Gemeentewebsites delen data met Big Tech-bedrijven zonder toestemming

Veel Nederlandse gemeentewebsites delen ongemerkt gegevens van bezoekers met Big Tech-bedrijven, vaak al vóórdat daar toestemming voor is gegeven. Dat blijkt uit onderzoek van Nixon Digital.

Bij 207 gemeenten (61%) worden externe diensten automatisch geladen, meestal van Google. Daarnaast blijken 114 gemeenten YouTube-video’s te hebben ingebed. Dat lijkt onschuldig, maar bij het laden van zo’n video maakt de browser direct verbinding met Google-servers. Daarbij worden cookies geplaatst en tracking scripts geladen, zelfs als de bezoeker de video niet afspeelt. Veel gemeenten lijken zich hier niet van bewust.

Ook wordt bij 70 gemeenten Google Analytics geladen vóórdat toestemming is gegeven. Opvallend, omdat deze tool doorgaans bewust wordt geïnstalleerd. Volgens de onderzoekers zou een cookiebanner dit juist moeten blokkeren totdat de gebruiker akkoord gaat.

Die cookiebanners ontbreken bovendien vaak: 220 gemeenten hebben er helemaal geen. Van de overige gemeenten gebruiken er 88 een eigen of moeilijk herkenbare oplossing, en slechts 31 maken gebruik van een professioneel Consent Management Platform (CMP).

Wat gebeurt er precies?

Bezoekers van een gemeentelijke website verwachten simpelweg informatie te vinden, bijvoorbeeld over een paspoort of vergunning. Maar op de achtergrond worden vaak externe diensten geladen. Zodra een website verbinding maakt met een extern domein, worden automatisch gegevens gedeeld, zoals:

• het IP-adres
• bezochte pagina’s
• tijdstip van het bezoek
• apparaatgegevens (zoals browser en schermresolutie)

Dit gebeurt vaak zonder dat de bezoeker zich daarvan bewust is.

Waarom is dit juridisch problematisch?

Volgens de AVG mogen persoonsgegevens alleen worden verwerkt als daar een geldige grondslag voor is. In dit soort situaties is dat meestal:

• toestemming van de gebruiker (art. 6 en 7 AVG)
• én bij cookies: voorafgaande toestemming (art. 11.7a Telecommunicatiewet)

Die toestemming moet vooraf worden gegeven, duidelijk en vrijwillig zijn, en gebaseerd zijn op goede informatie. Als tracking al start voordat iemand op “akkoord” klikt, is dat in strijd met de wet.

Gebrek aan kennis en bewustzijn

De onderzoekers zijn duidelijk in hun conclusie: “Een meerderheid van de Nederlandse gemeentewebsites deelt bezoekersdata met Amerikaanse Big Tech-bedrijven zonder toestemming.” Volgens hen ligt de oorzaak niet zozeer in bewuste keuzes, maar vooral in een gebrek aan kennis en bewustzijn. Tegelijkertijd laten ruim zeventig gemeenten zien dat het ook anders kan. Zij gebruiken uitsluitend diensten die binnen de EU of Nederland worden gehost en voorkomen daarmee dat data bij Amerikaanse techbedrijven terechtkomt.

Conclusie

Wat op het eerste gezicht een technische kwestie lijkt, is in werkelijkheid een fundamenteel privacyprobleem. Gemeenten, die juist zorgvuldig met burgergegevens moeten omgaan, lijken structureel de regels te overtreden door trackingtools verkeerd in te zetten.

De kern is simpel: zonder toestemming geen tracking. Ook niet bij de overheid.

 

Naar het overzicht