De woorden waarmee tracking zich vermomt

Taal die een verplichting verplaatst¶

Er is een categorie vaktermen die niet bestaat om iets nauwkeurig te beschrijven, maar om iets ergens anders te laten landen. Ze zijn zelden een leugen. Ze zijn technisch waar en in hun gevolgen misleidend, en dat is een eigen categorie. Zie Technisch juiste uitspraken kunnen een verkeerde indruk wekken.

Hieronder de lijst, met per woord wat het echt betekent en waaraan je ziet dat het verkeerd wordt ingezet.

"Geanonimiseerd." Betekent onder de AVG: onomkeerbaar niet meer tot een persoon herleidbaar, ook niet met extra informatie, ook niet door iemand anders. Als dat waar is, valt de data buiten de AVG. Dat is een hoge lat, en hij wordt zelden gehaald.

Waaraan je ziet dat het niet klopt: er zit nog een identifier in. Elk nummer waarmee je dezelfde bezoeker morgen terugvindt, maakt de data pseudoniem, niet anoniem. Een dataset waarin per rij een advertentie-id staat, is niet geanonimiseerd, hoe vaak het er ook boven staat.

"Gepseudonimiseerd." Dit is wel eerlijk gebruikt in de meeste gevallen, maar mensen horen anoniem. Pseudonimisering is een beveiligingsmaatregel, geen ontsnapping. De AVG blijft volledig gelden.

"Niet-persoonsgebonden" of "wij verzamelen geen persoonlijke gegevens." Meestal bedoeld als: geen naam, geen adres, geen e-mail. Maar een identifier waarmee jij van een ander te onderscheiden bent, is een persoonsgegeven, en dat is vaste rechtspraak. Het reclamenummer van je telefoon is daar het schoolvoorbeeld van. Zie Het reclamenummer is de sleutel die anoniem persoonlijk maakt.

"First-party." Betekent officieel: van het domein dat je bezoekt. Wordt gebruikt om te suggereren dat er geen derde bij betrokken is. Maar een cookie kan first-party zijn en toch door een derde partij worden gezet en uitgelezen, namelijk als die derde onder een subdomein van de site draait. Dat is CNAME-cloaking, en het staat op 41,3 procent van de 1.718 gemeten Nederlandse overheidssites (scan van 14 juli 2026). Zie CNAME-cloaking vermomt een derde partij als eigen subdomein en CNAME-cloaking zit op vier op de tien overheidssites.

"Eigen infrastructuur", "onze eigen server", "in eigen beheer." Vaak waar op het niveau van het eerste adres, en niets zeggend over waar het daarna heen gaat. Zie Server-side tagging verplaatst de tracking uit het zicht en Een browsermeting ziet alleen de eerste server.

"Gehost in Europa." Zegt iets over de plaats van de server en niets over wie erbij kan. Een Amerikaans moederbedrijf blijft onderworpen aan Amerikaanse bevoegdheden, ook voor data op een Europese server. Zie Data in Nederland kan toch onder Amerikaans recht vallen en In Europa gehost is geen vrijwaring.

"Essentieel" of "strikt noodzakelijk." De uitzonderingsgrond in de cookiebepaling, en de meest opgerekte term in het veld. Strikt noodzakelijk betekent: zonder deze cookie werkt de dienst die de gebruiker zelf vroeg niet. Een winkelwagen, een inlogsessie, een taalkeuze, een load balancer. Statistiek is dat niet, hoe nuttig ook. Zie Cookies: functioneel versus niet-functioneel, met voorbeelden.

"Gerechtvaardigd belang." Een geldige AVG-grondslag, maar niet voor het plaatsen en uitlezen van cookies: daarvoor eist de cookiebepaling toestemming, punt. In de toestemmingsvensters die de industriestandaard TCF gebruikt, staan doelen die op gerechtvaardigd belang zijn gezet en waar je apart tegen moet bezwaar maken, achter een tweede tabblad. Dat is de reden dat weigeren zo vaak niets doet: je hebt de helft van de doelen niet geweigerd, want die stonden op een ander tabblad. Zie Weigeren doet op vier van de vijf sites niets en Geen weigerknop is geen keuze.

"De toestemmingsvlag staat goed." Het nieuwste en het geniepigste, want het is controleerbaar waar. In de moderne meetprotocollen reist er een signaal mee dat zegt of er toestemming is. Bij Google heet dat gcs en npa. Op Pornhub stond dat signaal op 18 juli 2026 keurig op geen toestemming en geen gepersonaliseerde advertenties, precies zoals het hoort.

En in datzelfde pakketje ging de oriëntatie-instelling van de sessie mee naar Google Analytics, als vast kenmerk van het gebruikersprofiel, plus een client-ID die tussen bezoeken blijft staan, plus de provider en de volledige paginatitel. In alle drie de toestemmingsstanden, ook na expliciet weigeren.

De vlag zegt aan de ontvanger wat hij niet mag doen. De vlag houdt het verzenden niet tegen. Dat is het verschil tussen weigeren en niet-verzonden-worden, en het is de reden dat een keurig ingerichte toestemmingsketen op papier klopt terwijl de data gewoon vertrekt. Zie Cookies weigeren scheelt echt, maar reken er niet blind op.

"Partners." Het meest onschuldige woord met de grootste lading. Achter "onze partners" zitten in een gemiddeld toestemmingsvenster honderden bedrijven, en de banner noemt dat aantal zelden op het eerste scherm. Zie De cookiemuur toont minder partners dan de code telt.

"Wij verkopen uw gegevens niet." Waar, en irrelevant. In het advertentiemodel wordt niet verkocht, want er wordt toegang gegeven. Zie Verstrekken, delen en verkopen zijn juridisch drie dingen.

"Privacy enhancing." Gebruikt voor clean rooms, universele id's en voor de opvolgers van de derde-partij-cookie. De toets is simpel: wordt er na afloop minder over de individuele gebruiker geweten dan ervoor. Bij de meeste van deze technieken is het antwoord nee, want ze komen erbij in plaats van ervoor in de plaats. Zie De privacyvriendelijke opvolger komt naast het oude tracken en DMP, CDP, databroker en clean room: waar het profiel woont.

De toets die op alle elf werkt¶

Bij elk van deze woorden stel ik dezelfde vraag: welke verplichting zou er gelden als dit woord er niet stond, en is die verplichting nu echt weg of alleen uit beeld.

Bij geanonimiseerd zou de hele AVG gelden. Bij first-party zou het een derde-partij-cookie zijn. Bij essentieel zou er toestemming moeten worden gevraagd. Bij gerechtvaardigd belang zou er een weigerknop moeten zijn die werkt.

In alle vier de gevallen is de techniek onveranderd en de verplichting verplaatst. Dat is wat deze woorden doen, en dat is waarom ze in dit lexicon een eigen notitie hebben in plaats van een voetnoot. Zie Papier versus code: de verklaring en de uitvoering.