De vraag ontbreekt volledig¶

Het gesprek over cookies gaat bijna altijd over toestemmingsvragen die je wel krijgt en die weinig doen. De banner die je wegklikt. De weigerknop die drie klikken diep zit. De cookiemuur die over het aantal partners liegt. Zie De cookiemuur toont minder partners dan de code telt. Op de plek achter de overheidslogin is de situatie fundamenteler. Daar is niet eens een vraag om te negeren. Geen cookiebanner, geen toestemmingsplatform, geen enkel mechanisme dat je iets voorlegt.

Dat is het scherm dat je pas bereikt nadat je hebt ingelogd. De omgeving waar je je juist het veiligst waant, omdat je bent geauthenticeerd bij een overheidsdienst. Precies daar ontbreekt de keuze het meest volledig.

Wat de meting laat zien¶

De meting is concreet. Achter de login worden tracking-cookies gezet en later weer uitgelezen, zonder dat er iets gevraagd wordt. Ik heb dit onder meer bij de Belastingdienst waargenomen. Bewijsniveau: gemeten. Ik lees het verkeer op de manier waarop een echte bezoeker het zou veroorzaken, niet zoals een kale scanner die de flow niet doorloopt. Zie Meet zoals een bezoeker, niet zoals een scanner. De cookies zijn er, ze worden geschreven, ze worden teruggelezen, en er is geen toestemmingsvraag aan voorafgegaan.

Het gaat hier om de aanwezigheid en het uitlezen van identifiers, aantoonbaar in het netwerkverkeer. Wat die identifiers verderop in een keten doen, is een aparte vraag met een eigen bewijslast. Zie De advertentieketen heeft schakels die niemand in de verklaring noemt. Wat ik hier vaststel, is beperkt en hard: op deze plek wordt niets gevraagd en wordt wel getrackt.

De manier van meten telt, omdat een kale scanner deze bevinding kan missen. Een scanner die de inlogstap niet doorloopt, komt nooit op het scherm achter de authenticatie. Hij ziet de publieke pagina, ziet daar netjes een banner of een keurige verklaring, en concludeert dat het klopt. De tracking zonder toestemmingsvraag zit juist op de plek die pas na inloggen bestaat. Om die te zien moet je de flow echt aflopen, met een sessie, zoals een ingelogde burger dat doet. Dat is de reden dat ik meet zoals een bezoeker en niet zoals een crawler die bij de voordeur blijft staan.

Wat de wet hier eist¶

De regel staat in de Telecommunicatiewet, artikel 11.7a. Dat is de Nederlandse omzetting van de ePrivacy-richtlijn. Voor het plaatsen en uitlezen van gegevens op iemands apparaat is toestemming nodig. De wet kent uitzonderingen. Toestemming is niet vereist voor communicatie die technisch noodzakelijk is, en niet voor een cookie die strikt nodig is om een dienst te leveren waar de gebruiker om vraagt. Een sessiecookie die je ingelogd houdt, valt daar doorgaans onder.

Tracking-cookies vallen daar niet onder. Zij dienen niet de gevraagde dienst. Voor die categorie geldt de hoofdregel: eerst vragen, dan plaatsen. De AVG legt daar bovenop een grondslag- en informatieplicht. Waar de vraag volledig ontbreekt en de tracking toch loopt, is aan de hoofdregel niet voldaan.

Twee dingen versterken die norm in deze context. Ten eerste kent de AVG voor overheidsorganen geen toestemming als grondslag voor de eigenlijke taak, omdat het machtsverschil tussen burger en overheid vrije toestemming lastig maakt. Voor de tracking bovenop die taak is toestemming juist wel de aangewezen route, en die ontbreekt hier. Ten tweede is de Belastingdienst een verwerker van bijzonder gevoelige gegevens. De verplichting om zorgvuldig te zijn met wat er op het toestel wordt gezet, is daar hoger dan op een willekeurige commerciële site.

Waarom afwezigheid een inrichting is¶

Een toestemmingsvraag valt niet uit de lucht. Iemand moet een banner bouwen, een toestemmingsplatform integreren, de logica schrijven die keuzes opslaat en respecteert. Waar die vraag ontbreekt, is dat werk niet gedaan. Dat is een uitkomst van hoe het systeem is ingericht. De afwezigheid is dus zelf een ontwerpkeuze, ook als niemand die keuze bewust als zodanig heeft opgeschreven.

Ik schrijf hier geen kwade opzet aan toe. Ik kan uit de meting niet aflezen waarom de vraag er niet is. Wat ik wel kan vaststellen, is dat de privacyverklaring zorgvuldigheid belooft en dat de code op dit punt iets anders laat zien. Die twee spreken elkaar tegen, en de code is de uitvoering. Juist achter de login, waar de context het gevoeligst is, hoort de lat hoger te liggen. Zie Hoe gevoeliger de context, hoe langer de identifier meegaat.

Wat dit voor de ingelogde context betekent¶

De ingelogde overheidsomgeving is een bijzondere plek. Je bent daar identificeerbaar bij naam, burgerservicenummer en dienst. De gegevens die je er invult, gaan over je inkomen, je toeslagen, je aanslagen. Dat is de context waarin de bescherming het hoogst hoort te zijn. Als daar zonder vraag getrackt wordt, is de belofte van de veilige, afgeschermde omgeving op dat punt niet waargemaakt.

Voor mijn werk betekent het dat ik de meest gevoelige schermen apart behandel. Ik meet ze zoals een ingelogde burger ze doorloopt, ik label wat ik zie als gemeten, en ik houd het vast aan de norm die daar geldt. Waar de burger geen alternatief heeft, want je moet nu eenmaal bij de Belastingdienst inloggen, is de plicht om het goed in te richten juist groter. Zie De sterkste bevindingen liggen achter DigiD en vitale publieke diensten.

Er zit ook een breder punt onder. Bij een commerciële site kun je nog zeggen dat de gebruiker wegloopt als het hem niet bevalt. Bij een overheidsdienst is weglopen geen optie. De aangifte moet gebeuren, de toeslag moet aangevraagd, de post in de berichtenbox moet gelezen. Dat gebrek aan een uitweg maakt de dienst tot een plek waar de burger zich moet blootgeven, of hij wil of niet. Op zo'n plek is stille tracking zonder vraag zwaarder te verdedigen dan waar dan ook. De afwezigheid van de vraag is er niet minder erg, ze is er erger.

Ik houd mijn conclusie hier bewust smal, want dat maakt haar sterk. Ik beweer niet dat de Belastingdienst je gedrag verkoopt of dat er een advertentieprofiel van je wordt gebouwd. Dat weet ik niet en dat meet deze waarneming niet. Ik beweer één ding: op de plek achter de login staat een tracking-mechanisme actief zonder dat er een toestemmingsvraag aan voorafging, terwijl de wet die vraag voor niet-functionele cookies eist. Dat is een concrete, controleerbare tekortkoming. Ze vraagt om een antwoord van de dienst, en om een keuze om de vraag alsnog te bouwen of de tracking te staken. Beide zijn haalbaar, want beide zijn een kwestie van inrichting.

Zie ook Hoe gevoeliger de context, hoe langer de identifier meegaat, Meet zoals een bezoeker, niet zoals een scanner en De sterkste bevindingen liggen achter DigiD en vitale publieke diensten.