Cookiebanners zouden je privacy moeten beschermen. Ze hebben tracking erger gemaakt.

Dark patterns zijn illegaal, maar 77% van de websites gebruikt ze nog steeds. Zo exploiteren bedrijven de wet die bedoeld was om je te beschermen.

Ik heb net een receptenwebsite geladen om erachter te komen hoe lang je een kip moet braden.

Voordat ik een enkel woord kon lezen, verschenen er drie dingen:

1. Een nieuwsbrief aanmeldbanner
2. Een cookietoestemmingspopup
3. Een "notificatietoestemming" verzoek

Ik klikte op "Alles accepteren" bij de cookiebanner zonder het te lezen.

Weet je waarom?

Omdat ik gewoon dat verdomde recept wilde.

Dat is het probleem.

In 2009 nam Europa de ePrivacy-richtlijn aan — een wet die websites verplicht om toestemming te vragen voordat ze je met cookies volgen. De AVG versterkte de handhaving in 2018 met boetes tot 20 miljoen euro.

De wet was goedbedoeld. De uitvoering creëerde een monster.

Cookiebanners staan nu op meer dan 90% van de websites. En in plaats van privacy te beschermen, misleiden manipulatieve designs gebruikers om tracking te accepteren die ze niet willen.

Laat me uitleggen hoe we hier zijn gekomen, waarom bedrijven ermee wegkomen, en wat cookies eigenlijk doen.

Wat cookies zijn (en waarom ze bestaan)

Hier is het ding: cookies zijn uitgevonden om een legitiem probleem op te lossen.

In 1994 creëerde een Netscape-programmeur genaamd Lou Montulli cookies om websites te helpen je te onthouden tussen paginaladingen.

Het oorspronkelijke gebruiksgeval? Online winkelwagentjes.

Denk erover na: HTTP (het webprotocol) is "stateless" — wat betekent dat elke paginavraag onafhankelijk is. Zonder cookies zou de website vergeten wat je net deed als je een artikel aan je winkelwagen toevoegde en dan op een andere pagina klikte.

Cookies losten dit op. Het zijn kleine tekstbestanden die in je browser worden opgeslagen en zeggen: "Dit is Gebruiker #12345, ze hebben een shirt in hun winkelwagen."

Dat is eigenlijk nuttig.

Andere legitieme toepassingen van cookies:

Sessiecookies: Houden je ingelogd terwijl je browst

Voorkeuren: Onthouden je taal, donkere modus-instellingen, etc.

Beveiliging: Voorkomen fraude en verifiëren dat jij de accounteigenaar bent

Deze worden "first-party cookies" genoemd — ingesteld door de website die je bezoekt voor functionaliteit die jou ten goede komt.

Niemand heeft een probleem met deze cookies.

Het probleem begon toen adverteerders beseften: Als cookies winkelwagentjes kunnen onthouden, kunnen ze ook al het andere onthouden.

Hoe trackingcookies werken (het surveillancedeel)

In 1996 had DoubleClick (nu eigendom van Google) een baanbrekend inzicht:

Als ze advertenties op duizenden websites plaatsten, konden ze mensen over het hele internet volgen.

Zo werkt het:

Stap 1: Je bezoekt NieuwsWebsite.nl
Stap 2: De pagina laadt een advertentie van DoubleClick
Stap 3: DoubleClick plaatst een cookie in je browser met ID: User_ABC123

Stap 4: Later bezoek je ReceptenWebsite.nl
Stap 5: Die pagina laadt ook een DoubleClick-advertentie
Stap 6: DoubleClick leest je cookie: "Oh, het is User_ABC123 weer"

Nu weet DoubleClick:

User_ABC123 leest nieuws- en kooksites

Ze bezochten op deze specifieke tijden

Ze bekeken deze specifieke artikelen

Ze zijn waarschijnlijk geïnteresseerd in [aannames gebaseerd op gedrag]

Deze worden "third-party cookies" genoemd — ingesteld door bedrijven waarmee je niet koos te interageren, voor doeleinden die jou niet ten goede komen.

Dit is surveillance.

Tegen 2010 hadden advertentiebedrijven imperiums gebouwd op deze tracking. Google, Facebook en honderden datahandelaren volgden mensen over het internet, bouwden profielen, verkochten toegang aan adverteerders.

En de meeste mensen hadden geen idee dat het gebeurde.

De cookiewet komt: ePrivacy-richtlijn

In 2002 nam de Europese Unie de ePrivacy-richtlijn aan — wetgeving specifiek gericht op elektronische communicatie en privacy.

Artikel 5(3) van de ePrivacy-richtlijn is de eigenlijke "cookiewet". Het stelt:

Websites moeten gebruikers informeren over cookies die ze gebruiken

Gebruikers moeten expliciet toestemming geven voordat niet-essentiële cookies worden ingesteld

Toestemming moet "vrij gegeven" zijn (niet afgedwongen)

Gebruikers kunnen cookies weigeren zonder geblokkeerd te worden van de site

Dit werd in 2009 gewijzigd om toestemming voor het instellen van cookies te vereisen, niet erna.

Toen in 2018 trad de AVG in werking met:

Strengere definitie van wat telt als geldige toestemming

Overtredingen kunnen 20 miljoen euro of 4% van de wereldwijde omzet kosten

Verbeterde handhaving in alle EU-lidstaten

De AVG en de ePrivacy-richtlijn werken samen: ePrivacy stelt de cookieregels vast, AVG stelt de toestemmingsnormen.

Bedrijven namen het serieus. Meta kreeg een boete van 1,2 miljard euro. Amazon werd geraakt met 746 miljoen euro.

De wet had tanden.

Dus deden websites wat de wet vereiste: ze voegden cookietoestemmingsbanners toe.

En daar ging het mis.

Wat er werkelijk gebeurde: Dark patterns zijn illegaal maar overal

De wet zei dat websites toestemming nodig hadden.

Het zei ook dat toestemming "vrij gegeven" moet zijn — wat geen manipulatie, geen druk, geen misleidend ontwerp betekent.

Dark patterns zijn illegaal.

De AVG vereist expliciet dat toestemming "vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig" moet zijn. Dark patterns schenden al deze vereisten.

Europese Gegevensbeschermingsautoriteiten hebben bevestigd dat dark patterns de wet schenden. Ze hebben enorme boetes opgelegd:

Google: 90 miljoen euro voor asymmetrische toestemmingsstromen

Amazon: 746 miljoen euro voor het niet verkrijgen van vrij gegeven toestemming

Meta: 395 miljoen euro voor gedwongen toestemming

Waarom zie je ze dan nog overal?

Omdat handhaving inconsistent is. En studies tonen aan dat 56-77% van de websites nog steeds illegale dark patterns gebruikt.

Zo ziet dat eruit:

Dark pattern #1: De grote groene knop

╔══════════════════════════════════════╗
║  Wij waarderen je privacy            ║
║                                      ║
║  [       ALLES ACCEPTEREN        ]   ║  ← Groot, helder, duidelijk
║                                      ║
║  [Voorkeuren beheren]                ║  ← Klein, grijs, verborgen
╚══════════════════════════════════════╝

De "Alles accepteren"-knop is enorm, groen en zegt JA.

De "Weigeren"-optie is begraven in piepkleine tekst die "Voorkeuren beheren" zegt, wat je naar een tweede scherm brengt met 47 schakelaars die je individueel moet uitschakelen.

Niemand doet dat.

Dark pattern #2: De valse keuze

Wij gebruiken cookies om je ervaring te verbeteren!
[ Accepteren ] [ Niet-essentiële weigeren ]

Klinkt redelijk, toch?

Behalve dat "Accepteren" betekent "Accepteer ALLE tracking, advertenties en gegevensdeling."

En "Niet-essentiële weigeren" betekent "Schakel wat tracking uit maar niet alles, en je ervaring zal verslechteren."

Er is geen knop die in grote groene letters "Alles weigeren" zegt.

Dark pattern #3: De checkbox-muur

Je klikt op "Voorkeuren beheren" en ziet dit:

☐ Advertentiecookies (127 partners)
☐ Analytische cookies (43 partners)
☐ Sociale media cookies (18 partners)
☐ Functionele cookies (altijd actief)
☐ Prestatiecookies (91 partners)
☐ Targeting cookies (204 partners)

Ze zijn allemaal standaard aangevinkt.

Om ze te weigeren moet je:
1. Door deze lijst scrollen
2. Elke categorie vinden
3. Elk individueel uitvinken
4. Dan doorklikken naar "Leveranciers" (de 483 bedrijven)
5. Elke leverancier individueel uitvinken
6. Dan instellingen opslaan

Of je zou gewoon op "Alles accepteren" kunnen klikken.

Wat één klik kost.

Dark pattern #4: De schuldtrip

Wij gebruiken cookies om deze site GRATIS te houden voor jou! Door cookies te weigeren krijg je geen gepersonaliseerde inhoud, en moeten we misschien gaan vragen om te betalen voor toegang.

[ Ik begrijp het, Alles accepteren ] [ Weigeren en alles verpesten ]

Dit is emotionele manipulatie vermomd als informatie.

Het resultaat: Manipulatie werkt ondanks illegaliteit

Dit is wat er werkelijk gebeurt:

Acceptatiepercentages hangen volledig af van bannerontwerp:

Studies tonen aan:

Eerlijke banners met gelijke "Accepteren" en "Weigeren" knoppen: 45% weigeringspercentage

Manipulatieve banners die de weigeroptie verbergen: minder dan 10% weigeringspercentage

Een gedragsstudie uit 2024 die 1,2 miljoen gebruikers volgde vond:

25,4% accepteerde alle cookies

65,5% opende instellingen om aan te passen (maar slechts 28,3% sloeg daadwerkelijk wijzigingen op)

34% negeerde de banner volledig

Vertaling: Wanneer weigeren moeilijk wordt gemaakt, accepteren de meeste mensen of geven ze op.

Een andere studie van Amerikaanse consumenten vond dat 43% alle cookies accepteert — gedaald van 50% in 2021, wat toenemende weerstand tegen tracking toont.

Slechts 12% van de gebruikers leest cookiemeldingen. De rest wil gewoon dat de banner verdwijnt.

Het probleem is niet dat gebruikers niet om privacy geven.

81% van de Amerikanen zegt dat ze zich zorgen maken over hoe websites hun gegevens gebruiken.

Het probleem is dat dark patterns menselijke psychologie exploiteren.

Wanneer je geïrriteerd bent en gewoon een recept wilt lezen, klik je op wat de popup laat verdwijnen. Bedrijven weten dit. Ze ontwerpen hun illegale banners om dit te exploiteren.

Dus nu hebben we een situatie waarin:

Bedrijven illegale ontwerpen gebruiken maar het risico van handhaving laag is

Gebruikers het gevoel hebben dat ze "toestemming gaven" (hoewel toestemming verkregen door manipulatie juridisch niet geldig is)

Tracking plaatsvindt op vergelijkbare of hogere percentages dan voor de wet

Privacyvoorvechters kunnen beweren dat de wet bestaat

Iedereen wint behalve de gebruikers die de wet moest beschermen.

Wat "Accepteren" werkelijk betekent

Wanneer je op "Alles accepteren" klikt op die cookiebanner, is dit waar je mee akkoord gaat:

Directe tracking door:

Google Analytics

Google Ads

Facebook Pixel

Twitter tracking

TikTok Pixel

LinkedIn tracking

Amazon advertising

Microsoft Clarity

Tientallen advertentienetwerken

Gegevens die ze verzamelen:

Elke pagina die je bezoekt op die site

Hoe lang je op elke pagina blijft

Waar je muis zweeft

Waar je op klikt

Waar je vandaan kwam (referrer)

Je apparaattype, besturingssysteem, browser

Je geschatte locatie (IP-adres)

Je browsegeschiedenis (als ze cookies van andere sites hebben)

Wat ze ermee doen:

Gedragsprofielen bouwen

Je targeten met advertenties over het hele internet

Inzichten verkopen aan datahandelaren

Delen met "partners" (527 bedrijven in sommige gevallen)

Voor altijd bewaren tenzij je expliciet om verwijdering vraagt

Die receptenwebsite die je bezocht? De braadtijd van de kip die je opzocht?

Gelogd. Geprofileerd. Gemonetiseerd.

En je hebt met dit alles "ingestemd" met één klik.

Waarom browsers dit niet volledig hebben opgelost

Je denkt misschien: "Waarom blokkeren browsers niet gewoon standaard third-party cookies?"

Sommige doen dat. Safari blokkeert de meeste third-party cookies. Firefox heeft standaard Verbeterde Trackingbescherming ingeschakeld.

Chrome is anders.

Google kondigde voor het eerst in 2020 aan dat ze third-party cookies "binnen twee jaar" zouden uitfaseren.

Toen was het 2022. Toen 2023. Toen 2024.

In juli 2024 kondigde Google aan dat ze ze helemaal niet zullen blokkeren — in plaats daarvan voegen ze een "keuze"-prompt toe.

Waarom de vertragingen?

Omdat Google meer dan $200 miljard per jaar verdient aan advertenties.

En advertenties zijn afhankelijk van tracking.

Chrome heeft meer dan 65% wereldwijde browser marktaandeel. Third-party cookies blokkeren zou het advertentiebedrijf van Google enorm verstoren.

Dus blijven ze "alternatieven testen" en "feedback verzamelen" terwijl de tracking doorgaat.

Ondertussen klagen websites dat de trackingbescherming van Safari en Firefox "functionaliteit breekt" — hoewel de "gebroken" functionaliteit meestal gewoon advertentietracking is.

Wat dit voor jou betekent

Hier is de ongemakkelijke waarheid:

Het huidige systeem gaat ervan uit dat je te geïrriteerd zult zijn om jezelf te beschermen.

Cookiebanners zijn niet ontworpen om je te informeren. Ze zijn ontworpen om je zo snel mogelijk op "Alles accepteren" te laten klikken.

De privacybescherming waarvan je denkt dat je die hebt? Die hangt volledig af van:
1. Of je het geduld hebt om door dark patterns te navigeren
2. Of je begrijpt waarmee je akkoord gaat
3. Of je de website vertrouwt om je keuzes te respecteren
4. Of ze überhaupt de wet naleven (velen doen dat niet)

En zelfs als je cookies weigert op één site, moet je het opnieuw doen op de volgende site. En de volgende. En de volgende.

Het is vermoeiend by design.

Hoe je jezelf echt kunt beschermen

Als je tracking echt wilt controleren (niet alleen het gevoel hebben dat je dat doet), is dit wat werkt:

Optie 1: Privacygerichte browsers gebruiken

Firefox met Verbeterde Trackingbescherming
Safari met Intelligente Trackingpreventie
Brave met ingebouwde advertentie-/trackerblokkering

Deze blokkeren de meeste third-party tracking automatisch. Geen klikken nodig.

Optie 2: Browserextensies installeren

uBlock Origin (blokkeert advertenties en trackers)
Privacy Badger (leert en blokkeert trackers)
Cookie AutoDelete (verwijdert automatisch cookies wanneer je tabbladen sluit)

Deze geven je gedetailleerde controle zonder met banners te hoeven dealen.

Optie 3: Je cookie-instellingen wijzigen

In je browserinstellingen:

Third-party cookies volledig blokkeren
Cookies wissen wanneer je de browser sluit
Cookies instellen om na maximaal 30 dagen te verlopen

Je moet vaker inloggen, maar je wordt minder gevolgd.

Optie 4: Gewoon accepteren dat de meeste sites je volgen

Dit is niet defaitistisch — het is realistisch.

Tenzij je privacytools gebruikt, is de aanname dat je op de meeste websites wordt gevolgd waarschijnlijk juist.

De vraag wordt: vind je het belangrijk genoeg om actie te ondernemen?

Voor veel mensen is het antwoord nee. En dat is oké. Maak jezelf alleen niets wijs dat klikken op "Alles accepteren" je beschermt.

Het Snugg-verschil: Geen tracking betekent geen banner

Dit is waarom ik je dit allemaal vertel in een blogpost op de Snugg-website:

Wij hebben geen cookiebanner.

Je hebt misschien gemerkt dat toen je deze pagina laadde, er niets verscheen dat om toestemming vroeg.

Dat is niet omdat we de wet negeren.

Het is omdat we je echt niet volgen.

Geen Google Analytics. Geen Facebook Pixel. Geen advertentiecookies. Geen third-party trackers.

We gebruiken één first-party cookie voor sessiebeheer als je inlogt. Dat is alles.

Volgens de ePrivacy-richtlijn en AVG, als je alleen "strikt noodzakelijke" cookies gebruikt voor functionaliteit, heb je geen toestemmingsbanners nodig.

Je moet alleen gebruikers informeren over wat je doet (wat we doen in ons privacybeleid).

Dus hebben we er geen.

Dit is hoe privacy respecteren er werkelijk uitziet.

Geen banner met illegale dark patterns ontworpen om je te misleiden tot toestemming.

Gewoon... je niet volgen in de eerste plaats.

Wanneer we het sociale platform van Snugg bouwen, geldt hetzelfde principe: