De bouwer wilde een mooi lettertype¶

De grootste bron van verkeer vóór de toestemmingsvraag op Nederlandse overheidssites is een lettertype, een kaartje of een icoonpakket van een extern adres. Google Fonts, Google Maps, Adobe Typekit, jsDelivr en Cloudflare laadden in 97 tot 100 procent van de gevallen al voordat de bezoeker iets had geklikt. Dat staat in mijn scan van 14 juli 2026 over 1.718 overheidssites, drie consent-modi per site. Zie Wat je van een CDN haalt, laadt voor je banner.

Vraag de bouwer waarom dat adres erin staat en je krijgt zelden een verhaal over data. Je krijgt een verhaal over typografie. Het lettertype moest op elk apparaat hetzelfde ogen, het CDN was sneller dan de eigen server, en de documentatie zei niets verontrustends. Er is geen moment geweest waarop iemand besloot: laat de browser van de bezoeker eerst een Amerikaans adres aanroepen.

Hetzelfde geldt voor de hulpmiddelen. Voorleessoftware, feedbackknoppen en webarchivering worden ingekocht om de site beter te maken. ReadSpeaker laadde vóór de toestemmingsvraag op 41 van 41 sites, Mopinion op 25 van 26, en de webarchiefdienst sitearchief.nl draagt zelf Google Analytics mee op 33 sites. Zie De toegankelijkheidstool en de feedbackwidget lekken ook. De inkoopreden was toegankelijkheid. Het effect is een doorgifte die de bezoeker niet zag aankomen.

Wat de burger overkomt, staat los van wat iemand bedoelde¶

Voor de bezoeker maakt de bedoeling geen verschil. Zijn IP-adres, zijn browserversie en de pagina die hij opende vertrekken op hetzelfde moment, met dezelfde bestemming, of de bouwer nu aan typografie dacht of aan een advertentiemarkt. Het effect is de enige laag die de burger raakt. Alles daarboven speelt zich af in een gebouw waar hij nooit komt.

De wet volgt die logica. Artikel 11.7a van de Telecommunicatiewet vraagt toestemming voor het lezen en schrijven van gegevens op een apparaat, en die vraag kent geen uitzondering voor goede bedoelingen. De AVG legt de verantwoordelijkheid bij de partij die doel en middelen bepaalt. Of de twee helften van die organisatie ooit met elkaar spraken, is een intern probleem dat de aansprakelijkheid niet verplaatst. Zie De bouwers en de beslissers weten vaak niet van elkaar.

Daarom meet ik gedrag en laat ik motieven buiten de meting. Ik leg vast welke host werd aangeroepen, op welk moment, in welke consent-modus, en met welke lading. Dat is toetsbaar en na te rekenen. Wat iemand wilde, kan ik niet meten, en een oordeel dat op een onmeetbare aanname rust, is geen bevinding. Zie Label elke bevinding op bewijsniveau en Gemeten is niet bewezen.

Waarom intentie wél meetelt bij de persoon¶

En toch weiger ik te zeggen dat de bedoeling niets uitmaakt. Ze maakt niets uit voor de vraag of er een schending is. Ze maakt alles uit voor de vraag wie ik voor me heb.

Twee organisaties kunnen precies dezelfde meting opleveren. De ene liet een SDK staan die er per ongeluk in kwam en die niemand ooit heeft opgemerkt. De andere heeft de tracking bewust verplaatst zodat hij minder opvalt, bijvoorbeeld via een subdomein van de site zelf dat in werkelijkheid naar een derde wijst. Op 710 van 1.718 gemeten overheidssites loopt zulk verkeer. Zie CNAME-cloaking zit op vier op de tien overheidssites. Het effect voor de bezoeker is in beide gevallen hetzelfde. Wat de organisatie is, verschilt.

Dat verschil heeft praktische gevolgen. Bij de eerste organisatie is één mail vaak genoeg. Bij de tweede heeft een mail weinig zin en hoort de bevinding openbaar, zodat er een prikkel ontstaat die van buiten komt. Dezelfde meting, twee routes. De meting bepaalt dat er iets fout is. De intentie bepaalt wat er nodig is om het opgelost te krijgen.

Wat er misgaat als je de goedwillende als dader behandelt¶

Verwar je effect met intentie ten nadele van de gemeten partij, dan behandel je een bouwer die een lettertype ophaalde als iemand die de burger wilde verhandelen. Dat is feitelijk onjuist en het is tactisch dom.

Het is tactisch dom omdat je de enige partij afstoot die het kan repareren. Een CDN-verwijzing is de goedkoopste te repareren overtreding die er bestaat. Je haalt het bestand binnen, je zet het op je eigen server, klaar. Wie die reparatie wil, heeft een bouwer nodig die meeleest. Een bouwer die zich beschuldigd voelt, leest niet mee. Hij haalt er een jurist bij, en dan verdwijnt de reparatie achter een correspondentie die maanden duurt.

Het is ook oneerlijk tegenover het patroon zelf. Als ik elk gemeten adres presenteer als opzet, dan verdwijnt precies het inzicht dat mijn werk oplevert: dat de meeste schade ontstaat door een optelsom van kleine, op zichzelf redelijke beslissingen. Niemand koos het eindresultaat. Iedereen koos een stap. Dat is een ander probleem dan kwade opzet, en het vraagt een andere oplossing.

En het beschadigt mijn eigen positie. Wie te hard aanpakt, krijgt op enig moment ongelijk, en dan telt de hele reeks metingen niet meer mee. Ik meet organisaties omdat ik wil weten wat het systeem de burger kost. De site die ik open is daarin een meetpunt. Zie Mijn onderzoek gaat niet over jouw bedrijf.

Wat er misgaat als de goede bedoeling het effect wegpoetst¶

De andere fout is groter en komt vaker voor. Een organisatie legt uit wat ze bedoelde, en het gesprek over wat er gebeurde stopt. Wij zijn een publieke dienst. Wij verkopen niets. Wij hebben een verwerkersovereenkomst. Allemaal waar, en geen van drieën verandert het aan de bytes die vertrokken.

De meest hardnekkige versie is die van de partij die privacy verkoopt. Ik legde in de Nationale Privacy Index negen keurmerk-, certificerings- en adviespartijen langs dezelfde meetlat, gemeten op 1 juni 2026. Kiwa plaatste 4 trackingcookies vóór de banner en hield na weigeren 13 trackers over, in totaal 42 tracker-ID's. DNV plaatste een nieuwe cookie na weigeren, grondslagloos, via CNAME-cloaking op sgtm.dnv.com, met 31 tracker-ID's. Zie De partijen die privacy keuren, zakken zelf voor de toets. Deze partijen bedoelen het aantoonbaar goed, want ze hebben er hun bedrijfsmodel van gemaakt. De meting staat er los van.

Er is een tweede versie, en die is subtieler. Een organisatie doet ergens iets oprecht goeds, en dat goede wordt vervolgens ingezet om de rest af te dekken. Een app kan een echte beschermlaag inbouwen en tegelijk de code van grote techbedrijven aan boord hebben. Het een heft het ander niet op. Zie Een echte beschermlaag en een lek zitten in dezelfde app.

De derde versie is de gevaarlijkste, want ze klopt technisch. Iemand zegt iets dat waar is en wekt daarmee een indruk die onjuist is. Die categorie hoort apart benoemd te worden, los van liegen en verzwijgen. Zie Technisch juiste uitspraken kunnen een verkeerde indruk wekken. Een goede bedoeling is uitstekend materiaal voor die derde categorie, omdat ze oprecht is en tegelijk niets bewijst over de uitvoering.

Hoe ik iemand hierop aanspreek¶

Praktisch betekent de scheiding drie dingen in de manier waarop ik een bevinding breng.

Ik schrijf over het gedrag van het systeem en ik laat de persoon erbuiten. "Deze host laadde in de modus waarin de bezoeker niets deed" is toetsbaar. "Jullie geven niet om privacy" is een oordeel over mensen dat ik niet kan meten en dat het gesprek onmiddellijk sluit.

Ik geef de goede bedoeling hardop terug, en ik zet er het effect naast. Dat is geen beleefdheidsfiguur. Het is de eerlijkste beschrijving die ik heb: het lettertype was een bouwkeuze, de voorleessoftware was een toegankelijkheidskeuze, en beide leverden een doorgifte op vóór het keuzemoment. Wie zijn eigen motief herkent in mijn tekst, leest verder. Wie er een aanklacht in leest, stopt bij de eerste alinea.

Ik lever het bewijs erbij, altijd, met het bewijsniveau erop, zodat het oordeel bij de data ligt. En ik pas dezelfde meetlat toe op de overheid en op een app, zodat de scheiding tussen effect en intentie niet stiekem een scheiding tussen sympathieke en onsympathieke partijen wordt. Zie Dezelfde meetlat voor de overheid en de app in je broekzak.

Waar de scheiding overgaat in iets anders¶

De scheiding houdt op zodra de bevinding op tafel ligt. Vanaf dat moment is onwetendheid geen verklaring meer, want de organisatie weet het nu. Wat er dan gebeurt, is wél een uitspraak over de organisatie zelf, en die uitspraak mag ik doen.

Het kan goed gaan. De Belastingdienst zette de tracking op 6 juni uit, geverifieerd, deed op 12 juni uit eigen beweging een melding bij de Autoriteit Persoonsgegevens, en de staatssecretaris erkende dat het gebruik van Adobe Analytics niet in lijn was met de ePrivacy-regels en de AVG. Zie Een grote organisatie kan een fout erkennen en zichzelf melden. Precies hetzelfde werk krijgt bij een andere organisatie tegengas en juridische druk. Zie Dezelfde melding krijgt tegenovergestelde reacties. Het verschil zit in hoe een organisatie naar kritiek kijkt, en dat is haar eigen keuze.

Er is ook een tegenwerping die ik serieus neem. Als je effect en intentie streng scheidt, waarom zou een organisatie dan nog haar best doen? Het antwoord is dat de goede bedoeling niet verdwijnt uit mijn oordeel. Ze verhuist naar de plek waar ze thuishoort: naar hoe ik de organisatie behandel, hoeveel tijd ik geef, en of ik eerst mail of meteen publiceer. Die drie dingen zijn voor een organisatie het verschil tussen een rustige middag en een nieuwsbericht.

Dit is een gedachte en geen bevinding. Ik kan meten wat een site doet. Ik kan niet meten wat iemand wilde, en mijn inschatting van iemands intentie berust op gesprekken, op reactiepatronen en op hoe een keten technisch in elkaar zit. Dat is zwakker bewijs dan een HAR-bestand, en ik behandel het ook zo. De meting draagt het oordeel over het gedrag. De rest is mijn lezing van de mensen erachter, en die zet ik er als lezing bij.

Zie ook De maker en de aandeelhouder willen niet hetzelfde, Mensen nemen hun data heel persoonlijk en corrigeer nooit stil.