Genomineerden Website van het Jaar
80% van de genomineerde websites voor Website van het Jaar stuurt bezoekersdata naar externe bedrijven vóór toestemming.
578 websites zijn genomineerd voor Website van het Jaar 2026. 494 daarvan hebben we gescand, drie pagina’s per website, zonder ergens op te klikken, en we hebben gemeten wat er laadt voordat een bezoeker een keuze heeft gemaakt. De overige 84 blokkeerden onze scan.
Dit zijn de websites waar mensen op stemmen: 578 genomineerden voor Website van het Jaar 2026, van supermarkten en voetbalclubs tot verzekeraars en nieuwssites. 494 van die websites hebben we gescand, drie pagina’s per website, zonder ergens op te klikken, ook niet op de cookiebanner. De overige 84 blokkeerden onze scan. Op 397 van de gescande websites, 80%, vonden we vóór toestemming minstens één bevinding met hoog risico. 88% van alle gescande websites gebruikt een consenttool.
- 80% van de genomineerde websites stuurt bezoekersdata naar externe bedrijven vóór toestemming. 397 van de 494 hadden minstens één bevinding met hoog risico voordat de bezoeker een keuze had gemaakt.
- Een consenttool is geen garantie. 88% van de websites gebruikt er een, en bij 84% daarvan, 366 websites, was er toch een bevinding met hoog risico. Websites zonder tool: 54%.
- 86% stuurt data naar grote techbedrijven vóór toestemming. Google, Meta, Microsoft, LinkedIn en vergelijkbare partijen ontvingen data van 425 websites voordat de bezoeker iets had gekozen.
- Lettertypen en Google-metingen staan bovenaan. 49% laadt een lettertype van een externe server, 49% stuurt een meting naar de advertentiesystemen van Google en 41% stuurt een Google Analytics-meting.
- 59% draait advertentie- of socialmediatrackers. Dat zijn 290 websites, en 95% daarvan gebruikt ook een consenttool.
- Vaak is het meer dan één bevinding. 113 websites, 23%, hebben vijf of meer bevindingen met hoog risico, en 38 hebben er tien of meer.
01Waarom we dit onderzoek deden
De genomineerden voor Website van het Jaar zijn de websites die mensen echt gebruiken en waarderen: banken, webwinkels, omroepen, aanbieders van alledaagse diensten. Als iemand de basis op orde heeft, verwacht je dat hier.
Daarom hebben we gemeten wat er gebeurt voordat een bezoeker iets kiest, voor de hele groep in plaats van voor één website. Dit is geen ranglijst van de genomineerden en het zegt niets over wie de prijs verdient. We noemen geen websites. We meten wat er laadt en leggen de regels ernaast.
Er zijn 578 websites genomineerd in meer dan 40 categorieën. 494 daarvan hebben we gescand. De overige 84 blokkeerden onze scan, dus daarover kunnen we niets zeggen. Hoe we hebben gescand en ingedeeld staat op het tabblad Methodologie.
02Hoe vaak het voorkomt
Van de 494 websites hebben er 397 vóór toestemming minstens één bevinding met hoog risico: 80%. Nog eens 17% heeft alleen bevindingen met mogelijk risico, 1% alleen items met laag risico en 8 websites, 1,6%, bleken helemaal schoon. We zijn streng in wat we hoog risico noemen, dus dit is een voorzichtig cijfer. De definitie staat op het tabblad Methodologie.
De gemiddelde website heeft 3,5 bevindingen met hoog risico. Bij de websites die erdoor geraakt worden is dat gemiddeld 4,4. 20% van de websites heeft er geen. Aan de andere kant hebben 113 websites er vijf of meer, en het hoogste aantal dat we zagen was 51.
Percentages zijn afgerond en tellen niet precies op tot 100.
03Waar de data naartoe gaat
Externe lettertypen staan bovenaan. Op 243 websites, 49%, laadt vóór toestemming een lettertype van een externe server, en die server ontvangt het IP-adres van de bezoeker. Een rechter in München oordeelde in 2022 dat dit zonder toestemming onrechtmatig is als de website het lettertype ook zelf kan hosten. Bij 64 websites, 13% van alle, is een lettertype de enige reden dat ze hoog risico zijn.
Google volgt dicht erachter. Op 240 websites, 49%, ging vóór toestemming een meting naar de advertentiesystemen van Google, en op 205, 41%, een Google Analytics-meting. Veel daarvan komen binnen via de toestemmingsmodus (consent mode) van Google. Dan is er geen cookie, maar het IP-adres, het apparaat en de pagina waarop de bezoeker zit gaan nog wel mee.
Op 85 websites, 17%, plaatste een ander bedrijf vóór toestemming een trackingcookie. Meta zit op 63 websites, 13%, en Clarity, de analysetool van Microsoft, op 60, 12%.
Een website kan onder meer dan één type vallen. De tien meest voorkomende typen staan in de grafiek.
Hier zitten een paar oorzaken achter. Bij 64 websites, 16% van de websites met hoog risico, is een lettertype de enige reden. Bij nog eens 43, 11%, gaat het om een andere dienst zonder advertentie of social media. Bij 290 websites, 73% van de websites met hoog risico, speelt een advertentie- of socialmediatracker mee.
04Advertenties en social media
290 websites, 59%, hadden een advertentie- of socialmediatracker of -cookie actief voordat de bezoeker iets had gekozen. Advertenties zijn onder de EU-regels nooit strikt noodzakelijk, dus daarvoor is altijd eerst een ja nodig.
Het gaat veel verder dan de grote namen. Meta zit op 13% van de websites, Microsoft Advertising op 11%, Google AdSense op 4%, TikTok op 3%, en een lange staart aan ad-techpartijen zoals AppNexus en PubMatic op 2% tot 3% elk. Bijna al deze websites hebben wel een consenttool: 275 van de 290, 95%. De vraag is dus niet of er een banner is. De vraag is wat die banner daadwerkelijk tegenhoudt.
05De consenttool
437 van de 494 websites, 88%, gebruiken een consenttool. We verwachtten dat die er beter voor zouden staan. Dat was niet zo: bij 366 daarvan, 84%, was er toch een bevinding met hoog risico voordat de bezoeker de banner beantwoordde.
De 57 websites zonder consenttool deden het beter: bij 31 daarvan, 54%, was er een bevinding met hoog risico. We zien alleen het resultaat en niet de instellingen erachter, dus we kunnen niet zeggen waarom. Een banner die een seconde te laat laadt, of een tool die maar een deel blokkeert van wat de website draait, kan allebei de oorzaak zijn.
Welke tool een website draait maakt weinig uit voor het beeld. Van de 269 websites met een benoemde tool had 87% een bevinding met hoog risico. Van de 168 met een tool die we niet konden identificeren 78%. We rangschikken de producten niet, want wat we meten is hoe een tool op een website is ingesteld, niet hoe goed het product is.
06Welke categorieën er het best en het slechtst voor staan
We hebben de genomineerden ingedeeld naar de eigen categorieën van de wedstrijd. Bij casino’s en loterijen en bij websites voor gezin en kinderen had elke gescande website een bevinding met hoog risico. Goede doelen en ngo’s volgen met 94%, voetbalclubs en audio met 93%. Aan de andere kant komen verzekeraars uit op 30%, AI en generatieve tools op 50% en financiële apps op 55%.
Groepen van een tiental websites geven slechts een indicatie. Dat geldt nog sterker voor categorieën waar veel websites onze scan blokkeerden, zoals nieuws, waar 10 van de 18 websites onze scan blokkeerden.
Een selectie van categorieën met minstens 10 gescande websites, van hoog naar laag.
07Wat het betekent en wat je kunt doen
Toezichthouders handhaven precies dit patroon. In Nederland houdt de Autoriteit Persoonsgegevens ongeveer 10.000 websites in de gaten, wil ze per jaar 500 organisaties waarschuwen over hun cookiebanners en start ze onderzoeken naar organisaties die dat niet herstellen. Populair of geliefd zijn verandert niets aan wat een website laadt voordat een bezoeker kiest.
Voor de meeste websites is de oplossing geen nieuwe tool. Het is uitzoeken wat de bestaande tool tegenhoudt. Drie groepen kunnen met dit onderzoek aan de slag.
Privacy officer
Neem het bestaan van een banner niet aan als bewijs. Vraag om een test in een schone browsersessie die laat zien wat er laadt voordat een bezoeker kiest.
Herhaal die test na elke release en na elke nieuwe marketingtag.
Marketing en webredacteuren
Loop alle pixels en tags na die in de loop der jaren zijn toegevoegd. Advertentie- en socialmediatags zijn in dit onderzoek de grootste oorzaak.
Zorg dat elke tag pas afgaat nadat de bezoeker ja heeft gezegd.
IT en bureaus
Host lettertypen op je eigen domein. Bij 64 websites in dit onderzoek haalt dat alleen al de bevinding met hoog risico weg.
Test de instellingen van de consenttool, niet alleen of er een banner verschijnt.
Benieuwd waar je eigen website staat? Doe een gratis privacyscan van je website en vergelijk de uitkomst met deze cijfers. En was jouw website genomineerd en wil je weten hoe die het deed? Dan kun je onderaan het tabblad Bevindingen je vertrouwelijke resultaat opvragen. We delen dat alleen met de organisatie zelf.
We rangschikken de tools niet. De uitkomst zegt hoe een tool op deze websites is ingesteld, niet hoe goed het product is.
Selectie
Het onderzoek omvat de websites die zijn genomineerd voor Website van het Jaar 2026: 578 websites in meer dan 40 categorieën. De selectie is gemaakt door de wedstrijd, niet door ons. 494 websites hebben we gescand. De overige 84 blokkeerden onze scan en konden we niet beoordelen. We publiceren de selectiecriteria. We publiceren geen websitenamen.
Methode
Van elke website hebben we drie pagina’s geopend, te beginnen bij de homepage, vanaf een Europese locatie in een schone browsersessie met lege cache en zonder opgeslagen cookies. We hebben nergens op geklikt en hebben elk verzoek, elke cookie en elk lettertype vastgelegd dat laadde voordat de bezoeker een keuze maakte. De scans liepen op 21 en 22 oktober 2026 met de Nixon scanner.
Indeling
Elke bevinding wordt beoordeeld volgens onderstaande regels.
Hoog risico
Voordat de bezoeker een keuze heeft gemaakt gaat data naar een partij die die gebruikt voor advertenties, social media of eigen analyse, wordt een trackingcookie van een derde geplaatst, of wordt een lettertype van een externe server geladen.
Mogelijk risico
Kan zijn toegestaan, afhankelijk van een inrichting die we van buitenaf niet kunnen zien: analyse of monitoring door een verwerker, beveiliging zoals reCAPTCHA, of functionele diensten zoals chat en video.
Laag risico
De consenttool, tagmanagers, de eigen hosting van de website en strikt noodzakelijke cookies. Telt niet mee als bevinding.
Wat we niet hebben gemeten
- Drie pagina’s per website, niet de hele website. Geen ingelogde omgevingen of apps.
- Eén moment in de tijd. Websites veranderen.
- Wat derde partijen met de data doen nadat ze die hebben ontvangen.
- Of er bijzondere persoonsgegevens in het spel zijn. Onze scanner kan dat niet zien.
Beperkingen
Elke meting via een browser is een ondergrens. Wat we niet hebben waargenomen is geen bewijs dat het niet gebeurt. Websites die onze scan blokkeerden konden we niet beoordelen, dus de resultaten gaan over de 494 websites die we konden lezen. Categorieën met minder dan 10 gescande websites, of met veel websites die onze scan blokkeerden, geven slechts een indicatie. We stellen ook geen onrechtmatigheid vast. We meten wat er gebeurt en leggen de regel ernaast. Dat oordeel is aan een toezichthouder of een rechter.
Onafhankelijkheid
Nixon Digital verkoopt software die precies de problemen opspoort en oplost die dit onderzoek meet. We zijn geen neutrale partij en doen ook niet alsof. Dit onderzoek is volledig door ons gefinancierd en door niemand besteld. Daarom publiceren we de methode en de totaalcijfers openlijk: je moet ons werk kunnen controleren in plaats van ons op ons woord te geloven.
Citeren als: Nixon Digital, Website Privacy Index, genomineerden Website van het Jaar (gescand in oktober 2026).
Totaalcijfers en methode zijn beschikbaar onder CC BY 4.0. Data per website wordt niet gepubliceerd.
Vragen over de methode, of benieuwd naar je eigen website? Vraag je vertrouwelijke resultaat op als je website genomineerd was, of doe een gratis privacyscan van je website.
Veelgestelde vragen
Wat is tracking vóór toestemming?
Het betekent dat een website data naar externe bedrijven stuurt, of niet-noodzakelijke cookies plaatst, voordat de bezoeker een keuze heeft gemaakt. Typische voorbeelden zijn een meting van Google Analytics of van advertentiesystemen, een lettertype dat van een externe server wordt geladen, of een trackingcookie van een ander bedrijf.
Houdt een cookiebanner tracking vóór toestemming tegen?
Niet automatisch. Een consenttool blokkeert alleen wat hij is ingesteld te blokkeren. In dit onderzoek gebruikt 88% van de websites een consenttool, en bij 84% daarvan was er toch een bevinding met hoog risico voordat de bezoeker de banner beantwoordde. Websites zonder tool: 54%.
Wat geldt als tracking met hoog risico op een website?
We noemen iets hoog risico wanneer, voordat de bezoeker een keuze heeft gemaakt, data gaat naar een partij die die gebruikt voor advertenties, social media of eigen analyse, een trackingcookie van een derde wordt geplaatst of een lettertype van een externe server wordt geladen. Diensten die onder omstandigheden zijn toegestaan, zoals analyse door een verwerker, vallen onder mogelijk risico en tellen niet mee.
Mag Google Fonts zonder toestemming?
Een rechter in München oordeelde in 2022 dat het laden van Google Fonts vanaf de servers van Google zonder toestemming onrechtmatig is wanneer het lettertype ook op de eigen server van de website kan staan. Op 243 van de 494 websites, 49%, wordt vóór toestemming een lettertype van een externe server geladen. De oplossing is de lettertypebestanden op je eigen domein te hosten.
Is tracking vóór toestemming in strijd met de AVG?
Dat oordelen wij niet. We meten wat er gebeurt en leggen de regels ernaast. In de EU geldt advertentie nooit als strikt noodzakelijk, en in andere gevallen hangt het af van de inrichting, die we van buitenaf niet kunnen zien. Of iets rechtmatig is, is aan een toezichthouder of een rechter. In Nederland is dat de Autoriteit Persoonsgegevens.
Hoe controleer ik wat mijn website laadt vóór toestemming?
Doe een gratis privacyscan van je website. Die opent je pagina's in een schone browsersessie, zoals dit onderzoek deed, en laat zien wat er laadt voordat een bezoeker een keuze heeft gemaakt. Was je website genomineerd? Dan kun je onderaan het tabblad Bevindingen ook je vertrouwelijke resultaat opvragen.
Was jouw website genomineerd?
We publiceren alleen totaalcijfers en noemen nooit websites. Was jouw website genomineerd en wil je weten hoe die het deed? Vraag dan je vertrouwelijke resultaat op. We delen het alleen met de organisatie zelf.
Waar staat jouw website?
Scan je website en zie elk probleem met privacycompliance voordat een toezichthouder het ziet.