Nixon ziet hoog risico op 74% van 81 Nederlandse webshophomepages

Nixon Digital meldt op 13 november dat 74% van 81 Nederlandse webshopdomeinen op de homepage minstens één hoog-risicobevinding had vóór de cookiekeuze, blijkt uit de eigen Privacy Index.

Een zichtbare cookiebanner bewijst niet dat de onderliggende tags wachten. Voor een webshop of organisatie zit de technische controle in wat de browser verstuurt zodra de pagina opent en nadat een bezoeker een keuze maakt.

De 74% gaat over 81 domeinen

De Nederlandse uitkomst komt uit een groep van 81 domeinen, niet uit alle Nederlandse webshops. Nixon selecteerde de meest bezochte webshops per land in de EU en EER, op basis van Googles openbare Chrome UX Report. Van de 2.455 geselecteerde winkels blokkeerden 157 de scan. De index beschrijft dus 2.298 bereikbare sites. Daarvan hadden 1.727, oftewel 75,2%, minstens één hoog-risicobevinding. Dertien sites kwamen volledig schoon uit de scan.

Nixon groepeert de Nederlandse sites aan de hand van de domeinextensie. Die wijst op registratie in of gerichtheid op Nederland, maar niet noodzakelijk op de vestigingsplaats van het bedrijf. Ook zegt het percentage iets over wat de scanner aantrof op een homepage in oktober 2026. Productpagina’s, winkelmandjes, afrekenen, klantaccounts en apps vielen buiten de meting.

De scanner noemt het hoog risico wanneer data vóór de keuze terechtkomt bij een partij die deze gebruikt voor advertenties, sociale media of eigen analyses. Ook een trackingcookie van een derde of een extern lettertype telt mee. Nixon noemt andere gevallen mogelijk risicovol wanneer de functie of gegevensverwerking van buitenaf niet is vast te stellen. Op de Europese steekproef had 62% een advertentie- of socialmediatracker of -cookie actief vóór de keuze; 46% laadde een extern lettertype. Google Ads en Marketing Platform kwamen voor bij 49% van de winkels, Google Analytics bij 40% en Meta Pixel bij 22%. Bij een extern lettertype kan de aanbieder al bij het laden het IP-adres van de bezoeker ontvangen. De categorieën kunnen elkaar overlappen.

Een consenttool blokkeert alleen wat is ingesteld

Bij 79% van de onderzochte webshops vond Nixon een consenttool. Toch had 81% van die groep minstens één hoog-risicobevinding. Dat cijfer rangschikt de softwareproducten niet. Het laat zien dat een banner en de technische blokkade niet automatisch hetzelfde systeem vormen.

Marketinglead Bryan Bakker zegt tegen Emerce dat een consenttool alleen controle heeft over onderdelen die erin zijn geconfigureerd. Komt er later een pixel, analysetag of ingesloten dienst bij, dan moet die ook aan de toestemmingsinstelling worden gekoppeld. Anders kan de browser al vóór de keuze een verzoek versturen. De controle gaat dus ook over tags die via marketing, een bureau of een nieuwe websitefunctie zijn toegevoegd.

De AP onderscheidt trackingcookies en vergelijkbare technieken die vooraf toestemming vereisen van functionele cookies en cookies die weinig gevolgen hebben voor de privacy. Trackingcookies en vergelijkbare technieken vragen om toestemming vóór gebruik. De Nixon-scan meet netwerkgedrag, maar bepaalt niet of elke afzonderlijke verwerking onrechtmatig is. De AP benoemde eerder trackers die vóór de klik starten, een ontbrekende weigerknop en toestemming die lastig is in te trekken.

De FMCG-scan heeft een ander meetbeeld

Nixon onderzocht eerder 200 grote websites van bedrijven in voeding, drank, huishoudelijke producten en persoonlijke verzorging. De scanner bekeek daar per domein de homepage en maximaal vier andere pagina’s. Bij de eerste FMCG-meting van Nixon kwam 80% datadoorgifte vóór toestemming voor, naast 68% hoog-risicobevindingen onder 200 grote sites.

De cijfers vragen nu om een kanttekening. De FMCG-pagina van Nixon, zoals die nu online staat, zegt dat 68% van de 200 websites bezoekersdata naar buiten stuurde. Emerce meldde bij de publicatie op 13 oktober 80% datadoorgifte en 68% hoog-risicowebsites. De huidige index geeft geen toelichting op het verschil tussen die verdelingen. De nieuwe webshopmeting is bovendien anders opgezet: een veel grotere groep winkels, maar alleen de homepage. De percentages leveren daarom geen nette voor-na-vergelijking op.

Andere scanners vinden hetzelfde soort verkeer

Een aparte meting van ConsentChecker kwam uit op tracking vóór de keuze in 76% van 388 scans over 310 Europese webshops. Het bedrijf registreerde 2.515 verzoeken vóór toestemming. Die scans liepen van 12 mei tot 25 juni 2026. ConsentChecker zegt erbij dat het geen willekeurige steekproef is: het gaat om sites die mensen hadden aangevraagd en het resultaat is bedoeld als richtinggevend signaal, niet als landelijk percentage.

De vergelijkbare orde van grootte maakt de twee cijfers niet onderling uitwisselbaar. Nixon telt hoog-risicobevindingen op één homepage; ConsentChecker telt derdepartijverzoeken in een aangevraagde verzameling scans. Nixon verkoopt zelf software voor privacycontroles en zegt dat het de index volledig zelf financierde. Die belangen en meetgrenzen horen bij de lezing van de cijfers.

Samen leggen de metingen een onderhoudsvraag bloot in de softwareketen van webshops. De banner legt de keuze vast; tagmanagers, pixels, fonts en externe diensten bepalen welke verzoeken de browser werkelijk doet. Nixon zag één homepage op één moment en publiceert geen bedrijfsnamen. De uitkomst beschrijft daarom een technisch signaal in een steekproef. Een juridische beoordeling hangt af van de concrete datastroom en de manier waarop die is ingericht.