Nederlandse gemeentewebsites
43% van de Nederlandse gemeentewebsites stuurt bezoekersdata naar externe bedrijven voordat inwoners iets te zeggen hebben.
We scanden de hoofdwebsite van 339 van de 342 Nederlandse gemeenten, tot 100 pagina’s per website in een schone browser, en maten wat er laadt voordat een bezoeker een keuze heeft gemaakt. De overige drie blokkeerden onze scan.
Open de website van een Nederlandse gemeente om een paspoort te vernieuwen, de afvalkalender te bekijken of een melding te doen, en op 43% van die websites stuurt al iets je gegevens naar een extern bedrijf voordat je ook maar iets met de cookiebanner hebt gedaan. We hebben de hoofdwebsite van de Nederlandse gemeenten gescand. Ook met een strenge lezing van de regels hebben 145 van de 339 websites die we konden scannen vóór toestemming minstens één duidelijke bevinding met hoog risico. Drie gemeentewebsites blokkeerden onze scan.
- 43% van de gemeentewebsites stuurt bezoekersdata naar externe bedrijven vóór toestemming. 145 van de 339 laden externe lettertypen, YouTube-embeds, analyse of trackingcookies voordat de bezoeker een keuze heeft gemaakt.
- Externe lettertypen zijn de grootste enkele oorzaak. 98 websites, 29%, laden lettertypen van een externe server. Bij 59 websites, 17% van alle, zijn lettertypen de enige reden voor een bevinding met hoog risico.
- YouTube is de tweede. 54 websites, 16%, embedden video’s op een manier die YouTube benadert zodra de pagina laadt, en 31 daarvan plaatsen een YouTube-trackingcookie voordat de bezoeker op play drukt.
- De meeste getroffen websites hebben maar één bevinding. 87 van de 145 getroffen websites, 60%, hebben één bevinding met hoog risico. Slechts 3 websites hebben er vijf of meer.
- Dit zit in de techniek, niet in advertenties. Slechts 7 websites, 2%, draaien vóór toestemming advertentie- of socialmediatrackers. In ons FMCG-onderzoek was dat 41%.
- Een consenttool zegt weinig. 35% gebruikt er een, en 58 van die 119 websites hebben toch een bevinding met hoog risico. Websites zonder tool doen het niet slechter: bij 40% is er een.
01Waarom we dit onderzoek deden
Gemeentewebsites zijn het digitale loket voor paspoorten, vergunningen, afvalinzameling en uitkeringen. Inwoners kunnen niet een andere gemeente kiezen, dus ook geen website die anders met hun gegevens omgaat. Dat geeft gemeenten een bijzondere verantwoordelijkheid voor wat hun website naar anderen stuurt.
Daarom hebben we gemeten wat er gebeurt voordat iemand iets kiest. Niet op één website, maar over de hele groep, zodat zichtbaar wordt hoe vaak het voorkomt en waar het misgaat. Het meeste wat we vonden is niet opzettelijk. Een lettertype dat van de verkeerde plek laadt, een video-embed uit een nieuwsbericht, een tag die niemand heeft verwijderd. Dat los je niet op met een boete. Dat los je op met inzicht.
Het onderzoek omvat alle 342 Nederlandse gemeenten. Van 339 daarvan hebben we de hoofdwebsite gescand. De overige drie blokkeerden onze scan. Per gemeente scanden we de hoofdwebsite op .nl, openden tot 100 pagina’s in een schone browsersessie, klikten nergens op en legden elk verzoek, elke cookie en elk lettertype vast dat laadde voordat een bezoeker kon kiezen. Hoe we hebben geselecteerd en ingedeeld staat op het tabblad Methodologie. We publiceren geen gemeentenamen.
In maart 2026 rapporteerden we voor het eerst over deze groep, met een bredere maat: websites die diensten van grote techbedrijven laden, 61%. Die maat telde ook embeds en diensten mee die we nu als mogelijk risico indelen. Deze pagina gebruikt de indeling die we voor al het onderzoek van de Website Privacy Index hanteren en telt alleen wat hoog risico is. Daarom is het kopcijfer lager: 43%.
02Hoe vaak het voorkomt
Van de 339 websites hebben er 145 vóór toestemming minstens één bevinding met hoog risico: 43%. Nog eens 26,8% heeft alleen bevindingen met mogelijk risico, 29,2% alleen items met laag risico en 1,2% is helemaal schoon. We zijn bewust streng in wat we hoog risico noemen, dus dit is een voorzichtig cijfer. De definitie staat op het tabblad Methodologie.
De gemiddelde gemeentewebsite heeft 0,7 bevindingen met hoog risico. Bij de websites die erdoor geraakt worden is dat gemiddeld 1,6. Het beeld is het tegenovergestelde van een lange staart: het is een korte lijst oorzaken die steeds terugkomt.
Percentages zijn afgerond. Kolommen met een heel klein aandeel zijn met een minimale hoogte getekend.
Bij 60% van de getroffen websites, 87 van de 145, is er precies één bevinding. Slechts 3 websites hebben er vijf of meer, en het hoogste aantal is zeven. Voor de meeste gemeenten is de oplossing één aanpassing, geen project.
03Waar de data naartoe gaat
Externe lettertypen staan bovenaan. Op 98 websites wordt een lettertype van een externe server geladen, en in 97 gevallen is dat Google Fonts. Wanneer een lettertype van een externe server wordt geladen, ontvangt die server het IP-adres van de bezoeker. Een rechter in München oordeelde in 2022 dat dit zonder toestemming onrechtmatig is als de website het lettertype ook zelf kan hosten. Op 59 websites is een lettertype de enige reden voor een bevinding met hoog risico.
YouTube volgt. Op 54 websites is een video ingesloten met de standaard YouTube-code, die YouTube benadert zodra de pagina laadt. Op 31 daarvan wordt ook een trackingcookie geplaatst die de bezoeker maandenlang kan herkennen, voordat iemand op play heeft gedrukt. Nog eens 81 websites gebruiken de privacyvriendelijke embed van YouTube, die we als mogelijk risico indelen in plaats van hoog risico.
Google Analytics-metingen worden vóór toestemming verstuurd op 33 websites, 10%, en een meting voor de advertentiesystemen van Google op 5. Op 33 websites plaatst een ander bedrijf een trackingcookie: YouTube op 31 en LinkedIn op 2.
Een website kan onder meer dan één type vallen. Typen met een heel klein aandeel zijn met een minimale breedte getekend.
De mix van bevindingen verschilt per website. 41% van de getroffen websites is alleen gemarkeerd vanwege externe lettertypen. 21% alleen vanwege diensten zoals YouTube-embeds of analyse. De overige 38% combineert twee of meer oorzaken, en 23% van alle getroffen websites heeft ook een trackingcookie.
Percentages zijn afgerond en tellen op tot iets meer dan 100.
De grootste groep is ook de makkelijkst op te lossen. Een website die alleen vanwege lettertypen hoog risico is, verandert de uitkomst door die lettertypen zelf te hosten.
04Advertenties en social media
Op slechts 7 websites, 2%, is vóór toestemming een advertentie- of socialmediatracker of -cookie actief: de advertentiesystemen van Google, LinkedIn, Meta, X en Microsoft. Onder de EU-regels is advertentie nooit strikt noodzakelijk, dus elk van deze is een duidelijk geval. Maar het aantal is klein.
Dat is het scherpste verschil met commerciële websites. Gemeenten voeren geen advertentiecampagnes. Het risico zit in de techniek: lettertypen, video-embeds en metingen. In ons FMCG-onderzoek had 41% van de websites vóór toestemming een advertentie- of socialmediatracker actief.
05De consenttool
35% van deze websites, 119 van de 339, gebruikt een vorm van consenttool. CookieYes zit op 27 daarvan en Cookiebot op 4. Bij 88 websites konden we de tool niet identificeren, waaronder tools die intern zijn gebouwd. De overige 220 websites, 65%, hebben helemaal geen consenttool.
Op 58 van de 119 websites met een tool is er nog steeds een bevinding met hoog risico voordat de bezoeker de banner beantwoordt. Een banner hebben is niet hetzelfde als een banner die iets tegenhoudt.
Het aandeel websites met een bevinding met hoog risico zegt nauwelijks of er een tool aanwezig is. Van de 31 websites met CookieYes of Cookiebot hebben er 27 een bevinding met hoog risico. Van de 88 met een tool die we niet konden identificeren zijn het er 31, 35%. En van de 220 websites zonder consenttool zijn het er 87, 40%. De groep met een benoemde tool is klein, dus we rangschikken geen producten, en we kunnen van buitenaf niet zeggen waarom het cijfer hoog is. De cijfers laten wel zien dat een banner weinig zegt over wat erachter laadt.
Er is een tweede lezing. Van de 220 websites zonder consenttool hebben er 133 helemaal geen bevinding met hoog risico. Zij hoeven geen toestemming te vragen, omdat ze niets laden waarvoor dat nodig is. Een banner is alleen nodig als er iets is om toestemming voor te vragen.
06Wat de schone websites gemeen hebben
194 websites, 57%, hebben vóór toestemming geen bevinding met hoog risico. Die groep laat zien dat het kan, en de manier is alledaags. Lettertypen en iconenbibliotheken komen van het eigen domein van de gemeente. Video’s gebruiken de privacyvriendelijke embed, zoals 81 websites in dit onderzoek doen, of laden pas na een klik. En analyse loopt via een verwerker, zoals op 75 websites, in plaats van metingen naar Google te sturen.
Slechts 4 websites zijn helemaal schoon, zonder zelfs maar een item met laag of mogelijk risico. Bijna elke gemeentewebsite laadt iets van buiten, zoals een toegankelijkheidstool of een videospeler. Daarom scheiden we wat hoog risico is van wat alleen het nakijken waard is.
07Wat het betekent en wat je kunt doen
Toezichthouders handhaven precies dit patroon. In Nederland houdt de Autoriteit Persoonsgegevens ongeveer 10.000 websites in de gaten, wil ze per jaar 500 organisaties waarschuwen over hun cookiebanners en start ze onderzoeken naar organisaties die dat niet herstellen. Een gemeente is een overheidsorgaan en inwoners kunnen niet naar een andere.
Het goede nieuws is dat dit een korte lijst is. Drie groepen kunnen met dit onderzoek aan de slag.
Privacy officer
Neem het bestaan van een banner niet aan als bewijs. Vraag om een test in een schone browsersessie die laat zien wat er laadt voordat een bezoeker kiest.
Herhaal die test na elke release, want één nieuwe embed is genoeg om het ongedaan te maken.
Communicatie en webredacteuren
Gebruik de privacyvriendelijke YouTube-embed of laad video’s pas na een klik. Check ook oudere nieuwsberichten, want daar verstoppen embeds zich.
Haal tags en widgets weg die niemand gebruikt.
IT en leveranciers
Host lettertypen en iconenbibliotheken op je eigen domein. Bij 59 websites in dit onderzoek haalt dat alleen al de bevinding met hoog risico weg.
Draait je website op een platform dat ook andere gemeenten gebruiken? Vraag de leverancier het één keer voor iedereen op te lossen.
Benieuwd waar je eigen website staat? Doe een gratis privacyscan van je website en zie wat er gebeurt voordat je bezoekers iets te kiezen hebben. En werk je bij een gemeente en wil je weten hoe jouw website het deed? Dan kun je onderaan het tabblad Bevindingen je vertrouwelijke resultaat opvragen. We delen dat alleen met de gemeente zelf.
Slechts 31 websites gebruiken een benoemde tool, dus we rangschikken de tools niet. De uitkomst zegt hoe een tool op deze websites is ingesteld, niet hoe goed het product is.
Selectie
Het onderzoek omvat alle 342 Nederlandse gemeenten. Per gemeente hebben we de hoofdwebsite op .nl gescand. 339 websites hebben we gescand. De overige drie blokkeerden onze scan. We publiceren de selectiecriteria. We publiceren geen gemeentenamen.
Methode
Van elke website hebben we tot 100 pagina’s geopend, te beginnen bij de homepage, vanaf een Europese locatie in een schone browsersessie met lege cache en zonder opgeslagen cookies. We hebben nergens op geklikt en elk verzoek, elke cookie en elk lettertype vastgelegd dat laadde voordat de bezoeker een keuze maakte. De scans liepen in maart 2026 met de Nixon scanner.
Indeling
Elke bevinding wordt beoordeeld volgens onderstaande regels.
Hoog risico
Voordat de bezoeker een keuze heeft gemaakt gaat data naar een partij die die gebruikt voor advertenties, social media of eigen analyse, wordt een trackingcookie van een derde geplaatst, of wordt een lettertype van een externe server geladen.
Mogelijk risico
Kan zijn toegestaan, afhankelijk van een inrichting die we van buitenaf niet kunnen zien: analyse of monitoring door een verwerker, beveiliging zoals reCAPTCHA, of functionele diensten zoals chat en video.
Laag risico
De consenttool, tagmanagers, de eigen hosting van de website en strikt noodzakelijke cookies. Telt niet mee als bevinding.
Eerdere publicatie
In maart 2026 rapporteerden we voor het eerst over deze groep, met een andere maat: het aandeel websites dat vóór toestemming diensten van grote techbedrijven laadt, 61%. Die maat omvatte embeds en diensten die we nu als mogelijk risico indelen. Deze pagina past dezelfde indeling toe als al het andere onderzoek van de Website Privacy Index, daarom is het kopcijfer 43%.
Wat we niet hebben gemeten
- Alleen openbare pagina’s. Geen ingelogde omgevingen, geen klantportalen, geen apps.
- Tot 100 pagina’s per website, niet de hele website.
- Eén moment in de tijd. Websites veranderen.
- Wat derde partijen met de data doen nadat ze die hebben ontvangen.
- Of er bijzondere persoonsgegevens in het spel zijn. Onze scanner kan dat niet zien.
Beperkingen
Elke meting via een browser is een ondergrens. Wat we niet hebben waargenomen is geen bewijs dat het niet gebeurt. De drie websites die onze scan blokkeerden konden we niet beoordelen. We stellen ook geen onrechtmatigheid vast. We meten wat er gebeurt en leggen de regel ernaast. Dat oordeel is aan een toezichthouder of een rechter.
Onafhankelijkheid
Nixon Digital verkoopt software die precies de problemen opspoort en oplost die dit onderzoek meet. We zijn geen neutrale partij en doen ook niet alsof. Dit onderzoek is volledig door ons gefinancierd en door niemand besteld. Daarom publiceren we de methode en de totaalcijfers openlijk: je moet ons werk kunnen controleren in plaats van ons op ons woord te geloven.
Citeren als: Nixon Digital, Website Privacy Index, Nederlandse gemeentewebsites (gescand in maart 2026).
Totaalcijfers en methode zijn beschikbaar onder CC BY 4.0. Data per gemeente wordt niet gepubliceerd.
Vragen over de methode, of benieuwd naar je eigen website? Vraag je vertrouwelijke resultaat op als je bij een gemeente werkt, of doe een gratis privacyscan van je website.
Veelgestelde vragen
Wat is tracking vóór toestemming?
Het betekent dat een gemeentewebsite data naar externe bedrijven stuurt, of niet-noodzakelijke cookies plaatst, voordat de bezoeker een keuze heeft gemaakt. Typische voorbeelden zijn lettertypen die van een externe server worden geladen, een standaard YouTube-embed die YouTube benadert zodra de pagina laadt, en analysemetingen die naar Google gaan.
Houdt een cookiebanner tracking vóór toestemming tegen?
Niet automatisch. Een consenttool blokkeert alleen wat hij is ingesteld te blokkeren. In dit onderzoek gebruikt 35% van de gemeentewebsites een consenttool, en bij 58 van die 119 is er toch een bevinding met hoog risico. Websites zonder tool doen het niet slechter: bij 40% daarvan is er een.
Wat geldt als tracking met hoog risico op een website?
We noemen iets hoog risico wanneer, voordat de bezoeker een keuze heeft gemaakt, data gaat naar een partij die die gebruikt voor advertenties, social media of eigen analyse, een trackingcookie van een derde wordt geplaatst of een lettertype van een externe server wordt geladen. Diensten die onder omstandigheden zijn toegestaan, zoals de privacyvriendelijke YouTube-embed, vallen onder mogelijk risico en tellen niet mee.
Mag Google Fonts zonder toestemming?
Een rechter in München oordeelde in 2022 dat het laden van Google Fonts vanaf de servers van Google zonder toestemming onrechtmatig is wanneer het lettertype ook op de eigen server van de website kan staan. Op 98 van de 339 gemeentewebsites, 29%, wordt vóór toestemming een lettertype van een externe server geladen. De oplossing is de lettertypebestanden op het eigen domein van de gemeente te hosten.
Is tracking vóór toestemming in strijd met de AVG?
Dat oordelen wij niet. We meten wat er gebeurt en leggen de regels ernaast. In de EU geldt advertentie nooit als strikt noodzakelijk, en in andere gevallen hangt het af van de inrichting, die we van buitenaf niet kunnen zien. Of iets rechtmatig is, is aan een toezichthouder of een rechter. In Nederland is dat de Autoriteit Persoonsgegevens.
Hoe controleer ik wat mijn website laadt vóór toestemming?
Doe een gratis privacyscan van je website. Die opent je pagina's in een schone browsersessie, zoals dit onderzoek deed, en laat zien wat er laadt voordat een bezoeker een keuze heeft gemaakt. Werk je bij een gemeente? Dan kun je onderaan het tabblad Bevindingen ook je vertrouwelijke resultaat opvragen.
Zit jouw gemeente in dit onderzoek?
We publiceren alleen totaalcijfers en noemen nooit gemeenten. Werk je bij een gemeente en wil je weten hoe jouw website het deed? Vraag dan je vertrouwelijke resultaat op. We delen het alleen met de gemeente zelf.
Waar staat jouw website?
Scan je website en zie elk probleem met privacycompliance voordat een toezichthouder het ziet.