Privacy Index: 80 procent van grote FMCG-websites deelt gegevens vóór toestemming

Een cookiebanner laat zien dat een organisatie toestemming vraagt. Maar of de achterliggende technologie die keuze daadwerkelijk afwacht, is voor bezoekers en vaak ook voor de organisatie zelf minder zichtbaar. Daarom lanceert het Nederlandse technologiebedrijf Nixon Digital de Privacy Index: een terugkerend onderzoek dat websiteprivacy per sector systematisch in kaart brengt.

Elk kwartaal staat een andere sector centraal. De index laat zien welke risico's veel voorkomen, waar ze ontstaan en waar organisaties op kunnen letten. Het doel is bewustwording en verbetering op sectorniveau, niet het publiekelijk aanwijzen van individuele bedrijven. Zo wil Nixon Digital met meetbare inzichten bijdragen aan een privacyvriendelijker web.

FMCG als eerste graadmeter

De eerste uitgave richt zich op FMCG: bedrijven achter voedingsmiddelen, dranken, huishoudelijke producten en persoonlijke verzorging. Het gaat om 200 websites van ondernemingen met meer dan 1.000 medewerkers die actief zijn op de Europese markt.

Juist deze sector is interessant. Het zijn veelal gevestigde merken met grote digitale, marketing- en privacyteams en de middelen om professionele toestemmingssoftware in te zetten. Dat maakt de uitkomst des te opmerkelijker: 80 procent van de onderzochte websites deelt al vóór toestemming bezoekersgegevens met Google, Meta, LinkedIn of andere technologiebedrijven. Op 68 procent constateerde de scanner minstens één bevinding met een hoog risico volgens de onderzoeksmethodiek.

Cookietool aanwezig, risico niet verdwenen

Een opvallend resultaat is dat 184 van de 200 websites (92 procent) een consentmanagementtool gebruiken. Toch hebben 126 van die 184 websites ten minste één high-risk bevinding voordat de bezoeker een keuze maakt in de cookiebanner.

Dat verschil is relevant voor IT-afdelingen en digitale teams. Een cookietool installeren is immers iets anders dan controleren of alle scripts, tags en externe diensten er daadwerkelijk door worden aangestuurd. Een campagnepixel, ingesloten video of nieuw analytics-script kan worden toegevoegd zonder dat de blokkering goed is ingericht. Privacybeheer vraagt daarom ook om herhaalde technische controles na wijzigingen aan de website.

Welke technische risico's komen terug?

Google is een veelvoorkomende bestemming. Op 75 websites registreerde de scanner een Google Analytics-meting vóór toestemming; op 52 websites een meting voor Googles advertentiesystemen. Ook metingen zonder cookies kunnen informatie meesturen, zoals het IP-adres, apparaatgegevens en de bezochte pagina. Of verwerking is toegestaan, hangt af van de dienst en de concrete inrichting.

Daarnaast laden 79 websites lettertypen vanaf externe servers. Daarbij ontvangt de aanbieder van het lettertype een netwerkverzoek met onder meer het IP-adres. Op 44 websites werden trackingcookies van derden aangetroffen vóór toestemming, onder meer via YouTube en LinkedIn. En op 82 websites (41 procent) was al een advertentie- of socialmediatracker of -cookie actief.

De Privacy Index maakt onderscheid tussen high risk, potential risk en low risk. Noodzakelijke beveiligingscookies en de cookietool zelf vallen niet automatisch in de hoogste categorie. Ook diensten waarvan de toelaatbaarheid afhankelijk is van de configuratie krijgen een afzonderlijke beoordeling. De resultaten zijn dus geen lijst van 200 vastgestelde wettelijke overtredingen.

Meten om van sectorbrede fouten te leren

Voor het onderzoek opende de scanner per website maximaal vijf pagina's in een schone browser vanaf een Europese locatie. Er werd vóór de meting geen toestemming gegeven. De scanner registreerde onder meer netwerkverzoeken, cookies en externe lettertypen. De scans vonden plaats tussen augustus en begin oktober 2026. Het gaat om technische momentopnames, geen volledige juridische audits.

Nixon Digital publiceert bewust geen namen of individuele scores van onderzochte bedrijven. De index deelt wél de terugkerende bevindingen en praktische aanbevelingen: controleer welke marketingtags vóór toestemming afgaan, test de website ook na het weigeren van cookies en beoordeel of externe onderdelen zoals fonts of video's anders kunnen worden geladen. FMCG-bedrijven die denken dat hun website is onderzocht, kunnen hun eigen resultaat vertrouwelijk opvragen.

De ambitie reikt verder dan één onderzoeksronde. Door ieder kwartaal een sector op dezelfde manier te onderzoeken, moet de Privacy Index uitgroeien tot een bron waarmee organisaties hun aandachtspunten herkennen en structureel kunnen verbeteren. Het volledige onderzoeksartikel, de resultaten en de methodologie zijn te lezen bij Nixon Digital.