Enkele tientallen gemeenten maken gebruik van agressieve online volgmethoden

Dat blijkt uit onderzoek van de Volkskrant in samenwerking met de Fontys Hogeschool. Van de 355 websites van Nederlandse gemeenten maken 28 gebruik van agressieve volgmethoden. Dat zijn sociale media- of advertentietrackers, die door onder meer Facebook en Google worden gebruikt voor de ontwikkeling van advertentieprofielen.

Het gebruik van deze cookies is pikant: Facebook en Google liggen onder het vergrootglas vanwege hun dataverzamelingsdrift. Zij zijn de grote spelers op de online advertentiemarkt en vormen de brug tussen de adverteerder en de websites waarop advertenties staan. Door advertentiecookies te plaatsen op de computer van bezoekers kunnen ze volgen welke sites zij bezoeken en zo interesseprofielen opbouwen. De sites functioneren hierbij als ‘doorgeefluik’ van bezoekersdata.

‘Alleen maar erger’

Rejo Zenger van privacyorganisatie Bits of Freedom noemt het ‘fout’ dat de gemeenten Google’s advertentienetwerk laat meekijken met de bezoeken van burgers aan de eigen websites. ‘Dat ze daarover niet open zijn in hun privacyverklaring maakt het alleen maar erger.’

De STER (de exploitant van de publieke omroepen) besloot onlangs helemaal te stoppen met dergelijke volgcookies, net als bijvoorbeeld NRC. Beide partijen meldden dat het voor de inkomsten niet of nauwelijks uitmaakt of hun bezoekers op hun surftochten gebaseerde advertenties krijgen of niet.

Opvallend is dat veel gemeentesites (onder meer Amersfoort, Delft en Bloemendaal) trackingcookies plaatsen zonder daarvoor toestemming te vragen. Het gebruik van advertentiecookies is toegestaan, maar alleen onder de strikte voorwaarden van de privacywet. ‘Organisaties mogen die alleen plaatsen als de bezoeker daarover is geïnformeerd én daarvoor uitdrukkelijk toestemming heeft gegeven’, zegt woordvoerder van de Autoriteit Persoonsgegevens.

Niet volgens de regels

Voordat de website de bezoeker om die toestemming vraagt, moet bovendien in beeld verschijnen welke cookies gebruikt worden, welke persoonsgegevens van de bezoeker worden verwerkt, wat daarmee gebeurt en hoe lang die cookies worden bewaard.

Er zijn dus nogal wat voorwaarden waaraan de sitebeheerders moeten voldoen. De Autoriteit Persoonsgegevens concludeerde vorige maand niet voor niets dat bijna de helft van de door de waakhond onderzochte websites die gebruikmaken van trackingcookies niet voldoet aan die regels.

Hieronder bevinden zich dus ook nodige gemeentesites. Van de 28 gemeenten die volgsoftware op hun sites hebben, meldde alleen Heerenveen expliciet dat ze zowel analyse- als advertentietrackers gebruikte. Andere gemeenten noemen in het beste geval alleen Google Analytics als derde partij. Zestien gemeenten doen zelfs dat niet.

Gemeenten ontkennen

Gevraagd naar de reden van het gebruik van trackingcookies heeft Heerenveen als enige een antwoord: ‘We wisten eerlijk gezegd niet dat die cookies er stonden.’ De cookies bleken in het verleden door een extern bureau te zijn geplaatst en daarna vergeten. Heerenveen heeft de trackers inmiddels verwijderd.

Navraag bij vier andere gemeenten levert een ander beeld op: niemand lijkt te beseffen dat er gebruik wordt gemaakt van volgtechnieken via Facebook (de zogenoemde Facebook Pixel, gebruikt door vier gemeenten) of Doubleclick, het advertentienetwerk van Google. De woordvoerders van IJsselstein (volgsoftware van Facebook) en Amersfoort (idem van Google) ontkennen het simpelweg. Apeldoorn doet dat in eerste instantie ook, maar weet uiteindelijk een instelling te vinden ‘die de betreffende advertentiefunctie zou moeten uitschakelen’. Ook Helmond vindt uiteindelijk de code en verwijdert de cookies na de vragen van de Volkskrant.

D66-Kamerlid Kees Verhoeven noemt het in een reactie ‘merkwaardig’ dat gemeentesites informatie over hun bezoekers doorspelen aan partijen als Google en Facebook voor advertentiedoeleinden. ‘Dit soort cookies hebben puur een commercieel doel. Waarom zou je dit als gemeente überhaupt willen? Hun sites zijn er volgens mij primair om informatie aan de burger te geven’, aldus Verhoeven.

Floor Terra, adviseur bij de Privacy Company: ‘Stel dat ze het allemaal netjes doen – wat nu nog niet eens het geval is – dan nog moet je dit als gemeente niet willen.’ Het probleem is volgens Terra vaak onwetendheid bij de beheerders van websites: ‘Je moet je site constant controleren. Anders kan er ongemerkt tracking insluipen, zeker als je dingen uitbesteedt.’

In overtreding

Veel gemeenten (43 procent van het totaal) maken gebruik van Google Analytics voor de analyse van hun sites. De cookies die hiervoor op de computers van bezoekers worden geplaatst, zijn minder omstreden zolang ze puur voor analyses worden gebruikt. Maar ook de cookies die Google Analytics plaatst kunnen, met specifieke instellingen, door Google worden gebruikt voor advertentiedoeleinden. Websites die dit doen en geen expliciete toestemming vragen, zijn volgens de Autoriteit Persoonsgegevens in overtreding.

Rejo Zenger van Bits of Freedom sluit niet uit dat de gemeenten iets verkeerd hebben ingesteld in de analyse-software. ‘Omdat ze de analysesoftware van Google gebruiken, kan dat grote consequenties hebben. Dat bedrijf heeft immers van het volgen van gebruikers op internet zijn verdienmodel gemaakt.’ Voor Google Analytics bestaan privacyvriendelijker alternatieven.

Het onderzoek werd uitgevoerd door Jeroen de Vos, als internetonderzoeker verbonden aan de Fontys Hogeschool voor de journalistiek.