Vierendertig meelezers op één perspagina¶

Ik begon dit met een simpele vraag. Als ik een overheidspagina open, precies zoals een burger dat doet, wie leest er dan mee? Ik koos een concreet voorbeeld. Een perspagina op minvws.pr.co, een domein van het ministerie van Volksgezondheid, Welzijn en Sport. Een gevoelig gemarkeerd domein, want gezondheid is een bijzondere categorie onder de AVG.

De meting telde daar vierendertig unieke derde partijen die meelezen. Niet in theorie. Bij het openen van die ene pagina laadde de browser verkeer naar vierendertig bedrijven die niet het ministerie zijn. Twaalf van die vierendertig kregen hetzelfde herkenningsnummer aangereikt. Dat is het detail dat het bereik van zo'n bezoek laat zien. Een identifier die twaalf bedrijven delen, koppelt hun losse waarnemingen aan elkaar. Ze kunnen achteraf vaststellen dat het om dezelfde bezoeker ging. Dat mechanisme heet cookie-sync, en het is de reden dat het aantal partijen niet los te zien is van wat ze samen kunnen. Zie Cookie-sync laat losse partijen dezelfde persoon herkennen.

De burger ziet één overheidssite. Er kijken vierendertig bedrijven mee. Dat is het beginpunt van dit stuk, en de rest volgt eruit.

Overheidssites laden gewoon advertentietrackers¶

De eerste tegenwerping die ik bij mezelf had, was dat dit misschien een uitschieter is. Een perspagina op een subdomein van een externe leverancier, niet de kern van de overheid. Dus keek ik breder, over alle gemeten overheidsdomeinen heen.

Het beeld hield stand. DoubleClick, het advertentienetwerk van Google, staat op vierenvijftig gemeten overheidssites. Twee daarvan zijn als gevoelig gemarkeerd. Dit is geen analytics-dienst die je met wat goede wil nog als functioneel kunt verdedigen. DoubleClick bestaat om advertenties te veilen en te richten. De aanwezigheid ervan op een overheidsdomein betekent dat het bezoek aan die overheid in principe raakvlak heeft met de reclamemarkt.

Ik keek ook naar de bredere categorie. Van de negenentwintig bedrijven in de meting die ik als zuivere advertentiebedrijven classificeer, komt de helft op minstens één overheidssite voor. Zuiver wil zeggen dat hun functie op de pagina reclame is, en niets anders wat je nog nodig zou kunnen achten. De plek waar je je paspoort aanvraagt of je zorgtoeslag regelt, deelt je bezoek met partijen die van dat bezoek een advertentieprofiel maken. Dat is de tweede bevinding, en ze is harder dan de eerste, omdat ze niet op één pagina rust. Zie ook Advertentie-infrastructuur in een zorgjas is een bouwkeuze.

Overheid en commercie draaien dezelfde ruggengraat¶

Toen viel het derde stuk op zijn plek. Ik had eerder de commerciële nieuwssites gemeten, de grote ranglijst van uitgevers en hun advertentiepartners. Ik legde die twee metingen naast elkaar. De overlap was groot.

Meer dan honderd bedrijven komen zowel op de commerciële ranglijst voor als op de gemeten overheidssites. De koplopers zijn steeds dezelfde. De Google-infrastructuur, de tag-managers en de advertentienetwerken. Dat is geen toeval en het vraagt ook geen kwade opzet om te verklaren. De overheid koopt haar webbouw in bij dezelfde markt die de nieuwssites bedient. Een tag-manager die standaard bij een bureau in de gereedschapskist zit, komt zo op een gemeentesite terecht net zo makkelijk als op een krant.

Het praktische gevolg is dat de scheiding tussen publiek en commercieel op infrastructuurniveau grotendeels wegvalt. Wie de nieuwsstal meet, meet meteen de overheid. De ruggengraat is dezelfde. Dat is precies waarom ik overheid en commerciële apps langs één meetlat leg. De burger heeft bij de overheid geen alternatief, en dat maakt dezelfde tracker daar zwaarder wegen. Zie Dezelfde meetlat voor de overheid en de app in je broekzak en De sterkste bevindingen liggen achter DigiD en vitale publieke diensten.

De gegevens verlaten de EU als regel¶

De vierde vraag was waar al die partijen staan. Een tracker op een Nederlandse overheidssite is één ding. Een tracker die de data naar een server buiten de EU stuurt, is een tweede vraag met een eigen juridische lading.

De cijfers over de hele meting. Van de 685 bedrijven die op de gemeten sites meelezen, staan er 487 op servers in de Verenigde Staten. Dat is eenenzeventig procent, ongeveer zeven op de tien. Slechts honderdeenenzeventig zitten binnen de EU. De Verenigde Staten is een land zonder Europees adequaatheidsbesluit, wat betekent dat een doorgifte daarheen aparte waarborgen vereist onder de AVG. Het is niet verboden. Het is ook niet vanzelf in orde.

Het verlaten van de EU is bij deze meting de normale gang van zaken geworden. Voor zeven op de tien meelezers is de data-uitgang de standaardroute. Ik houd hierbij twee assen strikt los. De ene as is waar de partij juridisch thuishoort, de andere is waar de server fysiek staat. Een Amerikaans bedrijf dat in Frankfurt host is nog steeds een Amerikaans bedrijf, en een Europees bedrijf kan best in de VS draaien. Zie Waar het pakket landt en wie het kan vorderen zijn twee assen en In Europa gehost is geen vrijwaring.

Hoe ik dit meet, en op welk bewijsniveau¶

Ik hecht eraan dat je kunt zien hoe deze getallen tot stand komen, want anders is het een bewering en geen bevinding. De meting leest het echte netwerkverkeer van de browser mee, opgeslagen als HAR-bestand. Dat is de lijst van elk verzoek dat de pagina doet, met bestemming en inhoud. Ik meet zoals een bezoeker de site ervaart, met een echte browser die de pagina volledig laadt, niet met een kale scanner die de helft van het verkeer mist. Zie Netwerkverkeer lezen via HAR-files en Meet zoals een bezoeker, niet zoals een scanner.

Ik ben streng op het onderscheid tussen wat gemeten is en wat afgeleid. Drie dingen zijn hard gemeten. Het aantal partijen, want elk verzoek staat in het HAR. De gedeelde identifier, want die waarde is letterlijk zichtbaar in de verzoeken. En de aanwezigheid van een bekende partij als DoubleClick, want het domein staat er.

Eén ding staat onder voorbehoud, en dat noem ik expliciet. De landtoewijzing leunt op een GeoIP-database, en die database veroudert. Een IP-adres kan van eigenaar of locatie wisselen zonder dat de database bijgewerkt is. De zevenentig-procent is dus mijn beste meting met die kanttekening, niet een absolute waarheid tot op het bedrijf nauwkeurig. De richting van het beeld verandert daar niet door, de exacte grens tussen 487 en een iets ander getal wel. Zo hoort een bevinding gelabeld te worden. Zie Label elke bevinding op bewijsniveau en Een naam in de code is nog geen tracker.

Wat dit voor mijn eigen werk betekent¶

Ik trek hier geen conclusie over intentie. Ik denk dat het merendeel van dit patroon voortkomt uit ingekochte gereedschapskisten en standaardinstellingen, uit bouwers en beslissers die vaak niet van elkaars keuzes weten. Dat maakt het niet minder relevant. Het maakt het juist structureel, want een structureel probleem los je niet op met één boze brief.

Voor mijn eigen werk betekent dit drie dingen. Het bevestigt dat overheid en commercie langs dezelfde meetlat horen, omdat ze op dezelfde infrastructuur draaien en de burger bij de overheid geen uitweg heeft. Het bevestigt dat de meting het zwaarste werk moet doen, want een bewering zonder HAR is niet te vertrouwen en een meting met een verlopen GeoIP-database moet je eerlijk labelen. En het laat zien waar de handhaving achterloopt op het geld, want de wet is duidelijk en het verkeer stroomt intussen gewoon door. Zie Wet en handhaving lopen achter op het geld.

De kern die overeind blijft, is nuchter en hard tegelijk. Je opent een overheidspagina, en er lezen vierendertig bedrijven mee. Voor zeven op de tien van hen verlaat je bezoek de EU. De partijen die dat doen, zijn dezelfde als op de commerciële sites. Dat is de meting, en dat is wat ze liet zien.

Zie ook Achter de overheidslogin is helemaal geen toestemmingsvraag, Achter je DigiD loopt de tracking gewoon door en Real-time bidding biedt jouw toestel in een veiling aan, in milliseconden.