een weigerknop is geen keuze
Toont de eerste laag van een toestemmingsvenster geen weigerknop naast de accepteerknop, dan is er geen vrije keuze. Wat ik dan als weigering meet, is feitelijk alleen het uitblijven van een klik. Dat ontbreken is zelf een bevinding, geen leemte in de meting.
Geen knop om te weigeren¶
"Alle vier geteste sites missen een directe weigerknop op de eerste laag. Gezamenlijk bereik: 2,6 miljard bezoeken per jaar." Als accepteren een klik is en weigeren verstopt zit achter lagen, dan is er geen echte keuze. Dan is toestemming een vormpje.
Weigeren dat niet weigert¶
Ik testte Volkskrant (DPG) en Telegraaf (Mediahuis) en klikte overal "alles weigeren". Bij Volkskrant bleven daarna 16 cookies staan, waaronder TID_ID en _vwo_uuid_v2 (Wingify), plus 40 verzoeken naar adnxs-simple.com (AppNexus). Bij Telegraaf bleef cs_fpid staan (ContentSquare, een looptijd van 34 jaar) en _mhtc_cId. De gewone Google Analytics-cookies werden daar wel netjes verwijderd, wat aantoont dat het kan en dus een keuze is wat blijft staan.
Een gedeeld patroon¶
"Dezelfde -3 partner-discrepantie verscheen bij alle drie commerciele sites (NU.nl: 104->101, Volkskrant: 106->103, Telegraaf: 130->127). Dit patroon suggereert een gedeelde praktijk in de industrie." Het is dus geen incident per site, maar een recept.
Gemeld¶
Ik meldde de bevindingen bij de AP op 25 maart, referentie 7cb0-9871. De boete-ranges liggen niet laag: Volkskrant EUR 400k-1M, Telegraaf EUR 600k-1.5M.
Zie ook De Nederlandse nieuwssites draaien bijna overal hetzelfde recept en Toestemming opent een wereldwijde advertentiemarkt.
et volledige artikel “Alles weigeren” werkt niet: deel 2, Volkskrant en Telegraaf
Onderzoek naar AVG-compliance bij Nederlandse nieuwssites
Dit artikel documenteert technische tests van twee Nederlandse nieuwssites op naleving van privacyregels rond cookie-toestemming. De auteur onderzocht De Volkskrant (DPG Media) en De Telegraaf (Mediahuis) met dezelfde methodologie als eerder onderzoek naar NOS.nl en NU.nl.
Testmethodologie
Voor beide sites voerde de auteur uit:
- Wissen van alle cookies via Firefox
- Laden in schoon browserprofiel
- Opnemen van HAR-bestanden (volledig netwerkverkeer)
- Exporteren van cookiestore na “Alles weigeren”
- Inspectie van opslag via DevTools
De Volkskrant: bevindingen
De Volkskrant gebruikt hetzelfde consent-platform als NU.nl: myprivacy.dpgmedia.nl. Het consent-scherm vertoont:
- Primaire “Akkoord”-knop (geel, groot)
- “Instellen”-knop (grijs, vergt extra klik voor weigeropties)
- Aankondiging van 106 partners, maar slechts 103 daadwerkelijk in de lijst (−3 verschil)
Na “Alles weigeren” bleven 16 cookies aanwezig, waaronder:
TID_ID: Tracking identifier zonder gedocumenteerd doel, aanwezig ondanks weigering_ain_uid: Advertising Intelligence user ID, aanwezig ondanks weigering_vwo_uuid_v2: A/B-test cookie van Wingify, aanwezig uitsluitend in weiger-dump (suggereert pre-consent plaatsing)
HAR-analyse toonde 40 verzoeken naar AppNexus’ non-personalized variant (adnxs-simple.com) na weigering, zonder transparantie hierover in het consent-scherm.
De Telegraaf: bevindingen
De Telegraaf (Mediahuis) gebruikt Didomi-platform en vertoont gelijkaardige problemen:
- 130 partners aangekondigd, maar slechts 127 unieke entries (duplicaten: GumGum, Instagram, Youtube)
- Ook hier −3 discrepantie
- Geen directe weigerknop op eerste laag
Cookies aanwezig na weigering:
_mhtc_cId: Mediahuis tracking IDcs_fpid: ContentSquare fingerprint ID met 34-jaar looptijdab-test-bc-357-variant: A/B-test cookie uitsluitend in weiger-dump
Google Analytics cookies werden correct verwijderd na weigering, wat aantoont dat het systeem selectief cookies kan blokkeren.
Breder patroon
Dezelfde −3 partner-discrepantie verscheen bij alle drie commerciële sites (NU.nl: 104→101, Volkskrant: 106→103, Telegraaf: 130→127). Dit patroon over meerdere eigenaren en platforms suggereert een gedeelde praktijk in de industrie.
Alle vier geteste sites (NOS.nl, NU.nl, Volkskrant, Telegraaf) missen directe weigerknop op eerste laag. Gezamenlijk bereik: 2,6 miljard bezoeken per jaar.
Juridische schendingen
Geïdentificeerde overtredingen:
- AVG artikel 4 lid 11 (toestemming): Drie-klik UX voor weigeren ondermijnt vrijwilligheid
- AVG artikel 5 lid 1 sub a (transparantie): Partner-discrepanties en niet-opengevallen overschakeling naar contextual advertising
- AVG artikel 25 lid 2 (privacy by default): Cookies geplaatst vóór consent-keuze
- Richtlijn 2002/58/EG artikel 5 lid 3: Vereist ondubbelzinnige toestemming voordat cookies worden geplaatst
Boete-risico’s
Op basis van traffic volume en ernst van schendingen werden geschatte boete-ranges gegeven:
- NOS.nl: €800k–€2M
- NU.nl: €800k–€2M
- Volkskrant: €400k–€1M
- Telegraaf: €600k–€1.5M
DPG Media ontving eerder een boete van €525k (later €300k in hoger beroep) voor gelijkaardige schendingen bij NU.nl, wat recidive-risico verhoogt.
Aanbevelingen aan Autoriteit Persoonsgegevens
De auteur adviseert:
- Verplichten van gelijkwaardige UX (één klik accepteren = één klik weigeren)
- Verplichte transparantie over advertentieverzoeken na weigering
- Onderzoek naar partner-lijsten en pre-consent plaatsing
- Sector-breed audit van Nederlandse nieuwssites
- Noodprocedure voor systematische DPG-schendingen gegeven recidive
Reproduceerbaarheid
Alle bevindingen zijn reproduceerbaar met Firefox, DevTools, Cookie Editor-extensie en HAR-export. Testbestanden beschikbaar op aanvraag voor peer review.
De auteur kondigde aan verdere tests uit te voeren op AD.nl en andere sites, en meldde bevindingen op 25 maart aan de AP met referentie 7cb0–9871.
→terug te vinden in Alles weigeren werkt niet, deel 2
- Mijn artikel: Alles weigeren werkt niet, deel 2de gepubliceerde zaak waar deze notitie uit volgt