Nixon vindt bij 68 procent van Europese merkwebsites een hoog privacyrisico
Het Nederlandse privacybureau Nixon Digital heeft 200 bekende Europese merkwebsites in de levensmiddelen- en persoonlijke verzorgingsbranche gescand en bij 68 procent een hoog privacyrisico gevonden. Acht op de tien sites stuurt bezoekersdata naar Google, Meta, LinkedIn of andere technologiebedrijven voordat de bezoeker een keuze in de cookiebanner heeft gemaakt. Negen op de tien gebruikt wél een consent-tool.
Nixon publiceerde de eerste editie van zijn Privacy Index op 12 oktober 2026. De scans liepen van augustus tot oktober 2026 en betroffen uitsluitend de FMCG-sector; van de elf sectoren in het onderzoeksopzet is deze als eerste doorgelicht.
De verdeling is scherp. Van de tweehonderd sites valt 68 procent in de categorie hoog risico, 24,5 procent in potentieel risico, 5 procent in laag risico en 2,5 procent toont geen gevonden risico. Nixon noemt geen merknamen en kiest uitdrukkelijk niet voor naming and shaming.
De kern van de bevinding zit in de combinatie: “Consent tools are everywhere in FMCG. Tracking before consent still is too”, vat Nixon samen in zijn eigen rapport.
184 sites met een cookietool, 126 die er langs lekken
De onderliggende cijfers maken duidelijk waar het misgaat. Van de 200 sites gebruiken 184 een cookietool, meestal OneTrust of Cookiebot. Bij 126 van die 184 gaat er toch al data weg voordat de banner is beantwoord.
Specifiek vond Nixon Google Analytics op 75 sites en Google-advertentiemeting op 52 sites, waarvan 44 zonder toestemmingssignaal. Op 39 sites gingen er consentmodus-pings uit zonder dat er cookies werden geplaatst. Advertentie- of socialtrackers van Meta, LinkedIn, TikTok of Microsoft stonden op 82 sites, en 19 sites hadden YouTube-embeds die cookies plaatsen voordat er iets wordt afgespeeld.
Het bureau deed eerder vergelijkbaar onderzoek naar alle 342 Nederlandse gemeentewebsites en naar de websites van Nederlandse politieke partijen, en gebruikt daarvoor zijn eigen tools Nixon Pro en Tracker Checker.
Een banner plaatsen is niet hetzelfde als toestemming regelen
Het patroon dat uit het onderzoek spreekt, is herkenbaar voor veel Nederlandse websites. Een consent-tool wordt ingebouwd en daarmee lijkt de kwestie afgehandeld, terwijl scripts die al eerder in de pagina stonden onverminderd afvuren zodra de pagina laadt.
Dat is geen fout in de cookietool maar in de implementatie: tags moeten daadwerkelijk achter het toestemmingssignaal worden gezet, en embeds van derden moeten pas na een keuze laden. Juist embeds en meetpixels die via marketingafdelingen zijn toegevoegd, vallen buiten het beeld van wie de banner heeft ingericht.
Duiding: dit is te controleren zonder bureau
Een concrete kans voor Nederlandse ondernemers is dat dit type fout goedkoop op te sporen is. Open de eigen site in een nieuw browserprofiel, bekijk in het netwerkpaneel welke verzoeken naar externe domeinen gaan vóórdat de banner is beantwoord, en vergelijk dat met wat de cookietool belooft. Wie webshops of merkensites voor klanten beheert, heeft hiermee bovendien een concreet gespreksonderwerp en een dienst om aan te bieden.
Het risico is reputatie- en handhavingsrisico tegelijk. Gegevens die voor toestemming naar advertentieplatforms gaan, zijn precies waar de Autoriteit Persoonsgegevens op let, en de bewijslast ligt bij de websitehouder. Tegelijk gaat het hier om een steekproef van 200 sites in één sector, uitgevoerd door een partij die zelf scansoftware verkoopt. Dat maakt de cijfers geen onafhankelijke nulmeting, maar de onderliggende bevinding is zelf na te lopen. Dit is redactionele duiding.