Wat de meting laat zien¶

Op vrijwel alle gemeten sites vuurt de buitenlandse techniek pas na accepteren. Dat is een meting, geen vermoeden. In de HAR-files zie je het verschil: voor de klik op de banner is het verkeer richting de bekende trackerdomeinen stil, na de klik op "alles accepteren" komt het op gang.

Dat betekent iets concreets. Actief weigeren helpt echt. Klik je "alles weigeren", dan blijft het overgrote deel van de trackers stil. De weigerknop is geen schijnknop. De meting laat het verschil gewoon zien, per site, in het aantal requests dat na de keuze vertrekt.

Waarom weigeren technisch werkt¶

Er zit een mechaniek onder die dit verklaart. Veel trackers worden geladen achter een toestemmingsconditie. De site wacht op een signaal van het toestemmingsplatform voordat de scripts vuren. Binnen het IAB TCF-raamwerk is dat signaal een string die vastlegt welke doelen en welke partijen toestemming hebben. Staat er "geweigerd" in, dan zou de nette implementatie de tracker niet moeten laden.

Op de meeste gemeten sites gebeurt precies dat. De keuze wordt gerespecteerd omdat de techniek eromheen is gebouwd om op dat signaal te wachten. Dat is ook logisch vanuit de wet. De Telecommunicatiewet artikel 11.7a vraagt toestemming voor het plaatsen en uitlezen van niet-functionele cookies en trackers. Een site die na weigeren toch vuurt, staat juridisch zwak. De prikkel om de weigering te respecteren is dus reëel, en de meting bevestigt dat de meeste sites dat doen.

Het bewijsniveau: gemeten, per site¶

Ik hou het bewijsniveau streng. "Vrijwel alle gemeten sites" slaat op de sites die ik heb gemeten, met de HAR ernaast. Het is geen uitspraak over het hele web. Ik heb geteld wat ik zag, en wat ik zag was dat weigeren op de grote meerderheid het verkeer stillegt.

Wat ik niet kan zeggen, is dat weigeren overal werkt. Mijn steekproef is mijn steekproef. Een site die ik niet heb gemeten, kan zich anders gedragen. Daarom staat de claim precies zo geformuleerd: op de gemeten sites, aantoonbaar, met het verschil zichtbaar in het verkeer. Dat is wat de data draagt, en niet meer.

Waar de weigerknop het laat lopen¶

Toch is het geen garantie. Op een enkele gemeten site vuurt de tracker ook na een weigering. Soms gebeurt dat met een vlag die zegt dat er niet gepersonaliseerd mag worden. Soms vuurt het gewoon door alsof er niets gekozen is. De banner dekt dus niet alles af.

Die uitzonderingen zijn belangrijker dan hun aantal. Ze laten zien dat de knop een belofte doet die de site niet altijd nakomt. De vlag "geen personalisatie" is daarbij verraderlijk. Ze suggereert dat er iets is geregeld, terwijl het verzoek alsnog vertrekt, inclusief de identifiers die eraan hangen. Een resetbare identifier die meegestuurd wordt, blijft een sleutel, ook als er "niet personaliseren" bij staat. De data verlaat je toestel, en dat is het punt.

Leg een tweede slot naast de banner¶

Een tracker-blokker in de browser vangt wat een keuze in de banner laat lopen. De banner werkt op het niveau van toestemming, de blokker werkt op het niveau van verkeer. Waar de site de weigering negeert, ziet de blokker het verzoek alsnog en houdt het tegen. De twee lagen vangen verschillende gaten.

De redenering is simpel. De banner vertrouwt erop dat de site zijn eigen belofte nakomt. De blokker vertrouwt daar niet op en kijkt naar wat er echt vertrekt. Door beide te gebruiken, ben je gedekt in het normale geval en in het uitzonderingsgeval. Vertrouw op de weigerknop, en leg er een tweede slot naast.

Wat ik zelf doe¶

Praktisch: ik klik overal "alles weigeren", want op de meeste sites doet dat zijn werk en kost het niets. Daarnaast draait er een blokker in de browser voor de sites die de weigering negeren. En als ik meet, kijk ik altijd naar de HAR na weigeren, niet alleen naar wat de banner belooft. De belofte is toetsbaar, en ik toets haar.

Ik raad hetzelfde aan zonder te doen alsof het een garantie is. De weigerknop is een goede eerste laag, en op de meeste gemeten sites is hij voldoende. De blokker vangt de rest, tot op zekere hoogte, want ook een blokker kent zijn gaten. Volledige zekerheid dat er niets vertrekt, bestaat op het gewone web niet. Wat wel bestaat, is een stapel maatregelen die elk een deel van het lek dichten, zodat wat overblijft klein is en zichtbaar. Ik meet liever wat er nog doorheen komt dan dat ik aanneem dat de deur op slot is.

De bredere les gaat verder dan cookies. Een keuze die je op het scherm maakt, is zo veel waard als de mate waarin de techniek eronder die keuze respecteert. Bij de meeste sites is dat verband stevig, en dan doet de knop wat hij belooft. Bij een minderheid is het verband los, en dan is de knop een gebaar zonder gevolg. Het onderscheid tussen die twee is niet te zien aan de banner. Het is alleen te zien aan het verkeer. Daarom eindigt elk oordeel over een weigerknop voor mij bij de HAR, en niet bij de tekst op de knop.

Dat is de houding die ik aanraad. Neem de weigerknop serieus, want de meting laat zien dat hij werkt. Reken er niet blind op, want de meting laat ook zien waar hij faalt. Twee sloten op de deur die je niet kunt vermijden.

In de HAR: wat vuren en omzeilen betekenen¶

Het loont om te laten zien waar ik naar kijk. Een HAR-file is een lijst van alle netwerkverzoeken die de browser doet, met tijdstip, bestemming en inhoud. Ik open de site, ik doe niets, en ik lees de lijst. Dan klik ik in de banner, en ik lees de lijst opnieuw. Het verschil tussen die twee lijsten is de meting. Er komt geen interpretatie aan te pas, alleen een vergelijking van wat er wel en niet vertrok.

Voor het klikken staan er verzoeken naar de site zelf en naar de functionele onderdelen die nodig zijn om de pagina te tonen. De bekende trackerdomeinen ontbreken. Na "alles accepteren" verschijnen ze. Verzoeken naar advertentie-uitwisselingen, naar meetdiensten, naar partijen die ik nooit heb aangeklikt. Dat is wat ik bedoel met "vuurt pas na akkoord". Het is af te lezen uit de tijdstempels: de trackerverzoeken dragen een tijd die na de klik ligt. De volgorde in de tijd is het bewijs dat de klik de trigger was.

Bij de test met weigeren doe ik hetzelfde, alleen klik ik dan "alles weigeren". Op de meeste gemeten sites blijft de lijst daarna schoon: de trackerdomeinen komen niet opdagen. Dat is het bewijs dat de knop werkt. Ik lees het af uit welk verkeer het toestel verlaat, en niet uit wat de banner belooft te doen. Een belofte is een tekst op het scherm. Een verzoek in de HAR is een feit over wat er gebeurde.

De sites die ook na weigeren vuren, doen dat zelden per ongeluk. Er zijn technische manieren om een keuze te omzeilen die bewust gebouwd zijn. Server-side tagging verplaatst de tracker naar de server van de site zelf, waardoor het verzoek van een eigen domein lijkt te komen en minder opvalt. CNAME-cloaking laat een derde partij zich voordoen als een subdomein van de site, zodat het verkeer eruitziet als eigen huisverkeer. In beide gevallen vertrekt de data alsnog, en de banner-keuze raakt het niet.

Daarom is de tracker-blokker in de browser een echte tweede laag. Hij kijkt naar de bestemming van het verkeer, niet naar de belofte van de banner. Wat een keuze in de banner laat lopen, kan de blokker op verkeersniveau alsnog tegenhouden. De twee lagen dekken verschillende omzeilingen af. De banner werkt tegen de nette sites, de blokker werkt ook tegen de sites die de nette weg omzeilen.

Dit is deels gemeten en deels afgeleid. Dat een tracker na weigeren vuurt, is gemeten, want ik zie het verzoek in de HAR. Dat het via server-side tagging of cloaking gaat, is per geval te controleren aan het domeinpatroon, en waar ik dat niet heb nagelopen, noem ik het een vermoeden over de methode, geen vaststelling.

Zie ook De cookiemuur toont minder partners dan de code telt, Een resetbare identifier is alsnog een sleutel en Meet zoals een bezoeker, niet zoals een scanner.