We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

Acht jaar nadat de GDPR van kracht werd, besloten we te stoppen met speculeren over toestemmingsnaleving en het daadwerkelijk te meten. We richtten onze scanner op 97.304 websites in 25 van de 27 EU-lidstaten en registreerden precies wat er gebeurt in een echte browser voor, tijdens en na toestemming. Niet wat het privacybeleid belooft. Niet wat het CMP-dashboard rapporteert. Wat er daadwerkelijk afgaat in de browser wanneer een nieuwe bezoeker op een pagina terechtkomt.

In onze dataset was pre-consent tracking gebruikelijk: twee derde van de EU-websites begint bezoekers te volgen voordat enige toestemmingsinteractie plaatsvindt. Meer dan de helft toont helemaal geen toestemmingsbanner. En wanneer websites wel een weigerknop aanbieden, stopt deze het volgen in 80% van de gevallen niet. Dit zijn geen randgevallen of technische details. Dit is de basisstaat van toestemmingsnaleving in de Europese Unie in 2026.

Methodologie: Hoe We Dit Hebben Gemeten

Voordat we in de bevindingen duiken, is het van belang hoe we deze gegevens hebben verzameld, want methodologie bepaalt of cijfers als deze zinvol of misleidend zijn.

De websitelijst

We trokken onze steekproef uit de Tranco Top 1M-lijst, een onderzoekskwaliteits-domeinranking die wordt geproduceerd door gegevens van meerdere onafhankelijke ranglijstbronnen te combineren. Tranco is specifiek ontworpen om manipulatie te weerstaan en stabiele rankings te bieden voor webmeetonderzoeken, wat het de standaardbron maakt voor grootschalig webonderzoek. We filterden op domeinen die geassocieerd zijn met 25 van de 27 EU-lidstaten op basis van landcode-TLD's en registratiegegevens, wat 114.748 kandidaat-URL's opleverde. Daarvan voltooiden 97.304 succesvol -- de rest mislukte door DNS-fouten, verbindingstimeouts of sites die volledig onbereikbaar waren.

Wat de scanner doet

Elke scan gebruikt onze productie-scannerengine: een Go-applicatie die een volledige headless Chromium-browser aanstuurt via het Chrome DevTools Protocol. Dit is geen statische HTML-scraper of een cookie-databaseopzoeking. Voor elke website doet de scanner het volgende:

1. Start een schone Chromium-instantie zonder opgeslagen cookies, geen lokale opslag en geen browsegeschiedenis -- simuleert een echte nieuwe bezoeker.

2. Navigeert naar de doel-URL en wacht tot de pagina is geladen.

3. Maakt een snapshot voor toestemming: elke cookie die is ingesteld, elk netwerkverzoek dat is gedaan, elk domein van derden dat is gecontacteerd -- allemaal voor enige toestemmingsinteractie.

4. Probeert de toestemmingsbanner te detecteren met een bibliotheek die 45 bekende CMP's plus generieke heuristieken dekt.

5. Interageert met de banner (accepteren of weigeren) en registreert de status na interactie.

6. Voor weigerstroom-testen: herlaadt de pagina en controleert of weigering werd gerespecteerd of dat cookies terugkeren.

Elke stap produceert bewijs met tijdstempels: volledige cookie-inventarissen, netwerkverzoeklogboeken en screenshots. Wanneer we zeggen dat een website "tracking activeert voor toestemming," bedoelen we dat we daadwerkelijke HTTP-verzoeken naar bekende trackingdomeinen en daadwerkelijke cookies die in de browser werden ingesteld hebben waargenomen -- niet dat we het afleidden uit een scripttag in de HTML.

Wat "voor toestemming" technisch betekent

Dit is het cruciale concept. Gedrag voor toestemming is alles wat gebeurt tussen het moment dat de pagina begint te laden en het moment dat de gebruiker voor het eerst interageert met een toestemmingsmechanisme. In de praktijk duurt dit venster doorgaans 2-5 seconden, maar op veel sites duurt het langer naarmate de pagina extra bronnen laadt. Gedurende dit venster heeft de bezoeker geen mogelijkheid gehad om iets te accepteren of te weigeren. Onder artikel 5(3) van de ePrivacy-richtlijn (zoals geinterpreteerd door het HvJ-EU in Planet49, C-673/17) vereist het opslaan van informatie op het apparaat van een gebruiker of het openen van reeds opgeslagen informatie voorafgaande toestemming -- behalve voor cookies die strikt noodzakelijk zijn voor de door de gebruiker gevraagde dienst. Alles dat niet-essentieel is en tijdens dit venster afgaat, werkt per definitie zonder geldige toestemming.

Bevinding 1: Tracking Voor Toestemming Is de Norm, Niet de Uitzondering

Het belangrijkste cijfer in dit onderzoek: 68% van de gescande websites activeert tracking door derden voordat de gebruiker toestemming heeft gegeven. Nauw verwant: 66,6% stelt cookies in voor toestemming.

Dit zijn niet dezelfde maatstaf. Een website kan een trackingdomein van derden contacteren (een pixel afvuren, een script laden) zonder dat dat domein succesvol een cookie instelt -- bijvoorbeeld als de browser cookies van derden blokkeert. Omgekeerd kan een first-party analytische cookie worden ingesteld zonder een extern domein te contacteren. Beide gedragingen zijn problematisch, maar ze vertegenwoordigen verschillende technische mechanismen en verschillende juridische risico's.

De omvang van activiteit voor toestemming is aanzienlijk:

De mediaan van 6 is aantoonbaar informatiever dan het gemiddelde. De helft van alle gescande websites contacteert minstens zes externe domeinen voordat de gebruiker enige mogelijkheid heeft om toestemming te geven. Dit zijn geen content delivery networks of fontservers (die we uitsluiten van trackingclassificatie). Dit zijn advertentieplatforms, analyticadiensten en datahandelaren.

De uitsplitsing van activiteit voor toestemming per cookiecategorie onthult waarvoor deze tracking eigenlijk dient:

Bijna een op de drie EU-websites stelt analytische cookies in voor toestemming. Bijna een op de vijf stelt marketingcookies in. De juridische positie hierover is ondubbelzinnig: het EDPB heeft herhaaldelijk bevestigd dat analytische en marketingcookies toestemming vereisen onder artikel 5(3) ePrivacy. De Planet49-uitspraak van het HvJ-EU maakte duidelijk dat toestemming een actieve, bevestigende handeling moet zijn -- en het kan niet bevestigend zijn als het nog niet heeft plaatsgevonden.

De praktische implicatie is dat tegen de tijd dat een bezoeker een cookiebanner ziet en overweegt of hij wil accepteren of weigeren, zijn browser al is gefingerprint, zijn bezoek al is geregistreerd door analyticaplatforms, en in veel gevallen zijn browsingprofiel al is bijgewerkt door advertentienetwerken. De toestemmingskeuze, wanneer die aankomt, is gedeeltelijk retroactief -- en retroactieve toestemming is helemaal geen toestemming.

Bevinding 2: De Toestemmingsbanner-Kloof

Meer dan de helft van de websites die we scanden -- 53.508 van 97.304, of 55% -- toonde geen toestemmingsbanner die ons detectiesysteem kon identificeren.

Dit cijfer vereist zorgvuldige interpretatie. Niet elke website zonder banner schendt noodzakelijkerwijs de wet. Een website die geen niet-essentiële cookies instelt en geen trackingdiensten van derden contacteert, mag legitimel werken zonder toestemmingsmechanisme. De ePrivacy-uitzondering voor "strikt noodzakelijke" cookies betekent dat een site die alleen sessiecookies gebruikt voor inloggen of winkelwagenfunctionaliteit geen toestemmingsverplichting heeft voor die specifieke cookies.

Maar dat is niet wat we waarnemen. Van de 53.508 sites zonder detecteerbare banner, stellen er 18.026 actief niet-essentiële cookies in en contacteren trackingdomeinen van derden. Deze sites hebben geen toestemmingsmechanisme en volgen bezoekers vanaf het eerste paginalaadmoment. Wij zijn niet op de hoogte van een geldige rechtsgrondslag hiervoor onder zowel GDPR als de ePrivacy-richtlijn.

De overige sites zonder banners vallen in verschillende categorieën: sites die oprecht geen niet-essentiële cookies instellen (en daarom mogelijk geen banner nodig hebben), sites die toestemmingsmechanismen gebruiken die ons detectiesysteem niet kon identificeren, en sites die eenvoudigweg niet-functioneel of minimale-inhoud domeinen zijn. Onze 45-CMP detectiebibliotheek plus generieke heuristieken dekt de overgrote meerderheid van bekende toestemmingsoplossingen, maar aangepaste implementaties in ongebruikelijke frameworks of talen kunnen worden gemist.

Toch is het cijfer van 18.026 de bodem, niet het plafond, voor bannerloze sites met tracking. Dit zijn sites waar we positief bewijs hebben van zowel trackingactiviteit als bannerafwezigheid.

Bevinding 3: Weigerknoppen Werken in 80% van de Gevallen Niet

We hebben een apart bericht gewijd aan deze bevinding, maar het verdient hier uitgebreide aandacht omdat het de kern van het toestemmingsmodel raakt.

Van de 28.891 websites waar we een weigerknop detecteerden en er succesvol mee interageerden, bleef 80,4% volgen nadat de gebruiker op weigeren klikte. Slechts 5.650 sites (19,6%) slaagden voor de weigerstroomtest -- wat betekent dat tracking daadwerkelijk stopte en gestopt bleef.

De mislukkingen vallen uiteen in overlappende categorieën:

Toestemmingsrespawn is een patroon dat we tijdens dit onderzoek identificeerden. De gebruiker klikt op weigeren, de CMP verwijdert cookies, en dan verschijnen die cookies bij het volgende paginalaadmoment weer. Op 1.642 sites observeerden we 4.932 individuele cookies die dit gedrag vertoonden. Het mechanisme varieert -- scripts van derden die opnieuw afgaan ongeacht de toestemmingsstatus, tagmanagers die weigering niet propageren naar alle geïntegreerde diensten, server-side Set-Cookie headers die client-side toestemmingsbeslissingen negeren -- maar het effect is hetzelfde. De weigerknop wordt een tijdelijke pauze, geen permanente keuze.

Onder GDPR artikel 7(3) moet intrekking van toestemming even gemakkelijk zijn als het geven ervan, en de verwerkingsverantwoordelijke moet handelen naar die intrekking. Een weigerknop die tracking niet daadwerkelijk stopt, voldoet niet aan deze eis, ongeacht de technische oorzaak.

Bevinding 4: Land-voor-Land Vergelijking

De GDPR is één verordening, maar naleving is niet uniform. Het percentage websites met hoog risico varieert met bijna drie op één tussen EU-lidstaten.

Het patroon komt overeen met verschillen in handhavingsactiviteit. Duitsland en Oostenrijk -- thuisbasis van de BfDI, zestien DPA's op staatsniveau, en de DSB respectievelijk -- behoren tot de actiefste Europese autoriteiten bij het specifiek aanpakken van toestemmings- en cookieschendingen. De DSB vaardigde een van de eerste post-Schrems II handhavingsbeslissingen uit. Duitse staat-DPA's hebben sectoroverstijgende cookie-audits uitgevoerd en prescriptieve richtlijnen uitgegeven over wat geldige toestemming is.

Aan het andere uiteinde hebben Hongarije, Tsjechië, Roemenië en Polen DPA's die doorgaans onderbezet zijn in verhouding tot de omvang van hun digitale economieën en handhaving historisch hebben gericht op datalekken en verzoeken om toegang van betrokkenen in plaats van cookietoestemmingscontroles. Dit is geen kritiek op die autoriteiten -- ze werken met de budgetten die ze krijgen -- maar het is een duidelijke demonstratie dat handhaving naleving stimuleert. Dezelfde wettekst, toegepast met verschillende handhavingsintensiteit, levert duidelijk verschillende resultaten op.

Frankrijk is leerzaam. De CNIL is een van Europa's meest zichtbare handhavingsorganen geweest en heeft recordboetes opgelegd aan grote technologiebedrijven. Toch zitten Franse websites op 44,1% hoog risico, dicht bij het EU-gemiddelde. De verklaring ligt waarschijnlijk in de handhavingsstrategie van de CNIL: spraakmakende acties tegen grote platforms genereren koppen maar veranderen niet direct het gedrag van duizenden kleine en middelgrote bedrijven die de lange staart van het web vormen. Breed gedragsverandering vereist ofwel sectoroverstijgende handhavingscampagnes (zoals Duitsland heeft nagestreefd) of een algemene toename van het waargenomen handhavingsrisico.

We behandelen de landgegevens uitgebreider in ons landenvergelijkingsbericht.

Bevinding 5: CMP-Marktaandeel en Wat Het Ons Vertelt

Van de 43.796 websites (45%) die een detecteerbare toestemmingsbanner presenteerden, identificeerden we 45 verschillende toestemmingsbeheerplatforms. De markt is geconcentreerd aan de top maar gefragmenteerd in de lange staart.

De grootste enkele categorie is "Generiek / niet-geïdentificeerd" met 34,7%. Dit zijn sites die toestemmingsoplossingen gebruiken die niet overeenkwamen met een van de 45 CMP-signaturen in onze detectiebibliotheek. Ze omvatten zelfgebouwde cookiebalken, WordPress-plugins die niet breed herkend zijn, regionale CMP-aanbieders en implementaties die zo minimaal zijn dat ze bestaan uit een enkel afwijsbaar div met een "Begrepen"-knop. De nalevingskwaliteit van deze categorie is gemiddeld aanzienlijk lager dan die van gevestigde CMP's, hoewel we nog geen nalevingspercentages per CMP hebben gepubliceerd.

De banner-interactiegegevens onthullen nog een zorg. Van de 43.796 gedetecteerde banners:

Bijna een op de vijf toestemmingsbanners biedt geen zichtbare manier om niet-essentiële cookies te weigeren zonder naar een tweede laag van instellingen te navigeren. De EDPB-richtlijnen 05/2020 over toestemming stellen dat het weigeren van toestemming niet meer moeite mag kosten dan het geven ervan. Een ontwerp dat extra klikken vereist om te weigeren maar één-klik-acceptatie biedt, is volgens deze richtlijnen een dark pattern dat de geldigheid van toestemming ondermijnt.

We detecteerden ook specifieke dark-pattern-implementaties: 3.454 sites (7,9% van die met banners) plaatsten de weigeroptie alleen in een tweede laag, 84 sites gebruikten cookiewalls (inhoud blokkeren totdat toestemming wordt gegeven), en 137 sites vertoonden bot-toestemmingsomzeiling -- het opzettelijk verbergen van de banner voor geautomatiseerde scanners terwijl deze aan menselijke bezoekers wordt getoond.

Bevinding 6: Misbruik van Cookie-Levensduur

De CNIL beveelt een maximale cookie-levensduur van 13 maanden aan — een norm die verschillende andere nationale gegevensbeschermingsautoriteiten hebben overgenomen of waarnaar ze hebben verwezen. Dit is geen harde wettelijke limiet in de tekst van de GDPR, maar het weerspiegelt een interpretatie van het beginsel van opslagbeperking (artikel 5(1)(e)) zoals toegepast op tracking-ID's.

Onze scan vond 26.250 websites (27%) met minstens één cookie die de drempel van 13 maanden overschrijdt, bestaande uit 58.127 individuele cookies in totaal.

De meest voorkomende overtreder is de `_ga`-cookie van Google Analytics, die standaard wordt ingesteld met een levensduur van twee jaar. Dit betekent dat zelfs websites met overigens functionele toestemmingsmechanismen vaak in overtreding zijn simpelweg omdat ze de standaard GA-cookievervaltijd niet hebben overschreven. Het is een configuratiekwestie, geen technische beperking -- Google Analytics staat aangepaste cookie-levensduren toe -- maar de standaard is niet-conform met EDPB-richtlijnen, en de meeste site-beheerders veranderen het nooit.

Langlevende cookies creëren een samengesteld privacyrisico. Een tweejarige cookie is niet gewoon "een beetje langer dan 13 maanden." Het betekent dat een gebruiker die een site één keer bezoekt, toestemming geeft en nooit terugkeert, nog steeds twee jaar lang door de analytics van die site kan worden geïdentificeerd en gevolgd. Als de gebruiker later toestemming intrekt of de rechtsgrondslag verandert, blijft de cookie bestaan als een spookidentificatie totdat deze verloopt.

Aanvullende Bevindingen

Verschillende andere bevindingen uit het onderzoek verdienen korte vermelding:

Fingerprinting. We detecteerden browserfingerprintingsignalen (canvas fingerprinting, WebGL fingerprinting, audio context fingerprinting) op 4.114 websites (4,2%). Fingerprinting is bijzonder zorgwekkend omdat het niet kan worden gewist door cookies te verwijderen -- het gebruikt inherente browser- en apparaatkenmerken als identificatoren. De ePrivacy-richtlijn behandelt fingerprinting als equivalent aan cookie-gebaseerde tracking voor toestemmingsdoeleinden. Google Consent Mode-discrepanties. Onder sites die Google Consent Mode implementeren, werd 28,4% gedetecteerd als gebruikend, terwijl 13,7% van de sites die Google-diensten gebruiken geen Consent Mode-implementatie toonde. Zorgwekkender: 11,9% toonde discrepanties -- de toestemmingsstatus die aan Google's API werd gerapporteerd, kwam niet overeen met het daadwerkelijke trackinggedrag in de browser. Dit betekent dat de CMP Google vertelt dat toestemming werd geweigerd, maar trackingverzoeken blijven afgaan. Toegankelijkheid. Toestemmingsbanners zijn wettelijk vereiste UI-elementen, en als ze ontoegankelijk zijn, kan een segment van de gebruikers hun rechten niet uitoefenen. Onder gedetecteerde banners: 25% had aanraakdoelen onder de aanbevolen minimummaten, 15,2% had tekst met laag contrast, en 3,4% was niet toetsenbordtoegankelijk. Een banner die niet per toetsenbord kan worden bediend, ontzegt effectief de toestemmingskeuze aan gebruikers die afhankelijk zijn van ondersteunende technologie -- een schending die zowel GDPR als toegankelijkheidsregelgeving raakt.

Algehele Risicoverdeling

Alles samengenomen is de totale risicoclassificatie van de 97.304 gescande sites:

Het percentage van 14,9% niet-conclusief weerspiegelt sites waar de scanner geen betrouwbare bepaling kon maken -- doorgaans vanwege botdetectie, complexe single-page-applicatiearchitecturen of tijdsafhankelijk gedrag. We rapporteren deze eerlijk in plaats van ze in een slaagt/faalt-classificatie te dwingen, omdat vals vertrouwen in nalevingsgegevens erger is dan erkende onzekerheid.

Wat Dit Betekent voor Website-Eigenaren

Als u een website beheert die EU-bezoekers bedient, pakken vier acties de meest voorkomende en hoogste risicobevindingen aan:

1. Audit wat er laadt voor toestemming. Open uw site in een privé-browservenster, open ontwikkelaarstools en bekijk de Netwerk- en Applicatietabs voordat u met een banner interageert. Als u verzoeken aan analytics- of advertentiedomeinen ziet, of cookies van die diensten verschijnen, is uw gedrag voor toestemming niet-conform. De oplossing is doorgaans tagmanagerconfiguratie: zorg ervoor dat niet-essentiële scripts worden geblokkeerd totdat bevestigende toestemming is geregistreerd. 2. Test uw weigerflow end-to-end. Klik op weigeren op uw eigen banner en controleer vervolgens of niet-essentiële cookies weg zijn. Herlaad dan de pagina en controleer opnieuw. Als cookies terugkeren, hebt u een toestemmingsrespawn-probleem dat onderzoek vereist naar welke scripts uw toestemmingsmechanisme omzeilen. Onze gegevens tonen dat dit een verrassend groot aantal sites treft, zelfs die met gerenommeerde CMP's. 3. Controleer uw cookie-levensduren. Als u Google Analytics met standaardinstellingen gebruikt, heeft uw `_ga`-cookie een levensduur van twee jaar. Verander het naar 13 maanden of minder. Controleer alle cookies die uw site instelt en zorg ervoor dat geen enkele het aanbevolen maximum van 13 maanden overschrijdt. Dit is een snelle configuratie-aanpassing die een veelvoorkomende nalevingsbevinding elimineert. 4. Zorg dat uw banner toegankelijk is en eerste-laag weigering biedt. Als uw weigeroptie vereist dat u naar een tweede instellingenpagina navigeert terwijl "Alles accepteren" één klik is, voldoet uw toestemmingsmechanisme mogelijk niet aan de EDPB-richtlijnen. Controleer de banner op toetsenbordtoegankelijkheid, aanraakdoelgrootten en contrastverhoudingen.

Methodologische Opmerkingen en Eerlijke Beperkingen

We willen transparant zijn over wat dit onderzoek wel en niet kan vertellen.

Wat het goed meet: Gedrag voor toestemming, cookie-inventarissen, netwerkverzoeken naar bekende trackingdomeinen, bannerpresentie en -structuur, weigerflow-uitkomsten en cookie-levensduren. Dit zijn objectieve, op bewijs gebaseerde metingen die zijn geregistreerd uit daadwerkelijk browsergedrag. Wat het onvolmaakt meet: CMP-detectie is niet 100% volledig. Sites die toestemmingsoplossingen gebruiken die niet in onze 45-CMP-bibliotheek zitten, kunnen verkeerd worden gecategoriseerd als zijnde zonder banner. GeoIP-afhankelijke banners kunnen verschillend worden weergegeven op basis van de netwerklocatie van de scanner. Single-page-applicaties die toestemming beheren in client-side status zonder DOM-wijzigingen zijn moeilijker te beoordelen. Sommige sites detecteren geautomatiseerde browsers en passen hun gedrag dienovereenkomstig aan (we vonden 137 die dit opzettelijk doen). Wat het niet meet: Claims van gerechtvaardigd belang (die juridische in plaats van technische beoordeling vereisen), de kwaliteit van privacybeleid, of toestemmingsregistraties goed worden opgeslagen, of dat gegevensverwerkingsactiviteiten proportioneel zijn. Dit zijn belangrijke nalevingsdimensies die niet waarneembaar zijn uit browsergedrag alleen.

Het percentage van 14,9% niet-conclusief is onze veiligheidsklep voor sites waar we geen betrouwbare technische bepaling konden maken. We prefereren eerlijke onzekerheid boven valse precisie.

---

Controleer uw eigen website. Voer een gratis scan uit op gdprprivacymonitor.eu en zie precies wat er gebeurt voor, tijdens en na toestemming op uw site. De scanner produceert hetzelfde bewijs als in dit onderzoek -- snapshots voor toestemming, cookie-inventarissen, weigerflow-resultaten en risicoclassificatie -- voor elke URL die u indient.