Hoe ik dit meet¶

Elke site in mijn scans wordt drie keer bezocht, in drie los van elkaar staande browsersessies met een schoon profiel:

noop      de pagina openen en verder niets doen
refuse    de weigerknop zoeken, klikken, dan meten
accept    de accepteerknop klikken, dan meten

Het verschil tussen die drie is het bewijs. De absolute aantallen zeggen weinig, want een site met veel afbeeldingen heeft nu eenmaal veel verzoeken. Het verschil zegt alles, want dat is precies wat jouw keuze uitmaakte.

Wat eruit komt¶

Op de 1.718 gemeten overheidssites veranderde er na een expliciete weigering bij de overgrote meerderheid niets. Uitgesplitst naar toestemmingsmodule:

module                          sites   pre-consent   weigeren zinloos
geen module herkend             1011       79,5%          77,8%
TrustArc (legacy)                562       20,8%          19,6%
Cookieconsent (Osano)             53       88,7%          83,0%
CookiePro (OneTrust)              42       88,1%          88,1%
Complianz                         13       76,9%          69,2%
Ketch                             10       80,0%          80,0%
Cookiebot (Cybot)                  6      100,0%         100,0%
Moove GDPR (WordPress)             3      100,0%         100,0%
Civic Cookie Control               3      100,0%         100,0%

"Weigeren zinloos" betekent hier: na de weigering laadde de site evenveel of meer externe partijen dan toen de bezoeker niets deed, terwijl er wel iets te weigeren viel.

Twee dingen vallen op. De ene is dat de spreiding tussen leveranciers enorm is: van 19,6 procent tot 100 procent. De andere is dat de grootste groep, ruim duizend sites, helemaal geen herkende module heeft en daar toch in 79,5 procent van de gevallen al trackt.

De kanttekening die erbij hoort¶

Ik moet hier eerlijk zijn over drie meetbeperkingen, want zonder die kanttekeningen is dit cijfer minder waard dan het lijkt.

Ten eerste: de scanner moet de weigerknop kunnen vinden. Vindt hij hem niet, dan is de refuse-meting gelijk aan de noop-meting, en dat telt in deze cijfers als "zinloos". Dat is verdedigbaar, want een weigerknop die een geautomatiseerde bezoeker niet vindt is voor een mens ook lastig, maar het is geen zuivere maat.

Ten tweede: de groepen zijn zeer ongelijk van omvang. Cookiebot heeft hier zes sites. Daar mag je geen leverancierskwaliteit uit afleiden, alleen een signaal dat je zelf moet natrekken.

Ten derde: sommige sites laden na een weigering meer omdat de banner verdwijnt en de onderliggende pagina alsnog zijn afbeeldingen ophaalt. Ik tel externe partijen, niet verzoeken, om dat effect te dempen, maar het is niet volledig weg te nemen.

Wat er na die kanttekeningen overblijft is nog steeds hard: bij de overgrote meerderheid van de gemeten sites verandert een expliciete weigering het gedrag niet meetbaar.

Wat je ermee doet¶

Voor een bouwer: dit is je regressietest. Weiger, herlaad, tel. Zet die test in je pijplijn, want dit soort dingen sluipt terug bij elke nieuwe integratie.

Voor een functionaris gegevensbescherming: dit is de vraag die je aan je leverancier stelt, met bewijs erbij. Niet "voldoen wij", maar "hier is de meting van onze eigen site, verklaar dit verschil".

Voor een toezichthouder: dit is de goedkoopste handhavingsroute die er is. Er is geen dossieronderzoek nodig, geen verklaring op te vragen. Drie bezoeken, een verschil, een overtreding.