Ruim 60 procent gemeentewebsites deelt illegaal data met Google

Ruim 60 procent van de websites van Nederlandse gemeenten deelt data met Google, zoals ip-adressen van bezoekers, voordat gebruikers toestemming hebben gegeven. Dat is illegaal. Het gaat onder meer om YouTube-embeds en Google Fonts.

Bij 206 van de 339 gescande websites van gemeenten ging er al informatie naar Google voor de gebruiker in een cookiebanner op 'accepteren' heeft gedrukt, meldt Nixon Digital in een onderzoek in samenwerking met De Telegraaf. Enkele sites laadden elementen in van Facebook en LinkedIn, maar vrijwel alle sites die in overtreding zijn, deden dat via Google. Bij ip-adressen en andere gegevens van bezoekers gaat het om persoonsgegevens die sitebeheerders volgens de AVG niet zonder toestemming mogen verzamelen.

In meer dan de helft van de gevallen ging het om YouTube-embeds met trackingcookies. Die sturen data door, zelfs als bezoekers de video niet afspelen. Dat is te voorkomen door de embed vanaf een 'nocookie'-domein te serveren. Ook Google Fonts en Google Analytics kwamen veel voor. Fonts kunnen sitebeheerders zelf hosten. Google Analytics is sowieso een tool die sinds een paar jaar 'software non grata' is.

Bij drie sites lukte de scan niet en ongeveer 130 gemeentesites voldeden wel aan de vereiste om geen cookies te plaatsen voor gebruikers toestemming hebben gegeven. Het onderzoek vermeldt niet welke gemeentesites precies welke overtredingen begaan.

Reacties (39)

[Ulysses]

Dit vind ik zo'n steen des aanstoots. Sitebeheerders hebben hier nauwelijks een keuze in; ik weet het, want ik maak nog weleens wat met de hand- en spandiensten van Google daarbij verweven. Ik heb uiteindelijk voor WordPress de Complianz-plugin (kosten € 59,- voor de goedkoopste versie, op te hoesten door de belastingbetaler dus?) doorgenomen en geconcludeerd dat meldingen gewoon uit kunnen. Met deze plugin en wat kleine tweaks in de instellingen kun je het zo laten laden dat embeds alsnog expliciet toestemming moeten vragen, bijvoorbeeld. En ook die fonts, die zijn lokaal te doen – theoretisch.

Mijn punt van zorg en aandacht is echter meer dat ik gebruikers niet wil opzadelen met duizenden wegklikschermen per mogelijke professionele schermdag. Zeker in mijn werkveld en met mijn beperkingen (bij tijden hoogprikkelgevoelig) is het visueel blokkeren van het scherm, en dat herhaaldelijk – want cache wissen, cookies trashen of weer een ander browserprofiel of device – kortom totaal onwenselijk. Het hele gedrocht rond de cookiewetgeving voelt voornamelijk als burgertje pesten. Ja, er zijn partijen die onrechtmatig je data verzamelen. Ja, we hebben een doxingwet. Ja, je moet achter de Googles van deze webwereld aan, en niet achter iedere Sjef de hobbybouwer die als nevenfunctie of zonder centrale regie de gemeentesites in elkaar klust.

Edit:
Daarbij komt dat de praktische realiteit simpelweg superieur is aan deze juridische papieren tijger; tools zoals Google Site Kit werken voor een organisatie als een lokale patiëntenvereniging of gemeente simpelweg vele malen efficiënter omdat je al volledig in dat ecosysteem zit. Ondanks handmatige voorzorgsmaatregelen, zoals het maskeren van IP-adressen om directe herleidbaarheid te beperken, blijft de feitelijke gegevensverwerking de verantwoordelijkheid van Google – wij faciliteren als webmasters slechts het voorportaal. Het is de ultieme bureaucratische waanzin dat juristen de individuele bouwer verantwoordelijk houden voor de fundamentele data-architectuur van tech-reuzen, terwijl de eindgebruiker ondertussen gijzelaar wordt van een onwerkbare UX.

[Reactie gewijzigd door Ulysses op 16 maart 2026 19:01]

[Robbierut4]

Dit vind ik zo'n non-discussie. Sitebeheerders hebben hier nauwelijks een keuze in;

Analytics: Matomo. Self hosted, kan zonder cookies en zo ingesteld worden dat het geen herleidbare data opslaat, dus volledig privacy vriendelijk.
Fonts: Zelf een font hosten is echt niet moeilijk. Kan ofwel een google font zijn, of een ander (gratis) font.
Maps: Openstreetmaps.
Ads: wtf, waarom draait er reclame op de gemeente website? weg met die shit.
Translate: zijn lokale oplossingen voor, ofwel automatisch of handmatig vertaald (wel zo prettig als ook de vertaalde informatie klopt). Plus dit kun je ook aan de gebruikers over laten.


Dan hou je over youtube embeds. Die kun je of zo maken dat er niks wordt geladen totdat de gebruiker het aanklikt. Ofwel self hosted.

Om dan nog de niet google dingen mee te pakken:
facebook: plaatje met link, hoef je geen tracking voor te hebben.
linkedin: same.


Is dit allemaal moeilijker/meer werk dan de zoveelste google analytics op je website te plaatsen en gebruikers te pesten met een cookiewall? vast. Maar is ook gewenning, ik zet tegenwoordig sneller matomo neer dan analytics.

[kuurtjes]

Als je je eigen analytics gebruikt hoef je trouwens geen cookie banner te tonen.

[Robbierut4]

Ligt aan de rest van je website, maar dat is wel waarom ik benoemde dat het kan zonder cookies.

Altijd fijn voor de bezoeker, niet zo'n cookiewall.

[MenN]

Dat is ook te gemakkelijk, het is namelijk ook gewoon de verantwoordelijkheid van elk bedrijf. Waar het mis gaat is dat vaak de mensen die de besluiten nemen, vaak de types zijn die het toch niet zo nou hebben met de regeltjes meer risico nemen en vooral "niet het braafste jongetje van de klas" willen zijn.

De reden voor de cookie banners en zoals ze nu werken is omdat BEDRIJVEN ervoor kiezen om de wet niet op zijn intentie uit te voeren, maar zo aan het zoeken zijn naar de grijze gebieden en dubieuze interpretaties die ervoor zorgen dat je niet gewoon gemakkelijk nee kan zeggen en dat ze je dan met rust laten. Want kort door de bocht levert een ja hun gewoon geld op.

En, laten we dat ook even recht zetten, door de lobby uit het bedrijfsleven zitten we met deze situatie, want oorspronkelijk was een 'do not track' setting in de browser bedacht die bedrijven gewoon moeten opvolgen. Maarja dan gaat het wespennest van attributie pixels en online tracking op z'n gat en dat is slecht voor de commercie.

En als laatste, als sitebeheerder heb je prima een keuze, door al je cookies in een tag manager te beheren, en die kan heel goed consent managen of het wel of niet geplaatst mag worden.

[Reactie gewijzigd door MenN op 16 maart 2026 19:06]

[Ulysses]

Wie dient die cookiewet? Nou? Wie heeft er exact hoe baat bij de huidige praktijk? Leg mij dat eens uit, ik luister. Los van dat het op schaal niet te handhaven valt en dus ook straal genegeerd daarom.

[Reactie gewijzigd door Ulysses op 16 maart 2026 19:06]

[MenN]

Heel simpel, de cookie wet bedient de burger, namelijk door je data te beschermen. (ja je hebt wel wat te verbergen). Er is inderdaad niet voldoende rekening gehouden met de handhaving en de budgetten daarvoor. Maar dat valt vooral de lobby aan te rekenen.

Maar kijkend naar het grotere plaatje is er aantoonbaar een positieve verschuiving gekomen in het tracking landschap. Al gaat het nog niet 100% goed, het grootste deel van de sites zijn inderdaad niet meer standaard je data met allerlei derden aan het delen. Dat is echt heel anders dan tien jaar terug.

Gedachten Oefeningetje
Het zou wel tof zijn als de toezichthouder een soort online flitspaal gaat maken. Door een automatische audit iedereen in de KVK te scannen op cookie en toegankelijkheidsregelgeving, en dat je volautomatisch een paar keer een boete kunt krijgen, en na 3x ofzo op gesprek mag komen.

[Ulysses]

Dan stoppen we gewoon met websites bouwen en mag de overheid het zelf uitzoeken met haar eenzijdig goedgekeurde werkwijzen en partijen.

[GewoonWaarom]

De overheid is geen bedrijf en dient ten eerste de burger. Als een burger nog niets heeft gezegd over cookies, dan deel je deze nog niet. Als je als overheid geen kennis van zaken hebt en het extern laat opzetten, dan weet je bij a zeker dat het misgaat.

Waarom moet iedere gemeente dit wiel opnieuw uitvinden? Landelijke overheid zet templates neer en gemeenten vullen het. Dit wordt gehost door 1/2 partijen.

Facebook en andere partijen weren en zelf hosten via default templates, dan komen er vanzelf apps die voor jou en mij deze data aggregeren.

[Ryunoru]

Sitebeheerders hebben hier volledige vrijheid in - zij zijn de sitebeheerders. Alles wat ze op hun site pleuren is volledig naar eigen keuze, dan kan je niet de schuld afschuiven naar een ander. En als je niet weet wat je binnenhaalt door producten/services van een bepaalde partij te kopen, hoor je niet voor een overheidsdienst aan het werk te zijn, laat staan met privacygevoelige informatie van burgers.

[Raymond Deen]

Letterlijk 1000 partijen mee laten kijken met jouw bezoek aan een website is burgertje pesten??

[StefanJanssen]

Dit is echt de meest klinklare onzin die er maar bestaat.
Met één regeltje code worden youtube embed links naar een no-cookie link omgezet. Tracking kan prima met andere systemen, gezien jij wordpress noemt denk ik direct aan Matomo, beide draaien op een simpel PHP servertje.

Ik heb ook projecten die niet de wet volgde gekregen en daar heb ik als ontwikkelaar hard aan de bel getrokken. Vertel ze dat het omzetten van google maps naar openstreetmap een dagje werk is en dat de boetes voor de verkeerde implementatie vele malen hoger uitvallen.

Zelf heb ik al in geen 10 jaar iets met google analytics gedaan, dus ik weet niet hoeveel werk het is om dat om te zetten. Maar het is echt wel mogelijk, al is het natuurlijker iets moeilijker dan wegkijken.

9 van de 10 keer weet de klant niet eens het verschil tussen de opties en ben ik van mening dat jij als ontwikkelaar een verplichting hebt dit te melden en er een prioriteit van te maken.

[HenkEisDS]

Ik snap gemeente IT nooit zo goed. Er zijn 342 gemeenten en die moeten allemaal zelf hun hele IT optuigen. Websites, crm, erp, workplace spul, etc. Sure er zijn samenwerkingsverbanden tussen gemeenten die het iets makkelijker maken, maar ik snap niet waarom ze niet gewoon centraal 1 platform aanbesteden en daar met zijn allen op over gaan.

[bytemaster460]

Er zijn grotere en kleinere gemeenten met allemaal verschillende wensen en inzichten. Uiteindelijk krijg je dan "one size fits none". Dan moet er over heel veel zaken met 342 partijen overeenstemming worden bereikt. De vraag is of er een bedrijf is dat 342 gemeentes wil gaan bedienen.

[zonglew00]

Er zijn vast richtlijnen om een website online zetten voor de lokale overheden. Je kan A richtlijnen strakker zetten of B je kan eenheidsworst maken.

Maja ik zit niet de IT afdeling van hen dus ik kan altijd makkelijk praten. Is het ernstig? Neu, is het fout? Er zijn vast ergere dingen.

[bytemaster460]

maar het blijft niet bij een site. Achter de site zitten weer interfaces naar lokale systemen en databases met eigen behoeftes.

[Ryunoru]

Dan nog kan de landelijke overheid 1 template opstellen die door alle gemeenten te gebruiken is, en zodanig werkt dat de gemeenten bepaalde modules wel of niet hoeven te gebruiken naar wens. Ook is het maar de vraag hoeveel variatie er daadwerkelijk bestaat tussen gemeenten.

[Vaevictis_]

Centric is er mee groot geworden. Standaard maatwerk.

[shredder]

Ik ben het er mee eens dat het centraler kan,maar alles op 1 platform zorgt er weer voor dat het naar een van de grote jongens gaat. Nu profiteren veel kleine bedrijven er van.

[Piemol]

En dan het liefst open source software, en dat als er dan 2 gemeenten zijn die 'echt iets unieks doen wat geen enkele andere gemeente doet', het ontwikkeld kan worden en alle gemeenten er gebruik van kunnen maken.

[koning53]

Dat is deel van inzet van de NDS (Nederlandse Digitaliserings Strategie). Een van de onderdelen is gezamenlijk inkopen. Dat gebeurt -in theorie, ik ben geen insider- nu op rijksniveau en moet op termijn voor de volledige overheid gaan gelden. Dat laatste is dan ook voor gemeentes, ZBO’s, provincies, waterschappen, etc).

Dat garandeert natuurlijk niet dat alle gemeenten automatisch hetzelfde ERP gaan gebruiken, maar het is dan in ieder geval niet meer ieder voor zich.

[Triblade_8472]

Waarom dan nog gemeentes hebben? En provincies? Schaf alles en laat alleen de nationale overheid nog zaken regelen met wat lokale loketjes.

Gemeentes zijn er juist om alles los te regelen. Een one size fits all werkt niet met de verschillende behoeftes en regels. Als je van alle gemeentes de behoeftes in 1 platform moet gaan stoppen, ben je veel tijd en geld kwijt dan wanneer je het los regelt. Laat staan koppelingen met honderden backend applicaties/databases.

[5pë©ïàál_Tèkén]

Omdat er dan te veel afhankelijkheid is van die ene partij. Zie het verhaal van Centric - veel gemeenten/provincies hebben precies om die reden daar diensten afgenomen.

Software voor overheden (elk niveau) is maatwerk - er is dus maar 1 partij die de software afneemt. Dit maakt dat de vrije markt-principes niet werken, wel om twee redenen. Ten eerste kan/mag een overheid niet omvallen zoals bij bedrijven (‘de markt doet haar werk’), ten tweede omdat de overheid niet kan winkelen bij verschillende partijen. Het is niet te doen om dit elke ~5 jaar aan te besteden. De continuïteit staat op 1, niet prijs/kwaliteit. Als een partij zou meedingen in de aanbesteding en verliezen, dan heeft die partij een stroppenpot van heb ik jou daar.

De kennis om dit te centraliseren is te duur - zie Boskalis. De experts die nodig zijn, zijn te duur om een project van deze omvang te doen zonder andere projecten er naast te doen. Maar gezien het unieke karakter van deze software kan een onderneming er niet echt iets doen behalve dit project (nogmaals - het verhaal van Centric maar ook Atos).

Als een bedrijf monopolist is op het gebied van hun diensten, dan zijn ze immuun voor marktwerking. De klant blijft toch wel want er is geen keuze. De kiezer & overheid gaan er niet in mee om X miljard te investeren in goede software, kijk maar naar de Belastingdienst, UWV en DUO. Iedereen houdt elkaar gegijzeld omtrent dure IT projecten van de overheid. En ook al zou er opeens kamerbrede steun zijn voor een project, dan kan dat 4 jaar later opeens weg zijn (of eerder als het kabinet valt). Zoals Schoof I deed met de warmte pompen. Stel je voor dat je als bedrijf begint aan zo’n project en dat je opdrachtgever dan zegt ‘haha was een grapje, doei’.

Natuurlijk ben ik het met je eens dat deze diensten in Europa ontwikkeld en gehost moeten worden, maar al die uitzonderingen, veranderingen & compromissen die in de politiek gemaakt worden zijn nauwelijks uitvoerbaar - hier software voor maken is een nachtmerrie. Tot slot is het vertrekpunt voor dit luchtkastelen-project ook niet handig - veel data staat in heel oude datasets, voor bijna alles is er bij de overheid een apart (draconisch) programma en heel weinig mensen weten hoe de software werkt. Het is makkelijk om dan te zeggen ‘dan beginnen we met een schone lei ‘, maar als er ook maar 1 data entry verloren gaat, of 1 cent te veel/weinig wordt geint, dan staan de chocoladeletters in de kranten ‘overheid verprutst weer IT systeem, rechtsstaat in het geding’. Niemand wil zich hier aan branden.

Oftewel, de redding zal wel weer eens uit Brussel komen. Over ~40 jaar zullen wetgevingen meer gestroomlijnd zijn, waardoor er universele overheids applicaties gemaakt kunnen worden. Maar dat is nog heel ver weg.

[jumbos7]

Ik denk dat het een combinatie is van een kostenkwestie, zowel om nu alle verschillende systemen over te zetten naar een nieuw centraal platform en het aandeel dat met name de kleinere gemeenten moeten betalen, en de vrees om (nog) afhankelijker te worden van de centrale overheid(sdiensten). Als je bedenkt dat 246 van de 342 gemeenten in 2025 minder dan 50.000 inwoners heeft dan begrijp ik wel dat de hedendaagse uitdagingen van digitale diensten niet voor iedere gemeente te behappen is.

[nutty]

Tja, de praktijk leert dat het allemaal (machts) eilandjes zijn, en dat willen ze blijven. ondank het feit dat het op een andere manier beter en goedkoper kan. (voor de belastingbetaler)

Het belang van de burger/gebruiker komt gewoon niet op de eerste plaats, daar staan zij zelf namelijk al....

[Reactie gewijzigd door nutty op 16 maart 2026 20:01]

[HetGezegde]

Ik snap al dat gevolg niet. Er is niets mis met analytics op je eigen site om je dienstverlening te verbeteren. En shop wil winst maken en inzicht helpt hierbij.

Zo gebruik ik op mijn zelfbouw (Ubuntu op Hetzner) webshop (HTML, JS, CSS, PHP met Node.js backend en Mollie integratie) Matomo en zo geconfigureerd dat de anonimiteit van de bezoeker gewaarborgd wordt.

Wat ik totaal niet snap, maar dat is een net iets andere discussie, is dat je op menig website toestemming geeft tot 1000+ trackers die allemaal iets van je willen weten, als je gewoonweg alle cookies accepteert.

[Reactie gewijzigd door HetGezegde op 16 maart 2026 18:49]

[sapphire]

Ik geef op vrijwel geen enkele site toestemming tot cookies en blokkeer bijna alles.

Leuk dat een shop winst wil maken maar liever niet ten koste van mijn privacy als dit niet nodig is. Als ik zou weten dat een shop dat doet zonder expliciete toestemming dan zijn dat zeker minpunten voor die shop en in een concurrerende markt…..

Wat dit vervelender maakt is dat dit sites van de gemeente zijn. Die hoeven allereerst geen winst te maken en daarnaast heb je dus als gebruiker geen keuze. Als jouw gemeente dat doet kun je niet uit protest je zaken via een andere gemeente regelen.

[HetGezegde]

Klopt. En welke apps gebruik je? Daar zit geen enkele cookie banner in. Daar wordt gewoon hetzelfde verzameld, alleen zonder cookie consent

[sapphire]

Klopt. En welke apps gebruik je? Daar zit geen enkele cookie banner in. Daar wordt gewoon hetzelfde verzameld, alleen zonder cookie consent

Vind je het erg als ik geen lijstje post maar ja ik heb apps met ingebakken reclame maar die zijn op één hand te tellen en als ik daar een beter alternatief voor heb is het daaaaag app.

Of liever geen app en gewoon de website, scheelt ook een hoop onnodige tracking. Ik zeg niet dat ik niet getraceerd word maar geloof wel dat het een heul stuk minder is dan men zou willen :)

En in de tussentijd blokkeren we de boel ook op netwerk niveau.

[Robbierut4]

Dit noemen we een whataboutism.

[Raymond Deen]

Ik snap die redenering ook niet goed. Je hebt namelijk al de verkoop data van producten die je verkocht hebt en je kunt logs bijhouden van bezochte pagina’s en producten. Daarvoor heb je al die tracking echt niet nodig. Sterker nog, daar wordt je webshop alleen maar trager van.

[valkenier]

Beter lezen: Het is voor het overgrote deel google: zie de Nixon link

[Reactie gewijzigd door valkenier op 16 maart 2026 18:52]

[densoN]

Ik ben niet thuis in analytics, maar hoe weet Nixon of de beheerder van Google Analytics heeft gekozen om gegevens al dan niet geanonimiseerd op te slaan?

[BryanBakker10]

Goede vraag. Het korte antwoord: het maakt voor de kern van het probleem niet uit of IP-anonimisering aanstaat.

Wanneer Google Analytics laadt op een pagina, maakt de browser een HTTP-verzoek naar de servers van Google. Dat verzoek bevat per definitie het volledige IP-adres van de bezoeker. Zo werkt TCP/IP. De IP-anonimisering in GA4 vindt server-side plaats bij Google, dus nadat het volledige IP-adres al is verzonden en ontvangen.

De AVG-schending zit in de overdracht zelf: er gaat persoonsdata naar een Amerikaans bedrijf zonder geldige juridische grondslag. Het is in strijd met de AVG, specifiek omdat het IP-adres (in NL gezien als een persoonsgegeven) naar de VS worden verstuurd. IP-anonimisering wordt als onvoldoende beschermingsmaatregel beoordeeld.

Dus zelfs in het meest gunstige scenario (GA4, anonimisering aan) gaat het volledige IP-adres eerst naar Google, vindt anonimisering pas daarna plaats, en worden er aanvullende identificerende gegevens meegestuurd. Daarom mag dit enkel ná toestemming ingeladen worden.

Meer toelichting hierover kan je overigens op de Nixon Digital website vinden, hun onderzoek staat specifiek hier.

[andalouse]

Ik gok dat dit in België geen haar beter is.

[telenut]

Ik zie Microsoft en Facebook ook in de resultaten. Waarom dan Google in de titel?
Dit gaat over delen van data met advertentiebedrijven zonder toestemming. En Google is nu toevallig het grootste advertentiebedrijf.

[Robbierut4]

Die zie je 4 keer, google zie je 400 keer. Dan is het logisch waarom dat genoemd wordt in de titel toch?

[StrongArmLance]

Omdat het voor 99.9% om Google gaat en het een titel van een artikel is natuurlijk. Daar kan je niet alles in kwijt.

Verder helaas geheel niet verrassend. De 'cookiewet' is natuurlijk een beetje een gedrocht en precies begrijpen welke tag wanneer afvuurt of mag afvuren zal voor veel gemeentes ingewikkeld zijn. Ik zie grappig genoeg nu sites die (al geruime tijd) over zijn op Fathom, maar ook nog steeds GA gebruiken.