Eerst de te onderzoeken routes vastleggen
Een scan van alleen de homepage mist vaak het belangrijkste verkeer. We selecteren representatieve routes: productpagina, formulier, winkelmand, afspraakmodule en ingesloten media, voor zover aanwezig. Ook subdomeinen en taalvarianten kunnen andere scripts gebruiken. Het rapport vermeldt welke onderdelen zijn onderzocht en welke toegang of toestemming voor tests ontbrak.
Voor iedere route wordt de beginsituatie vastgelegd. Een browser met eerdere toestemming kan een onjuist beeld geven. Tests starten daarom met gecontroleerde opslag en een gedocumenteerd browserprofiel. Als ingelogde omgevingen worden onderzocht, gebruiken we geschikte testaccounts en vermijden we onnodige inzage in echte klantgegevens.
Meten voordat de bezoeker een keuze maakt
De eerste meting vindt plaats zonder interactie met de banner. We registreren relevante cookies, lokale opslag, verzoeken aan externe domeinen en het moment waarop die verzoeken ontstaan. Een verzoek kan persoonsgegevens bevatten zonder dat een blijvende cookie wordt geplaatst. Andersom is niet iedere technisch noodzakelijke cookie toestemmingsplichtig.
Artikel 11.7a Telecommunicatiewet kent onder meer uitzonderingen voor strikt noodzakelijke handelingen voor een uitdrukkelijk gevraagde dienst en bepaalde privacyarme analytische toepassingen. Het etiket analytics is op zichzelf geen uitzondering. Doel, technische werking en privacygevolgen bepalen de beoordeling; aanvullende AVG-verplichtingen kunnen daarnaast gelden.
Weigering, selectie en intrekking vergelijken
Weigering moet worden getest als echte gebruikershandeling. Blijven advertentieverzoeken daarna actief, dan wordt onderzocht of de weigering een script niet bereikt of alleen een toekomstige cookie verandert. Een afzonderlijke test met toestemming voor statistiek laat zien of marketing onbedoeld meeschakelt.
Na volledige toestemming volgt intrekking. Daarbij controleren we welke nieuwe verwerking stopt en hoe bestaande opslag wordt behandeld. Intrekking wist niet vanzelf alle gegevens die een externe partij eerder heeft ontvangen. Het rapport onderscheidt daarom de technische toestand van de browser en eventuele vervolgvragen over gegevens bij ontvangers. Deze vergelijking maakt een fout reproduceerbaar in plaats van alleen vermoedelijk.
Een videospeler die buiten de banner valt
Een praktijkscenario is een dienstenpagina met een externe videospeler. De homepage lijkt correct geblokkeerd, maar het openen van de dienstenpagina maakt al verbinding met het videoplatform. Het team heeft alleen de zichtbare afspeelknop aan de toestemmingscategorie gekoppeld; de voorbereidende verbinding staat elders in de code.
De bevinding benoemt de route, het tijdstip en de veroorzakende component. Een mogelijke oplossing is pas na de passende keuze de externe inhoud laden. Vervolgens wordt opnieuw gemeten. Alleen een aangepaste bannertekst bewijst niet dat de eerdere gegevensstroom daadwerkelijk is gestopt.
De lijst classificeren met technische uitleg
Automatische scanners herkennen bekende leveranciers, maar hun classificatie is geen sluitend juridisch oordeel. Een onbekende cookie vraagt onderzoek naar de functie, herkomst, looptijd en gegevensinhoud. Dezelfde leverancier kan voor verschillende doelen worden ingezet. We vergelijken daarom de aangetroffen instellingen met wat de sitebeheerder werkelijk heeft geconfigureerd.
Waar documentatie ontbreekt, krijgt de bevinding een expliciete open vraag. We verzinnen geen bewaartermijn op basis van een productnaam. Als een tag gegevens doorstuurt naar een tweede platform, wordt die keten meegenomen voor zover zichtbaar en relevant. Servergestuurde tracking vraagt aanvullende informatie over de inrichting achter de browser.
Herstelpunten die een ontwikkelaar kan uitvoeren
Het opleverrapport bevat per probleem de betrokken URL, reproductiestappen, waargenomen gegevensstroom, beoordeling en een voorstel voor herstel. Prioriteit volgt uit het concrete effect, bijvoorbeeld tracking vóór een keuze of een weigering die niet wordt toegepast. Visuele voorkeuren krijgen niet dezelfde zwaarte als ongewenste doorgifte.
We onderscheiden codeaanpassingen, configuratiewijzigingen en ontbrekende informatie. Voor teksten kan een aanpassing van het cookiebeleid nodig zijn; voor de keuze-interface kan het onderwerp cookiebanner instellen aansluiten. De scan zelf blijft gericht op de meetbare werking, zodat deze opdrachten elkaar niet inhoudelijk vervangen.
Hertoetsing na wijzigingen in de website
Een herstelronde eindigt met een gerichte nieuwe meting van de getroffen routes. Daarbij worden ook weigering en intrekking opnieuw uitgevoerd, omdat een oplossing voor de beginsituatie niet noodzakelijk iedere vervolgstap herstelt. Het rapport vermeldt welke bevindingen zijn opgelost en welke nog openstaan.
Nieuwe advertentietools, externe formulieren en releases kunnen het resultaat veranderen. We adviseren daarom een passende controle bij zulke wijzigingen en afspraken over wie nieuwe scripts mag toevoegen. Een scan is bewijs van een onderzochte situatie, geen blijvende garantie voor alle toekomstige versies van de website.
Bronnen bij dit onderwerp
- Telecommunicatiewet — informatieopslag en toegang tot randapparatuurGeraadpleegd op 2026-09-13
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13