| Bevinding | Wat er is vastgesteld | Status |
|---|---|---|
| Dezelfde verkooplijst | De vier radiozenders van Mediahuis droegen regel voor regel hetzelfde ads.txt-bestand als de zeven kranten, met daarin twee regels naar het Moskouse Between Digital. | gemeten |
| Sinds wanneer | Bij Radio Veronica en SLAM! staat die regel in de oudste bewaarde kopie van 8 november 2024. Beide bestanden zijn byte-identiek. | gemeten |
| Verwijderd op 29 juli | Om 11:10:25 verdwenen bij alle elf titels precies die twee regels. Nul regels toegevoegd. Een dag nadat de uitgever schreef dat het al gebeurd was. | gemeten |
| Niemand weet wie | "Wij kunnen niet nagaan op wiens verzoek dit is opgenomen." In hetzelfde bestand staan nog ruim driehonderd andere regels. | erkend |
| Cookies voor de keuze | Bij alle vier de zenders staan vijf tot zes trackingcookies op het apparaat voordat er iets is aangeklikt, waaronder die van Google en Facebook. | gemeten |
| Weigeren | In de eerste laag van het toestemmingsvenster is geen weigerknop gevonden, bij geen van de vier. De akkoordknop wel. Mediahuis, op die vraag: "Dat klopt." | erkend |
Op 28 juli publiceerde ik over De Telegraaf. Dat stuk ging over één krant, en dat was te smal. De verkooplijst waarin de Moskouse partij stond, bleek van elf domeinen van Mediahuis Nederland te zijn. Zeven daarvan zijn kranten. De andere vier zijn radiozenders: radioveronica.nl, slam.nl, sublime.nl en 100p.nl.
Dit stuk gaat over die vier.
Wie een website mag verkopen, krijgt bij elk bezoek een biedverzoek te zien. Daarin staat het IP-adres van de bezoeker, dus zijn plaats. Het apparaat en de browser. De pagina die op dat moment openstaat. En een herkenningsnummer. Bij De Telegraaf heb ik op 18 juli gemeten wat dat oplevert: drie cookies van betweendigital.com, houdbaar een jaar.
Een Russische rechtspersoon valt onder Russisch recht. Wat zo'n bedrijf ziet, is daar opvraagbaar. Daarom verbiedt artikel 5n van verordening (EU) 833/2014 sinds december 2022 het verlenen van advertentiediensten aan in Rusland gevestigde rechtspersonen. Niet omdat iemand op een sanctielijst staat, maar vanwege wat er in die stroom zit.
Geen van de betrokken partijen staat op de EU-sanctielijst of de OFAC-lijst; beide heb ik zelf doorzocht, nul treffers. Of hier van zo'n dienst sprake is, is een vraag voor de toezichthouder. Ik stel vast dat de machtiging vier jaar in het bestand stond, en dat de uitgever niet kan zeggen wie haar er heeft neergezet.
1. Eén bestand, elf titels
Elke website die advertentieruimte verkoopt, publiceert een ads.txt. Daarin staat welke partijen namens die site mogen verkopen. Het is een openbaar bestand, bedoeld tegen fraude, en iedereen kan het lezen door /ads.txt achter een domein te zetten.
Ik heb niet geraden welke titels van Mediahuis zijn. Ik heb het bestand het laten bewijzen: elk exemplaar met ownerdomain=mediahuis.nl en contact=adtech@mediahuis.nl. Dat zijn er elf, en op de eerste regel na waren ze identiek. Op regel 57 en 58 stond:
betweendigital.com,44937,RESELLER
betweendigital.com,43910,DIRECT
DIRECT betekent in deze standaard: de uitgever heeft een rechtstreekse zakelijke relatie met deze partij.
Between Digital is in Moskou ingeschreven als OOO SSP Network, Bolsjoj Ovtsjinnikovski 16, kantoor 707. Het Russische handelsregister noemt OOO Bitvin Exchange, het bedrijf achter het merk Between Exchange, als enig eigenaar met honderd procent van de aandelen, sinds maart 2024. Dat bedrijf zit in hetzelfde pand, kantoor 701. Bevestigd, twee registers, zelf nagetrokken.
2. Sinds wanneer
Uit het Internet Archive, zeventig kopieën opgehaald en per stuk gecontroleerd op die regel.
| titel | laatste kopie zonder | eerste kopie mét |
|---|---|---|
| telegraaf.nl | 17 mei 2021 | 14 april 2022 |
| noordhollandsdagblad.nl, haarlemsdagblad.nl, leidschdagblad.nl | 18 mei 2021 | 22 augustus 2022 |
| gooieneemlander.nl | 18 mei 2021 | 25 augustus 2022 |
| ijmuidercourant.nl | 18 mei 2021 | 31 augustus 2022 |
| limburger.nl | 18 mei 2021 | 17 september 2022 |
| radioveronica.nl | geen kopie zonder | 8 november 2024 |
| slam.nl | geen kopie zonder | 8 november 2024 |
| sublime.nl | 15 augustus 2024 (eigen lijst van 3 regels) | onbekend |
| 100p.nl | geen enkele kopie bewaard | onbekend |
De twee radiobestanden van 8 november 2024 zijn byte-identiek, dezelfde SHA256, 144 regels. Die versie voert nog geen ownerdomain en contact, dus zij is ouder dan de bestandsopzet die in 2026 op alle elf titels staat. Ergens tussen november 2024 en juli 2026 zijn de zenders in het gedeelde Mediahuis-bestand geschoven.
Het archief neemt niet dagelijks op. De werkelijke invoegdatum ligt dus tussen de twee kolommen, en kan eerder zijn.
3. Wat het bedrijf in 2022 met zichzelf deed
Uit hetzelfde archief, plus de registratiegegevens van het IP-blok waarop hun servers draaien.
| datum | wat er gebeurde |
|---|---|
| 18 januari 2022 | betweenx.com noemt zichzelf “#1 Independent SSP in Russia” |
| 24 februari 2022 | Rusland valt Oekraïne binnen |
| 5 maart 2022 | RIPE hernoemt het IP-blok van SERVERS-COM-MOW1 naar SERVERS-RU-MOW1 |
| 1 april 2022 | Rusland verdwijnt uit de tekst op de site, het voettekstadres wordt Limassol op Cyprus |
| 14 april 2022 | de regel staat voor het eerst in de verkooplijst van telegraaf.nl |
Dertien dagen tussen de laatste twee. Ik trek daar geen verband uit. Er is geen bron die zegt waarom de regel er kwam, en door de gaten in het archief kan de werkelijke datum eerder liggen. Wat vaststaat is de volgorde.
4. Wat de uitgever schreef, en wat er daarna gebeurde
24 juli. Mediahuis Nederland haalt Between Exchange “uit voorzorg” uit het toestemmingsvenster, vanwege “eventuele banden met Rusland”. Over de zusteronderneming: “Between Digital is ons niet bekend.” Op dat moment staat betweendigital.com al jaren in de eigen verkooplijst van de uitgever.
28 juli. De uitgever erkent dat de aanduiding DIRECT “ten onrechte in het bestand was opgenomen” en dat er geen directe relatie is. En: “Wij kunnen niet nagaan op wiens verzoek dit is opgenomen.” De regels worden “grotendeels door onze demand partners aangeleverd”, en er vindt “over het algemeen geen diepgaand onderzoek plaats naar concernverhoudingen achter een IAB-vendor”.
Over die concernverhouding: Mediahuis noemt de twee bedrijven “gelieerd, maar opereren zij onafhankelijk en autonoom”, en verwijst daarvoor naar de website van het bedrijf zelf. Op die pagina staat dat de bedrijven in 2016 besloten hun krachten te bundelen en samen een leidende positie innamen op de Russische markt. Het handelsregister toont honderd procent eigendom.
29 juli, 11:10:25. Volgens de bestandskop van de nieuwe versie is dat het moment waarop de wijziging is doorgevoerd. Bij alle elf titels verdwijnen precies die twee regels. Nul regels toegevoegd. Dat is ongeveer een etmaal na het antwoord waarin in de verleden tijd stond dat het al was gebeurd, en ruim drie uur na mijn meting van die ochtend.
Ik stel niet vast dat mijn meting dat veroorzaakte. Ik ken de volgorde, niet de oorzaak.
De tegenproef. Dezelfde adtech-afdeling, met hetzelfde contactadres, beheert nog een tweede Nederlandse verkooplijst, voor onder meer lc.nl, dvhn.nl en frieschdagblad.nl. Dat bestand telt 380 regels en heeft die Russische partij nooit gedragen. Eén afdeling, twee bestanden, één met en één zonder.
5. Hoe komt zo’n regel er dan in
De uitgever zegt het zelf: de regels worden “grotendeels door onze demand partners aangeleverd en door ons in het bestand opgenomen”. Wie een partij toelaat, kijkt naar wat het IAB-framework over die partij meldt. En: “Er vindt over het algemeen geen diepgaand onderzoek plaats naar concernverhoudingen achter een IAB-vendor.” Op de vraag of de vaststelling elders is getoetst: “Wij hebben die vaststelling niet elders getoetst.”
Dat is de hele controle. Een tussenpartij levert een regel aan, de uitgever neemt hem over, en niemand kijkt naar wie er achter de vendor zit.
Wie die regel dan aanleverde, is in een minuut na te gaan met twee openbare bestanden. Het accountnummer uit de DIRECT-regel, 43910, staat in de sellers.json van Between Digital zelf op naam van ShowHeroes GmbH. Dat bedrijf staat ook in de Mediahuis-lijst, als directe partner. De account uit de RESELLER-regel, 44937, hoort daar bij YOC AG, dat eveneens in de lijst staat. Mediahuis of telegraaf.nl komt in dat bestand nergens voor.
Waarschijnlijk, niet bevestigd. Dat de accounts bij die twee partijen horen is bewezen; wie het verzoek deed om ze in het bestand te zetten, niet. Ik heb ShowHeroes en YOC niet om een reactie gevraagd: dit onderzoek gaat over de uitgever, die de regel publiceerde en er verantwoordelijk voor is.
Let op de nuance bij de RESELLER-regel: dat een account bij een derde hoort is daar normaal en juist. Het defect zit in de DIRECT-vlag, en precies dat erkent Mediahuis.
6. Wat er niet gebeurt
De twee regels zijn weg. Drie dingen zijn dat niet.
De koppelingen die al gelegd zijn. Op de vraag of de uitgever de betrokken partijen heeft gevraagd de eerder gekoppelde identifiers te verwijderen, is het antwoord nee. Reden: er is “geen reden om aan te nemen dat de data op onrechtmatige wijze wordt verwerkt”. De cookies die bij De Telegraaf zijn gemeten hebben een houdbaarheid van een jaar. Die lopen dus door.
De zekerheid dat het zo blijft. Over het besluit om de partij te weren schrijft de uitgever: “in hoeverre dit besluit van kracht blijft, zal op een later moment worden bepaald.”
De overige regels. Het bestand telde 309 regels. Twee zijn er verwijderd. Op de vraag wat een aantoonbaar onjuiste vermelding zegt over de overige driehonderd, kwam geen antwoord, alleen de toezegging het bestand door te nemen. Als de herkomst van één regel niet te achterhalen is, geldt dat voor alle regels die langs dezelfde weg binnenkwamen.
7. De websites van de zenders
Gemeten op 31 juli, drie doorlopen per zender: niets doen, weigeren, akkoord.
| zender | cookies voor de keuze | identifiers gedeeld zonder toestemming | partijen bij niets doen | na akkoord | ontvangers | in derde land |
|---|---|---|---|---|---|---|
| radioveronica.nl | 5 | 24 | 30 | 54 | 33 | 6 |
| slam.nl | 5 | 14 | 28 | 54 | 32 | 6 |
| sublime.nl | 6 | 12 | 32 | 52 | 32 | 7 |
| 100p.nl | 5 | 4 | 30 | 62 | 36 | 8 |
De cookies die vóór enige keuze worden gezet zijn bij alle vier vergelijkbaar: _ga en een tweede meetcookie van Google Analytics, _gcl_au van Google Ads, _fbp van Facebook, en _pcid, een profielcookie. Dat is een plaatsing op de eindapparatuur van de bezoeker waarvoor artikel 11.7a van de Telecommunicatiewet toestemming vereist, tenzij zij strikt noodzakelijk is voor de gevraagde dienst.
De identifiers die in diezelfde toestand naar buiten gaan, komen terecht bij doubleclick.net, google.com, google.nl en googleadservices.com, en bij drie van de vier zenders ook bij cxense.com.
De derde landen zonder Europees adequaatheidsbesluit zijn de Verenigde Staten, Singapore en Zuid-Afrika. Canada, Zwitserland en het Verenigd Koninkrijk komen in de metingen ook voor, maar die hebben wel een besluit en tellen hier niet mee.
De zenders zijn geen kranten. Waar telegraaf.nl na akkoord op 218 externe partijen uitkomt, blijven de vier zenders tussen de 52 en 62. In het ontvangerdossier van de krant staan partijen uit Israël (Outbrain, Taboola, Aniview, Unruly) en uit China (Temu, Baidu MediaGo). Bij geen van de vier radiozenders komt daar iets van voor. Zij delen wel de verkooplijst en het toestemmingsvenster met de kranten, maar draaien een eigen, aanzienlijk kortere advertentieketen.
Weigeren gaf bij geen van de vier een meetbaar ander resultaat dan niets doen. Het verschil lag tussen min vier en plus twee partijen, wat binnen de meetruis valt. De verklaring staat in het scanbestand zelf: de weigerknop werd niet gevonden, bij geen van de elf titels. De akkoordknop wel, meteen, via de standaardselector van de gebruikte toestemmingsmodule.
8. Wat deze meting niet aantoont
- Niet dat Between Digital ooit gegevens van deze zenders heeft ontvangen. In alle 33 netwerkopnames van 31 juli stuurde die partij geen enkel verzoek. Een regel in
ads.txtis een machtiging om te verkopen, geen bewijs van verkeer. - Niet dat mijn onderzoek de verwijdering veroorzaakte. De volgorde staat vast, de oorzaak niet.
- Niet dat er een overtreding is begaan. Dat oordeel is aan de toezichthouder, en die vraag is niet aan Mediahuis voorgelegd.
- Niet dat er geen weigerknop bestaat. Gemeten is dat de scanner er geen vond, na de modulespecifieke selectoren, alle bekende selectoren en tekstzoeken binnen het venster. Een knop achter “instellingen” valt hier buiten.
9. Verantwoording
De metingen van 31 juli zijn gedaan met mijn eigen scanner, in drie doorlopen per titel, op elf titels, met 33 netwerkopnames. Per titel is de scanbundel gehasht. De verkooplijsten zijn op 29 en 31 juli opgehaald met volledige antwoordheaders en een controlegetal per bestand, vanaf twee machines en via twee netwerkpaden, met byte-identieke uitkomst.
De archiefkopieën zijn op 1 augustus opgehaald bij het Internet Archive, zeventig stuks over elf domeinen, en per kopie gecontroleerd op de regel. Voor de radiozenders leverde alleen de www.-variant resultaat op; de zoekopdracht op het kale domein gaf ten onrechte de indruk dat er niets bewaard was.
De reactie van Mediahuis is in de eerdere publicatie integraal opgenomen, met beide medewerkers geanonimiseerd tot hun functie. Alle bevindingen in dit stuk zijn van dezelfde soort als die in de wederhoor van 22 juli, waarop de uitgever op 24 en 28 juli schriftelijk heeft geantwoord.