80% FMCG-websites sturen bezoekersdata vóór cookiebanner

Bij bijna alle grote levensmiddelen- en verzorgingsmerken in Europa lekken bezoekersdata voordat de bezoeker een keuze op de cookiewall heeft gemaakt. Dat zijn stuk voor stuk flagrante schendingen van het privacyrecht.

Dat blijkt uit de Privacy Index van bureau Nixon, een onderzoek naar de websites van tweehonderd FMCG-bedrijven dat het bedrijf vanochtend publiceert.

Op tachtig procent procent van de sites gaan al gegevens naar Google, Meta, LinkedIn of andere techbedrijven zodra de pagina laadt. Dat hoort niet, omdat elke bezoeker eerst moet kunnen vertellen of en wie zijn persoonlijke levens mag verwerken. Dat gebeurt via cookiewalls, die nu een waardeloos schimmenspel blijken.

Bij 68 procent gaat het volgens Nixon om minstens één duidelijke overtreding van de toestemmingsregels. Het bedrijf telt een bevinding pas als ‘high risk’ als de regels voor die dienst ondubbelzinnig toestemming vereisen. De overige bevindingen noemt Nixon Digital ‘potential risk’. Daar hangt het van de inrichting af, bijvoorbeeld of een analysedienst de gegevens ook echt niet voor eigen doeleinden bewaart. Die inrichting is van buitenaf niet te zien. Marketinglead Bryan Bakker zegt dat het onderzoek bewust streng is opgezet.

Het opvallendst is dat bijna alle onderzochte bedrijven wel een cookietool gebruiken. Van de 200 sites hebben er 184 zo’n tool, vooral OneTrust en Cookiebot, maar bij 126 daarvan gaat toch nog data de deur uit voordat de bezoeker de banner heeft beantwoord. Volgens het rapport werkt zo’n tool alleen als elke tag, pixel, embed en lettertype er daadwerkelijk aan gekoppeld is. In de praktijk voegen verschillende teams en bureaus in de loop der tijd tags toe, en wordt de koppeling na de livegang zelden nog getest. De banner staat er dan wel, maar de scripts laden eromheen.

In Europa is er nog sprake van geweest om de cookiewall onzichtbaar te maken. Websites zouden dan onder water via de browser moeten uitlezen wat iemand privacyvoorkeur is. Als dat profiel echter wordt herleid uit informatie van cookiewalls, is dat nutteloos. Cookiewalls doen immers niet wat een sitebezoeker ervan verwacht.

Google is de meest voorkomende bestemming. Op 75 sites vertrekt voor toestemming al een een seintje naar Google Analytics. Of je dat nou leuk vindt of niet. Niemand die het ziet. Op 52 vindt een meting plaats voor de advertentiesystemen van Google. Bij 44 sites bevatten die verzoeken geen enkel toestemmingssignaal. Op 39 sites gaat het om pings in Googles consentmodus zonder cookies. Nixon telt die ook mee, omdat ook zo’n verzoek het ip-adres, het apparaat en de bezochte pagina doorgeeft, en omdat de richtsnoeren van de Europese privacytoezichthouders (EDPB) metingen zonder cookies eveneens onder de toestemmingsplicht scharen.

Verder is op 82 sites een advertentie- of socialmediatracker actief van Meta, LinkedIn, TikTok of Microsoft. Op negentien sites plaatst een ingesloten YouTube-video cookies voordat iemand op afspelen heeft gedrukt.

Namen noemt het bedrijf niet. Bakker benadrukt dat het niet om naming and shaming gaat, maar om bewustwording. De bedrijven in de index kunnen hun eigen resultaat vertrouwelijk opvragen. Nixon gaat komende kwartalen verscheidene sectoren onderwerpen aan een scan. Elke scan wordt herhaald, zodat de privacyscanner de ontwikkelingen over de tijd kan volgens.

Eerder dit jaar deed het bedrijf al onderzoek naar gemeentewebsites, toen samen met De Telegraaf. Nu publiceert Nixon onder eigen naam.