigeren houdt alles tegen |
| pgawb.nl | Google Analytics vóór toestemming, cookie van 399 dagen, geen weigerknop | banner die werkt, nul trackers |
| pgwoo.nl | Google Analytics vóór toestemming, cookie van 399 dagen, geen weigerknop | banner die werkt, nul trackers |
Voor wie de techniek niet volgt, in gewone taal. Een tracker is een stukje software van een ander bedrijf dat meekijkt terwijl u een site bezoekt. Hotjar is een van de zwaarste soorten: dat filmt letterlijk uw muisbewegingen en kliks, zodat de site-eigenaar uw bezoek later kan terugkijken. Zo’n ding hoort niet te draaien voordat u ja hebt gezegd.
Op twee van die domeinen kón u niet eens nee zeggen. Er stond een balkje, maar er zat geen weigerknop op, en de meting liet zien dat de tracking gewoon doorliep. Het cookie dat daarbij op uw apparaat werd gezet, blijft 399 dagen staan. Dat is dertien maanden waarin u herkenbaar blijft.
Dat is nu allemaal weg. Netjes opgelost, precies zoals het hoort.
Alleen: het is opgelost door een kantoor dat tegelijk in het openbaar zei dat er niets aan de hand was.
Het punt dat niemand heeft opgemerkt
Van mijn drie oorspronkelijke bevindingen erkende Pels Rijcken er twee. Dat zeg ik er meteen bij, want de precisie is het enige wat dit werk waarde geeft. Het derde en zwaarste punt, dat er gegevens via een Amerikaanse partij liepen, wezen ze af.
Maar drie van de vijf domeinen in de tabel hierboven stonden nergens in dat verhaal.
Ze stonden niet in het artikel van BNR. Ze stonden niet bij de twee erkende punten. Ze stonden alleen in een addendum dat ik op 27 mei publiceerde, waarin ik liet zien dat op cassatieblog.nl elf jaar en tien maanden onafgebroken Google Analytics had gedraaid, en op pgawb.nl tien jaar en negen maanden.
Op dat addendum is nooit gereageerd. Geen mail, geen verklaring, niets.
Die drie domeinen zijn wel opgeruimd.
Iemand daar heeft dat stuk gelezen, de lijst afgewerkt en er niets over gezegd. Dat is de handeling die telt. Naar buiten toe was de boodschap dat de onderzoeker het bij het verkeerde eind had. Binnenskamers werd zijn lijst uitgevoerd, tot en met de domeinen die hij er zelf bij had gevonden.
Je kunt niet allebei. Of de meting deugde niet, en dan valt er niets op te ruimen. Of ze deugde wel, en dan hoort daar iets anders bij dan een verklaring waarin staat dat ze niet deugde.
En dan is er nog de vorm waarin het is gebeurd. Stil herstellen zonder er iets over te zeggen, terwijl de ontkenning gewoon online blijft staan, is geen correctie. Dat is erop rekenen dat het vanzelf overwaait. De verklaring van 22 mei staat er vandaag nog steeds, ongewijzigd, en wie hem nu leest krijgt een beeld dat niet meer klopt met de eigen websites.
Voor een kantoor dat anderen adviseert over openbaarmaking uit eigen beweging is dat een merkwaardige keuze.
Het rapport dat niemand mag zien
De hele weerlegging rust op één document: het rapport van Northwave. Het wordt in hun verklaring letterlijk als bron aangehaald. Het is de reden waarom mijn bevinding onjuist zou zijn.
Dat rapport is nooit openbaar gemaakt. Niet op hun site. Niet bij BNR. Niet bij Mr. Online, Netkwesties of Dutch IT Channel, die er alle drie over schreven. Ik heb het nooit ontvangen.
Vergelijk dat eens met de andere kant van deze zaak.
Op 20 mei vroeg hun privacy officer mij om het onderliggende materiaal. Dezelfde dag stuurde ik het: 421 bestanden, 373 megabyte, alle ruwe netwerkopnames, screenshots en scanruns. Met controlegetallen erbij, zodat te bewijzen valt dat er niets aan gesleuteld is. En met een tijdstempel in een openbaar register, zodat vaststaat dat het dossier op die datum al bestond en niet later is bijgeschaafd.
Bijna drie maanden later is hun stuk nog steeds niet openbaar.
Dat is de asymmetrie in dit dossier. Mijn kant is tot op de laatste netwerkregel na te rekenen door iedereen die het wil proberen. Hun kant is een samenvatting van een document dat u op hun woord moet geloven.
Een advocatenkantoor weet beter dan wie ook wat een niet-overgelegd stuk waard is. Voor de rechter is dat niets. In hun eigen vak heet dat een blote stelling: een bewering waar geen stuk onder ligt. Je kunt geen conclusie citeren uit een rapport dat je niet op tafel legt en verwachten dat de wederpartij het aanneemt.
Wat ze zelf schrijven
Zes uitspraken uit zes eigen publicaties, tussen 2016 en 2026. Elk knipsel draagt zijn bron.
Dit is geen willekeurig bedrijf. Dit is het kantoor dat de Nederlandse Staat adviseert, ook over privacy. Ze publiceren daar zelf over. Al jaren.
Over de verantwoordingsplicht, in hun eigen kennisbank:
“Bestuursorganen moeten kunnen aantonen dat zij voldoen aan de verplichtingen van de AVG: de verantwoordingsplicht (artikel 5, tweede lid en artikel 24 AVG).”
Aantonen. Niet zeggen. Aantonen.
Over waarom mensen recht hebben op inzage:
“Achtergrond van het kennisnemingsrecht is dat een betrokkene moet kunnen controleren of hem betreffende persoonsgegevens worden verwerkt.”
Een bezoeker van pelsrijcken.nl kon dat niet controleren. Hotjar stond bijna twee jaar niet in hun eigen privacyverklaring.
Over het bijhouden van wat je verwerkt:
“organisaties moeten voor zichzelf inzichtelijk maken hoe gegevensverwerkingen intern zijn geregeld, zodat zelf kan worden nagegaan of de organisatie compliant is met de AVG.”
Op vijf domeinen liep tot elf jaar lang meetsoftware van Google, deels via één centraal beheerd account. Dat is niet iets wat je over het hoofd ziet.
Over transparantie bij algoritmes, aan gemeenten:
“Aan het gebruik van algoritmes door gemeenten worden hoge eisen gesteld, onder meer op het gebied van transparantie en uitlegbaarheid.”
En dan het mooiste. Een column van hun eigen toenmalige bestuursvoorzitter, over vertrouwen als uitgangspunt van de Omgevingswet:
“Vertrouwen is er niet zomaar, daar moet je wat voor doen.”
Dat is precies het punt.
Waarom ik dit uitgerekend hier niet laat lopen
Bij een gemiddeld bedrijf zou ik hier niet over schrijven. Fouten maken en herstellen is precies wat er hoort te gebeuren. Het zou raar zijn om iemand af te straffen voor het goede deel van zijn gedrag.
Dit is de landsadvocaat.
Dit is het kantoor dat namens Nederland in zaken staat, dat ministeries uitlegt wat toestemming betekent, dat gemeenten voorhoudt dat transparantie een harde eis is. Als er één partij is die weet dat je geen tracker laadt voordat de bezoeker heeft geklikt, is het deze.
En juist daar ontbreekt de tegendruk. Een gemeente krijgt de Autoriteit Persoonsgegevens op bezoek. Een bedrijf krijgt een boze klant of een concurrent die het aankaart. De landsadvocaat krijgt een onderzoeker met een laptop, en het antwoord daarop is een niet-openbaar rapport van een ingehuurd bureau, plus de vraag of hij zijn opvatting wil bijstellen.
Dat is geen toetsing. Dat is een verklaring van goed gedrag die je aan jezelf afgeeft.
Er bestaat wel toezicht op advocaten. De deken en de raad van discipline. Alleen gaat dat over hoe je met cliënten en tegenpartijen omgaat, niet over hoe je je eigen website inricht. Voor dat laatste is er de AP, en die kijkt zelden naar het kantoor dat de tegenpartij van klagers vertegenwoordigt.
Wie anderen aan een norm houdt, moet die norm zelf kunnen dragen. Ook als de meting van buiten komt. Ook als hij ongelegen valt.
Wat er moet gebeuren
-
Publiceer het Northwave-rapport. Niet aan mij. Gewoon openbaar, naast de verklaring van 22 mei die er nog steeds ongewijzigd staat. Staat daarin dat mijn meting niet deugde, dan is dat na publicatie voor iedereen na te rekenen en trek ik mijn conclusie in. Ik heb 373 megabyte geleverd binnen twee dagen. Dit is geen zware eis.
-
Zeg wat er sinds 22 mei is veranderd, en waarom. Vijf domeinen zijn opgeschoond, waaronder drie die publiek nooit zijn genoemd. Dat hoort in de verklaring te staan die er nu nog staat.
-
Leg het overzicht uit het Google-account op tafel. In Google Tag Manager en Google Analytics staat per datum welke meetsoftware actief was. Dat beheren ze zelf. Dat is de enige manier om de vraag “hoe lang liep dit” definitief te beantwoorden, in plaats van via archieven van buitenaf.
-
Publiceer de eigen gegevensbeschermingseffectbeoordeling. Bij tien jaar bezoekersmeting over vijf domeinen is die verplicht. Ze leggen zelf aan anderen uit wanneer dat zo is.
Ik heb hier geen belang bij behalve dit: als de partij die namens ons allemaal optreedt zichzelf niet laat narekenen, dan geldt de norm die zij uitdraagt voor iedereen behalve voor henzelf.
De metingen van 10 augustus 2026 zijn uitgevoerd met de BeforeYouMick-toolchain: drie toestemmingsstanden per domein, elk in een eigen container, met een volledige netwerkopname per stand. De ruwe data is op verzoek beschikbaar, met controlegetallen.
Bronnen
De verklaring van Pels Rijcken “Reactie op berichtgeving BNR Nieuwsradio over cookiebeleid”, 22 mei 2026, pelsrijcken.nl/actueel/nieuws/reactie-op-berichtgeving-bnr-nieuwsradio-over-cookiebeleid. Ongewijzigd sinds plaatsing, geverifieerd tegen de archiefkopieën van 24 en 27 mei 2026.
De berichtgeving BNR Nieuwsradio, “Website Pels Rijcken deelde zonder toestemming data met Google en een ander techbedrijf”, 22 mei 2026, aangepast 27 mei. Mr. Online, 22 mei 2026. Dutch IT Channel, 22 en 24 mei 2026. Netkwesties, 31 mei 2026.
De citaten uit hun eigen kennisbank - Cécile Bitter, “Actualiteiten privacyrecht I: het kennisnemingsrecht en de AVG”, 5 december 2017. - “Actualiteiten privacyrecht II: de implementatie van de AVG”, 25 mei 2018. - Marte van Graafeiland en Nina Bontje, “Innovatie en de AVG”, 18 juni 2018. - Jeroen Naves, “Modelbepalingen inkoop algoritmes”, 20 oktober 2020. - Julian Kramer over de column van Liesbeth Schippers, “Vertrouwen moet je bouwen”, 8 november 2016. - Floortje de Bruijn, “De transparante toezichthouder”, 20 oktober 2017. - Elisabeth Pietermaat en Nina Bontje, kroniek “Openbaarheid en behoorlijkheid”, jaarlijks in het Nederlands Tijdschrift voor Bestuursrecht, laatstelijk NTB 2026/94.
Eigen eerder werk “Reactie op de publieke verklaring van Pels Rijcken”, 22 mei 2026. “Pels Rijcken sprak van slordigheden”, addendum met de archieftijdlijn over vijf domeinen, 27 mei 2026.