Cookiebanner- en AVG-check

Hoe we meten

De check laadt je pagina koud — geen eerdere sessie, geen opgeslagen voorkeuren — en klikt niets aan. Vervolgens wordt vastgelegd welke verzoeken naar bekende trackingdomeinen zijn gegaan en welke cookies er zijn gezet, allemaal vóórdat er ook maar iets is geaccepteerd.

Dat is bewust de strengste en tegelijk de meest eerlijke meting, omdat het exact het scenario is waar artikel 11.7a van de Telecommunicatiewet en de ePrivacy-richtlijn over gaan. Een banner die pas na acceptatie netjes werkt, lost het probleem dat op dat moment al is ontstaan niet op.

Wat er gevonden wordt

De privacycategorie rapporteert vier dingen:

• Trackers die geladen zijn vóór toestemming, met het domein en het opgevangen verzoek erbij
• Niet-essentiële cookies die bij een eerste bezoek al gezet zijn
• Cookies met onveilige attributen — zonder Secure, zonder HttpOnly, of met een te ruime SameSite-instelling
• Een ontbrekend toestemmingsmechanisme terwijl er wel getrackt wordt, en een ontbrekende link naar je privacyverklaring

Functionele cookies mogen wel

Niet elke cookie vraagt om toestemming. Een sessiecookie die je winkelmandje onthoudt, een cookie die je taalkeuze bewaart, of een token dat je ingelogd houdt — die zijn strikt noodzakelijk voor een dienst die de bezoeker zelf heeft gevraagd, en die mogen zonder banner.

Het onderscheid zit hem in het doel, niet in de partij. Analytics is de bekende twijfelgeval: zuiver geanonimiseerde statistiek die je zelf host wordt in de praktijk soepeler beoordeeld dan een analytics-dienst die data doorstuurt naar een derde partij. De audit maakt dat onderscheid waar het kan en meldt het waar het aan jou is om te beoordelen.

Waarom dit meer is dan een boeterisico

De handhaving op cookiebanners is in Nederland zichtbaar aangetrokken, en toezichthouders elders in Europa hebben forse boetes opgelegd voor precies dit patroon. Maar het praktische argument komt eerder: als je trackers vóór toestemming afgaan, is je toestemmingsadministratie niets waard. Je kunt bij een klacht niet aantonen dat je hebt gedaan wat je zegt te doen.

En er is een technische keerzijde. Trackers die direct bij het laden afgaan, kosten je ook snelheid — ze concurreren met je eigen content om bandbreedte en om de hoofdthread. Het netjes uitstellen tot na toestemming is vaak meteen een meetbare verbetering van je Core Web Vitals.

Veelgestelde vragen

Is dit een juridisch advies?

Nee. De check meet feitelijk gedrag: welke verzoeken en cookies er zijn, en wanneer. Of dat in jouw specifieke situatie is toegestaan, is een vraag voor een privacyjurist.

Mijn cookiebanner is van een externe dienst. Kan er dan nog iets misgaan?

Zeker. Een consent management platform blokkeert alleen de scripts die er correct aan gekoppeld zijn. Een pixel die iemand later direct in de template heeft geplakt, gaat er gewoon omheen. Dat is precies wat deze meting zichtbaar maakt.

Wordt de banner zelf ook beoordeeld?

We stellen vast of er een toestemmingsmechanisme aanwezig is en of er vóór die toestemming al getrackt wordt. Of de knoppen gelijkwaardig zijn vormgegeven — weigeren net zo makkelijk als accepteren — is een beoordeling die een mens moet maken.