Nixon meet datadoorgifte vóór toestemming op 80% van onderzochte FMCG-sites

De eerste FMCG-index van Nixon Digital meldt dat bij acht van de tien onderzochte FMCG-sites bezoekersgegevens naar Google, Meta of andere techbedrijven worden gestuurd voordat iemand de cookiebanner beantwoordt.

Een consenttool garandeert niet dat tags wachten: Emerce meldt bij 126 van de 184 FMCG-sites met zo’n hulpmiddel nog een hoog-risicobevinding vóór de keuze. Voor een Nederlandse organisatie die een website beheert, verschuift de controle daarmee naar de netwerkverzoeken na het laden: welke tags, pixels en ingesloten onderdelen versturen al gegevens voordat de bezoeker kiest?

De index scant grote FMCG-bedrijven

De eerste editie omvat 200 websites van bedrijven in voeding, dranken, huishoudelijke producten en persoonlijke verzorging. De bedrijven hebben meer dan duizend werknemers en zijn actief op de Europese markt. Nixon scande één domein per bedrijf vanuit Europa, zonder de cookiebanner aan te raken. Per site bekeek de scanner de homepage en maximaal vier andere pagina’s. De metingen liepen van augustus tot begin oktober 2026.

Op 160 van de 200 sites bereikte bezoekersdata vóór de keuze Google, Meta of een andere techpartij. Op 136 sites, 68 procent van het totaal, vond Nixon minstens één hoog-risicobevinding. Bij die sites waren gemiddeld 4,3 van zulke bevindingen te zien. De index rapporteert ook 75 sites met een Google Analytics-meting vóór toestemming, 52 met een meting voor Googles advertentiesystemen en 79 met externe lettertypen. Een site kan in meerdere categorieën vallen. De 80 procent datadoorgifte en de 68 procent met minstens één hoog-risicobevinding zijn verschillende uitkomsten.

Een consenttool blokkeert niet vanzelf

Van de 200 onderzochte sites gebruikten er 184 een consenttool. Toch bleef bij 126 daarvan volgens de index vóór de keuze minstens één hoog-risicobevinding over. Nixon en Emerce wijzen op een aansluitprobleem: een platform kan alleen scripts tegenhouden die eraan zijn gekoppeld. Tags, pixels, video’s en lettertypen komen soms later bij de site, bijvoorbeeld via marketingteams of bureaus, zonder dat iemand de koppeling met de toestemmingsinstelling opnieuw controleert.

Ook een bezoeker die nog geen cookie heeft gekregen, kan al een netwerkverzoek veroorzaken. Op 39 sites zag Nixon cookieloze pings via Googles Consent Mode. Zulke verzoeken kunnen volgens de index nog steeds het IP-adres, het apparaat en de bezochte pagina doorgeven. Op 79 sites werden lettertypen van externe servers geladen; die server ontvangt dan het IP-adres. Alleen controleren of de browser een cookie opslaat, laat zulke datastromen buiten beeld.

In augustus beschreef de AP dezelfde uitvoeringsfouten bij Nederlandse sites: trackers die vóór de klik starten, een weigeroptie die ontbreekt en toestemming die lastig is in te trekken. Lange ketens van leveranciers maken inventariseren lastiger: op minstens 90 procent van de gemeten webpagina’s staat een derde partij, met een mediane insluitketen van drie niveaus.

De toestemmingseis hangt af van de verwerking

De 80 procent is geen juridisch oordeel over alle 200 sites. Nixon noemt datastromen naar advertentie-, sociale-media- of eigen analysetoepassingen, trackingcookies van derden en externe lettertypen hoog risico wanneer ze vóór een keuze optreden. Andere diensten vallen in de categorie potentieel risico, omdat hun functie en gegevensgebruik van buitenaf niet altijd zichtbaar zijn. De AP maakt onderscheid tussen functionele, beperkt analytische en overige cookies. Functionele cookies vereisen geen toestemming; beperkt analytische cookies kunnen zonder toestemming als ze weinig gevolgen hebben voor de privacy. Voor trackingcookies is voorafgaande toestemming vereist.

De Nederlandse toezichthouder controleert sinds april 2025 structureel of sites toestemming vragen voordat ze bezoekers volgen. In november meldde de AP dat meer dan 200 websites waren gewaarschuwd en ongeveer driekwart hun banner had aangepast; tegen weigeraars volgden handhavingsstappen. In Frankrijk legde de CNIL Sheins Ierse dochter in september 2025 een boete van 150 miljoen euro op wegens onder meer advertentiecookies die al bij aankomst werden geplaatst, vóór interactie met de banner.

De meetgrens is vijf pagina’s per domein

De steekproef gaat over grote FMCG-bedrijven die op de Europese markt actief zijn, niet over alle Nederlandse ondernemingen. Per bedrijf onderzocht Nixon één domein en maximaal vijf pagina’s. De index noemt de bedrijven niet en deelt geen individuele scores openbaar. Nixon publiceert de meting zelf en biedt ook software voor privacycontroles aan. De methodologie omschrijft het onderzoek als een geautomatiseerde technische scan, geen juridische audit van een individuele website.

De uitkomsten laten zien wat de scanner bij deze bedrijven detecteerde, niet of iedere site juridisch in overtreding is. Nixon zegt sectoren volgens een vast schema opnieuw te scannen. Een volgende FMCG-editie kan daardoor laten zien of het aandeel verandert, maar ook die vergelijking blijft beperkt tot het gemeten domein en de bekeken pagina’s. Voor sitebeheerders ligt de concrete controle intussen in de browser zelf: welke tag vuurt bij het laden, wat wordt na weigeren nog verstuurd en welke wijziging in de site heeft de CMP niet meegekregen?