# Dinsdag, een wedstrijdje met de tienerzoon

Cathy had het verzekeringsattest nodig voor de schoolreis van haar zoon. Ze opende doccle.be en wachtte tot de pagina geladen was.

In die paar seconden, nog voor haar duim bewogen had, had de pagina al stilletjes hallo gezegd tegen twaalf bedrijven waar ze nog nooit van gehoord had. De meeste daarvan zitten in de Verenigde Staten en moeten zich aan de Amerikaanse wetten houden.

Een grijs kadertje schoof omhoog vanonder. We hechten waarde aan je privacy. Twee knoppen. Cathy klikte op Alles aanvaarden, want het was dinsdag en ze was al laat.

Aan de keukentafel besloot haar zoon Mica, zestien, om een wedstrijdje met zijn mama te doen. Hij zag hetzelfde kadertje op zijn telefoon verschijnen en tikte op het kleine grijze Weigeren. Het was een automatisme geworden.

Allebei kregen ze het document, en Mica was zijn mama amper enkele seconden te snel af. Maar wat er rond het document gebeurde, was niet hetzelfde. Dit artikel gaat over dat verschil.

# Cookies zijn het kleine deel

Bijna iedereen heeft al eens op een cookiebanner geklikt. Bijna niemand weet zeker wat een cookie eigenlijk is.

Een cookie is een klein briefje dat een website in je browser achterlaat om je later te kunnen herkennen. Er zijn twee soorten, en het verschil is belangrijker dan de banner doet uitschijnen.

• Een first-party cookie hoort bij de site die je effectief bezoekt. Hij onthoudt dat je ingelogd bent, of in welke taal je leest. Dat is meestal de nuttige soort.
• Een third-party cookie hoort bij een ander bedrijf waarvan de code stilletjes meedraait op de pagina. Die kan een tag uitlezen die je van site naar site volgt en je bezoeken aan elkaar rijgt tot een profiel.

En dit vermeldt de banner nooit: cookies blokkeren stopt het volgen op zichzelf niet meer. De sector is jaren geleden al voorbij de cookies geraakt. Cookies zijn de deuropening. Het interessante gebeurt verderop, binnen.

# De pottenkijkers staan al in de winkel

Stel je een website voor als een winkel.

Wanneer je binnenstapt, heeft de winkel stilletjes een aantal reclamebureaus uitgenodigd om binnen te staan en mee te kijken. Ze zien je aankomen nog voor je iets aanraakt: door welke deur je binnenkwam, wat je aanhebt, waar je eerst naartoe gaat. Ze merken op hoe je blijft hangen bij die gele trui en hoe je rechtdoor de sportafdeling voorbijloopt. Op Doccle was die menigte ongeveer een dozijn bedrijven, verzameld nog voor Cathy ook maar iets gedaan had.

Sommige van die pottenkijkers zijn makkelijk te herkennen. Andere dragen het uniform van de winkel zelf. Het adres launch.doccle.be ziet er uit als Doccle, dus ga je ervan uit dat het voor Doccle werkt. Dat is niet zo. Het is materiaal van Amazon in de Verenigde Staten. Je kan het niet zien aan de naam op de deur.

En sommige pottenkijkers hoeven niet eens gezien te worden. De winkel kan je gegevens zelf opschrijven, vriendelijk glimlachen en er een kopie van naar een bedrijf in het buitenland sturen nadat je vertrokken bent. Vanuit jouw standpunt leek er niets verstuurd te worden.

De richting is altijd dezelfde: het meekijken moeilijker te merken maken, ook voor mensen die denken dat ze het geweigerd hebben.

# Wat de tools eigenlijk verzamelen

Niet elke tracker doet hetzelfde. Ze zitten op een schaal.

Laten we beginnen met de cookies. Cookies komen in verschillende smaken. Sommige leven enkel op je computer zolang je op een site bent. Dat noemen we ‘sessiecookies’. Een sessiecookie wordt bijvoorbeeld gebruikt om de website eraan te herinneren dat je al ingelogd bent. Soms vraagt een website om je te ‘onthouden’. Op dat moment overleeft de cookie je bezoek aan de site en blijft hij op je computer staan voor een periode die de cookie zelf bepaalt: dat kan gaan van minder dan 15 minuten tot 2 jaar. Voor sommige zaken (zoals het voorbeeld van daarnet) is dat perfect logisch. Maar als een cookie je ID voor een reclamebedrijf onthoudt, dan herkent hij je, zelfs als je de site al meer dan een jaar niet bezocht had. En de cookie wordt natuurlijk gereset, waarna de teller herstart.

Daarna zijn er de JavaScript-trackers die dingen in je browser uitvoeren, en de resultaten meteen naar hun server sturen. Aan de lichte kant heb je bijvoorbeeld een consent-tool, het ding dat je de banner toont en je antwoord noteert. Op Doccle was dat Cookiebot, beheerd door een Duits bedrijf. Het doet één ding, en als dat gedaan is, gaat het in slaapstand en doet het niets meer dan je voorkeur herhalen. Relatief onschadelijk. Maar zelfs dat bedrijf krijgt het allerkleinste beetje informatie over jou als bezoeker. Ze beloven het niet te delen. Als Europees bedrijf is de kans groot dat ze zich aan die regel houden, want er zijn geen tegenstrijdige wetten.

In het midden zit de analytics. Google Analytics en Matomo bijvoorbeeld, tellen je bezoek, koppelen het aan een identificator en bouwen een beeld op van wie naar de site komt en wat die doet. Het ziet elke pagina die je laadt, elk formulier dat je indient, elke term die je zoekt. Die analytics zijn interessant omdat ze kunnen vertellen welke pagina’s verbetering nodig hebben, welke pagina’s het populairst zijn en waar de bezoekers vandaan komen. Afhankelijk van de instellingen kan dit meer of minder ingrijpend zijn. Gecentraliseerde platformen zoals Google Analytics aggregeren intern de inzichten van verschillende platformen en maken een diepgaand profiel van je interesses. Dat resulteert erin dat je de meest verleidelijke advertenties krijgt voorgeschoteld. Heeft de profiler ontdekt dat je het meest impulsief bent wanneer je om 2 uur ’s nachts aan het surfen bent? Dan is dat het moment waarop je die lekkere prulletjes-advertenties krijgt. Heb je het over huwelijksproblemen gehad? Misschien krijg je dan advertenties voor relatietherapie? Dat zou je wel willen! Het algoritme vindt datingsites veel winstgevender. Matomo daarentegen is een lokaal platform. De server krijgt dezelfde inzichten, maar het is er enkel om de websitebeheerder van dienst te zijn. Geen gecentraliseerd platform dat alles opslorpt.

En als je denkt dat die analytics-tools een vieze smaak in je mond geven, dan heb je het volgende nog niet gehoord: de zware jongens doen aan session replay. Doccle gebruikt Microsoft Clarity: een tool die je sessie opneemt en naar een server ergens stuurt. Muisbewegingen, scrollen, klikken, wat je in een formulier typte. Analytics telt wat je deed. Dit ziet je blijven hangen en volgt wat je typt (zelfs als je niet op die “verzenden”-knop drukt).

# Wat je gedrag prijsgeeft

Dus waarom zouden we ons daar druk om maken? Privacy is toch allang dood? En het kan toch handig zijn als die advertentie mijn winkelervaring makkelijker maakt. Het punt is: we weten zelden precies wat een bedrijf bijhoudt. Wat we wél weten, is dat een session-replay-tool gedrag bekijkt, en gedrag beschrijft jou, zelfs wanneer je naam er nergens aan hangt.

Een replay ziet meer dan welke knoppen je indrukte. Het ziet timing. Denk aan hoe je een wachtwoord ingeeft:

• Als het vakje in één keer ingevuld is, dan heb je het vrijwel zeker geplakt vanuit een wachtwoordbeheerder. Als het ingevuld wordt op het moment dat de pagina laadt, dan verraadt het zelfs dat het automatisch verzonden wordt. Dat geeft een hint dat je voorzichtig bent met veiligheid.
• Als het traag ingevuld wordt, teken voor teken, dan typ je uit het hoofd. Dat geeft een hint dat je wachtwoorden hergebruikt die eenvoudig genoeg zijn om te onthouden. Meestal slaat het je wachtwoord niet op, maar het kan wel de lengte van je wachtwoord te pakken krijgen.

Je hebt nooit gekozen om een van beide feiten te delen. Een pauze voor je klikt, of het ritme van je tikken, is een klein stukje informatie over jou, verzameld zonder dat er ook maar één veld ingevuld werd. Daarom slaat “ze nemen alleen op wat ik aanklikte” de bal mis. Het hoe is ook data.

# Aandringen als kunst

Sommige sites gedragen zich netjes wanneer je tracking weigert, maar vragen even later opnieuw: “weet je écht wel zeker dat je geen cookies wil?”. En opnieuw. De banner komt twee pagina’s later opnieuw terug, en enkele pagina’s later opnieuw, tot weigeren meer moeite voelt dan toegeven.

Dit is bewust ingebouwde wrijving. Nee zeggen wordt met opzet vermoeiend gemaakt, in de hoop dat je op een dag haast hebt en op de makkelijke knop klikt. Zoals we zullen zien, zeggen de Europese regels dat weigeren even makkelijk hoort te zijn als aanvaarden. Het gezaag is wat er gebeurt wanneer een site de letter van die regel volgt maar de geest ervan omzeilt.

# Aanvaarden versus Weigeren, in echte cijfers

Dit is waar Cathy’s vermoeide klik en Mica’s reflexmatige weigeren ophouden een verhaal te zijn en metingen worden. BeLibre liet de Leak Detector twee keer op dezelfde avond op Doccle los: één bezoek waarbij tracking geweigerd werd, één bezoek waarbij alles aanvaard werd. Dezelfde site, dezelfde tool, enkele minuten na elkaar.

Lees de onderste rijen van links naar rechts. Aanvaarden zette niet zomaar een beetje meer analytics aan. Het haalde cross-site reclamenetwerken binnen (Meta en Microsofts Xandr) die een moment eerder volledig stil waren, en het liet hen cookies plaatsen die maandenlang in de browser blijven zitten en de bezoeker tot ver buiten Doccle volgen.

En hier zit de adder onder het gras: weigeren hielp enorm. Het maakte Doccle niet schoon. Zelfs bij Mica’s Weigeren-bezoek nam de session replay nog steeds op, werd er nog steeds een persistente Google-cookie geplaatst, en draaide de eigen infrastructuur van de site nog steeds op Amerikaanse hosting (Amazon), met de e-mail beheerd door Microsoft. Tracking weigeren verlaagt je blootstelling, maar ook niet meer dan dat.

# Wat de wet eigenlijk vraagt

Een wijdverspreid geloof is dat de GDPR “over de cookies” gaat. Zo eng is het niet.

De GDPR regelt het verwerken van persoonsgegevens van elke aard, en persoonsgegevens omvatten zaken die de meeste mensen niet zouden raden, zoals je IP-adres en de identificatoren in die tracking-cookies. De banner zelf komt van een aparte regel, de ePrivacy-richtlijn, die zegt dat niet-essentiële tracking je toestemming nodig heeft voor ze begint, dat die toestemming vrij gegeven moet zijn, en dat weigeren even makkelijk moet zijn als aanvaarden. Dat is de regel die het gezaag aan het buigen is.

Twee andere plichten zijn de moeite waard om te kennen als bezoeker:

1. Je hebt rechten over je gegevens, waaronder het recht om te zien wat er bewaard wordt en om te vragen het te wissen.
2. Persoonsgegevens buiten de Europese Unie versturen, wat precies is wat die Amerikaanse trackers en die Amerikaanse hosting doen, brengt extra wettelijke verplichtingen met zich mee (het domein dat gevormd is door het Schrems II-arrest).

Eén zin volstaat om te onthouden: als een site tracking-cookies plaatst voor je akkoord gegeven hebt, dan is dat zeer waarschijnlijk al een inbreuk.

# Opnieuw dinsdag

De week erop was het grijze kadertje terug. We hechten waarde aan je privacy. Cathy zuchtte en wilde op Alles aanvaarden klikken, want er was altijd wel iets.

Mica reikte over en toonde haar het kleine grijze Weigeren, en de browserextensie die de meeste pottenkijkers blokkeert voor ze binnenkomen. Het kostte tien seconden. Ze zou het ook op haar telefoon moeten doen, en op de tablet van haar vader, waar het kadertje nog opdringeriger is.

Niets van dit alles maakt iemand onzichtbaar. Mica werd evengoed gefilmd, en zijn documenten reisden nog steeds door Amerikaanse hardware. Maar de kloof tussen zijn bezoek en dat van zijn moeder was aanzienlijk, en ze had de omvang van een reclame-industrie.

Een paar gewoontes dichten het grootste deel van die kloof:

• Behandel Weigeren als de standaard, en Alles aanvaarden als het uitdelen van een kopie van je bezoek.
• Gebruik een browser of extensie die trackers blokkeert, zodat de meeste er nooit binnen geraken.
• Onthoud dat de banner de deuropening is, en dat de keuze erachter de tien seconden waard is.

# Wil je het zelf eens proberen?

Doccle is maar een voorbeeld. Lang niet de beste leerling van de klas, maar ook niet verschrikkelijk. Sommige blogsites kunnen je besmetten met honderden trackers. Er zijn technieken om dit te analyseren, maar met BeLibre ontwikkelden we een tool om sites te testen waar je twijfels over hebt. Lees ons artikel over de Leak Detector op onze blog.