De cookiebanner staat aan. De cookies van Google waren er eerder.

---

KORT ANTWOORD

Elevates opende de websites van 21 thinktanks die zich met EU-zaken bezighouden in een schone browser en klikte nergens op. Vijf plaatsten meteen Google Analytics-cookies, voordat de bezoeker iets had gekozen. Bij vier van die vijf stond er op dat moment een cookiemelding in beeld. Een melding is geen toestemming. U kunt dezelfde controle in twee minuten op uw eigen site uitvoeren.

---

Als u communicatie beheert bij een beleidsinstituut, is de kans groot dat de cookiemelding in 2022 is geplaatst, nadat iemand uit het bestuur naar de AVG vroeg. Ze verscheen, de vraag verdween, en sindsdien heeft niemand de site nog in een schone browser geopend.

Elevates deed dat wel, voor elk lid van de Trans European Policy Studies Association met een eigen website. De uitkomst is niet dat instituten de regels negeren. De meeste doen het goed. De uitkomst is dat bij een kwart van de sites de melding en het tracken niets met elkaar te maken hebben: de melding vraagt om toestemming, en de cookies staan al.

Elevates controleerde 21 instituten zoals een inspecteur dat zou doen

TEPSA omschrijft zichzelf als 51 lid- en geassocieerde instituten in 37 Europese landen. De ledengids verwijst naar elk van hen. Negenentwintig publiceren op een eigen domein. De rest staat binnen de website van een universiteit, waar de cookies van de universiteit zijn, dus die zijn buiten beschouwing gelaten.

Op 19 september 2026 laadde Elevates elk van de 29 homepages in een nieuw, leeg browserprofiel, wachtte acht seconden, klikte nergens op, scrolde niet en maakte vervolgens een lijst van alle cookies die de pagina had geplaatst. Zesentwintig laadden. Eenentwintig daarvan zijn gevestigd in de EU of de EER, en die 21 vormen het aantal hieronder.

Dat moment, voordat de bezoeker iets heeft gedaan, is het moment waar de regel over gaat.

Vijf plaatsten Googles cookies voordat de bezoeker iets had gekozen

Vijf van de 21 plaatsten bij aankomst Google Analytics-cookies, _ga en de bijbehorende cookies. Twee van die vijf plaatsten ook cookies van Meta of LinkedIn.

Geen van de vijf liet Google weten of de bezoeker had ingestemd. Googles tags versturen een toestemmingssignaal wanneer een site is ingesteld om er een te sturen. Dat ontbrak bij elk analyseverzoek dat deze vijf sites verstuurden.

Elke positieve uitkomst is een tweede keer uitgevoerd. Het aantal cookies was bij alle vijf identiek.

Bij vier van de vijf stond er op dat moment een cookiemelding in beeld

De meldingen varieerden van één enkele knop Accepteren tot een volledige toestemmingstool met een paneel Details. Dat maakte niets uit, want de cookies werden geplaatst voordat er op een knop was gedrukt.

Dit is het patroon waarvoor de Franse gegevensbeschermingsautoriteit Shein op 1 september 2025 een boete van 150 miljoen euro oplegde: cookies die op de apparaten van bezoekers werden geplaatst "zodra zij op de site aankwamen". Shein is geen thinktank en niemand suggereert een boete van die omvang. Het gaat om het mechanisme. Een toezichthouder kijkt naar wat er vóór de klik gebeurt, en precies dat is wat deze controle bekeek.

Een melding is geen toestemming, en de regel vraagt eerst om toestemming

De regel is artikel 5, lid 3, van de e-Privacyrichtlijn. Voor het opslaan van informatie op het apparaat van een bezoeker geldt dat dit "alleen is toegestaan op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend". De uitzondering is opslag die strikt noodzakelijk is om te leveren wat de bezoeker heeft gevraagd.

Analytics kan slechts onder strikte voorwaarden onder die uitzondering vallen. De Franse toezichthouder eist in zijn richtsnoeren over het meten van bezoekersaantallen dat het doel uitsluitend bezoekersmeting is, dat de uitkomst anonieme statistieken zijn en dat de aanbieder de gegevens niet hergebruikt voor eigen doeleinden. Of een bepaalde opzet daaraan voldoet, is aan de site om aan te tonen, niet aan de bezoeker om aan te nemen.

Deze instituten zijn gevestigd in de EU, dus de vraag of Europese regels voor hen gelden, speelt niet. Voor een bedrijf buiten de EU speelt die vraag wel, en het antwoord hangt af van aan wie het bedrijf verkoopt, niet van waar het zit.

Vier instituten laten zien hoe het hoort

Vier van de 21 laden Google Analytics en plaatsen toch niets totdat de bezoeker kiest. Hun analyseverzoeken bevatten Googles toestemmingssignaal, ingesteld op geweigerd.

Dat is Googles eigen toestemmingsmodus. Volgens Googles documentatie leest en schrijft de tag zijn analysecookies niet wanneer de opslag voor analytics is geweigerd, en verstuurt hij in plaats daarvan metingen zonder die cookies. De site krijgt dan nog steeds een basistelling, en de cookies wachten op een ja. Om dit in te stellen, zet u de standaard toestemmingsstatus op 'geweigerd' voordat er ook maar één tag laadt, en laat u de toestemmingstool die status wijzigen.

De overige twaalf plaatsen bij aankomst helemaal geen trackingcookies.

Drie van de vijf draaien ook tags voor een product dat Google heeft stopgezet

Drie van de vijf plaatsen cookies met de naam _gat_gtag_UA_ gevolgd door een accountnummer. Die komen van Universal Analytics, dat op 1 juli 2023 stopte met het verwerken van gegevens. De toegang tot de rapporten en de API werd een jaar later gesloten.

Deze tags schrijven dus cookies op de apparaten van bezoekers om rapporten te voeden die niet meer bestaan. Een tag die twee jaar na het einde van zijn product nog draait, betekent meestal dat niemand op dit moment de tagging van de site beheert. Dat is een gevolgtrekking, maar het is wel de meest waarschijnlijke lezing.

Controleer uw eigen site in twee minuten

1. Open een privévenster en ga naar uw homepage. Klik nergens op, ook niet op de melding.
2. Open de ontwikkelaarstools: F12 op Windows, Cmd Option I op een Mac.
3. Ga in Chrome naar Application, dan Cookies, dan uw domein. In Firefox is dat Storage, dan Cookies.
4. Zoek naar _ga, _gid, _gcl_au, _fbp, of alles wat begint met _gat_gtag_UA_.

Als een van die cookies er staat voordat u hebt geklikt, is de melding op uw site decoratie. Als er een begint met _gat_gtag_UA_, moet er ook nog een dode tag worden verwijderd.

Als het misgaat, zit de oplossing in hoe de tags laden

Soms is het herstel klein. Als uw tags in Google Tag Manager staan, kan het één instelling zijn: een standaard toestemmingsstatus 'geweigerd' en een toestemmingstool die die status bijwerkt wanneer de bezoeker kiest. Dat is een middag werk, en u kunt het zelf doen zonder iemand te betalen.

Vaak is het niet zo overzichtelijk. De analytics-tag is jaren geleden in het thema geplakt. Een plug-in heeft er zelf een toegevoegd. Een ingesloten video of een LinkedIn-feed brengt er meer mee. De melding is bovenop dat alles geïnstalleerd, en aan geen van die tags is ooit gezegd dat ze erop moeten wachten. Dat oplossen betekent alle tags vinden, elke tag op het antwoord laten wachten, de dode verwijderen en opnieuw controleren na de volgende plug-in-update, want dan gaat het kapot.

Dat is het werk dat Elevates doet. Dezelfde controle in een schone browser die u hierboven hebt uitgevoerd, op elk paginatype van uw site, een lijst van elke tag en wie die heeft geplaatst, en het herstel uitgevoerd in uw tagmanager of in de code van uw thema, waarna we opnieuw controleren. Voor een instituut dat zijn positie in Brussel ontleent aan het zorgvuldig lezen van Europese regels, is dit het soort zaak dat een journalist met een browser in een minuut kan vinden.

Als uw site de controle van twee minuten heeft doorstaan, bent u klaar en behoort u tot de meerderheid. Zo niet, dan belooft de melding op uw homepage bezoekers iets wat de site niet doet.