Het rapportcijfer is een gewogen gemiddelde van vier onderdelen: Tracking & Cookies (40%), Cookiebanner & Consent (30%), Technische Implementatie (15%) en Privacy Officer & Transparantie (15%). Het cijfer kan stijgen als een scan na het weigeren van cookies bevestigt dat de cookiebanner correct werkt. Een ontbrekende Privacy Officer weegt alleen mee bij websites met signalen van een grote organisatie (bijv. een vermeld aantal medewerkers) — de AVG verplicht een FG immers vooral bij grootschalige verwerking, niet bij een kleine ondernemer.

Cookies zijn kleine tekstbestanden die een website op jouw computer, telefoon of tablet opslaat wanneer je de site bezoekt. Ze werden in 1994 uitgevonden door Netscape-programmeur Lou Montulli als technische oplossing om webwinkels een winkelwagen te geven — het internet had namelijk geen "geheugen" tussen pagina's.

Er bestaan verschillende soorten cookies, en niet allemaal zijn ze schadelijk:

Waarom kunnen cookies schadelijk zijn?

Op zichzelf is een cookie een onschuldig tekstbestandje. Het gevaar zit in wat ermee gedaan wordt:

• Profiel opbouwen: Door tracking-cookies van derden (third-party cookies) wordt een schaduwprofiel van jou opgebouwd — welke sites je bezoekt, wat je koopt, waar je zoekt — zonder dat je dat weet.
• Geen controle: Veel websites plaatsen cookies vóór je toestemming geeft, in strijd met de AVG en de ePrivacy-richtlijn (Telecommunicatiewet in Nederland).
• Prijsdiscriminatie: Online winkels kunnen cookies gebruiken om je eerdere bezoeken te herkennen en hogere prijzen te tonen.
• Data-lekken: Hoe meer partijen jouw data verzamelen, hoe groter de kans dat het bij een datalek op straat belandt.
• Manipulatie: Gedetailleerde gedragsprofielen maken het mogelijk om gericht misleidende advertenties of desinformatie te tonen.

Wat zegt de wet?

In Nederland en de EU gelden strenge regels voor cookies. De AVG (Algemene Verordening Gegevensbescherming) en de Telecommunicatiewet (artikel 11.7a) schrijven voor dat:

• Niet-functionele cookies pas geplaatst mogen worden na expliciete, geïnformeerde en vrije toestemming.
• Toestemming moet net zo makkelijk in te trekken zijn als te geven.
• "Doorgebruiken van de website" geldt niet als toestemming.
• Pre-aangevinkte vakjes zijn verboden — de bezoeker moet actief kiezen.
• Een "cookie-wall" (geen toegang zonder accepteren) is in principe niet toegestaan.

Browser-fingerprinting: tracking zonder cookies

Steeds meer bedrijven gebruiken browser-fingerprinting als alternatief voor cookies. Bij fingerprinting wordt een unieke "vingerafdruk" van jouw browser gemaakt door allerlei technische kenmerken te combineren — zonder dat er een bestand op je computer wordt gezet.

Een fingerprint kan bestaan uit tientallen signalen, waaronder:

Het gevaar van fingerprinting is dat het onzichtbaar is en niet te blokkeren is door simpelweg cookies te weigeren. Je kunt cookies verwijderen, maar je kunt je browsereigenschappen niet veranderen. Onder de AVG wordt fingerprinting als persoonsgegevensverwerking beschouwd en is dus ook toestemming vereist.

Andere trackingtechnieken

Naast cookies en fingerprinting bestaan er nog meer methoden om je online te volgen:

📦 Wat is een HAR-bestand?

Een HAR-bestand (HTTP Archive) is een gestandaardiseerd formaat dat exact registreert wat een browser doet wanneer je een website bezoekt. Het legt vast:

• Elk verzoek dat de browser verstuurt (naar welk domein, met welke parameters)
• Elk antwoord dat terugkomt (inclusief cookies die worden geplaatst)
• De exacte timing van alles (op de milliseconde nauwkeurig)

CookieChopper maakt bij elke scan automatisch een HAR-bestand aan — zowel vóór als na het klikken op "weigeren". Dit bestand is niet alleen bewijsmateriaal: het is ook de belangrijkste bron voor de detectie zelf. CookieChopper doorzoekt het ongefilterde netwerkverkeer met vaste patronen op bekende tracking-ID's (bijvoorbeeld van Adobe of ContentSquare) die anders gemist zouden worden, en herkent aan de timing of een sessie-replay- of A/B-test-script laadt vóór toestemming of blijft draaien na weigeren. Het bestand is een gedetailleerde, machineleesbare registratie van wat de website technisch doet vóórdat je toestemming geeft. Het kan worden geopend in elke browser (Chrome DevTools, Firefox) of online HAR-viewers, en kan bruikbaar zijn als technische onderbouwing bij nader onderzoek — bijvoorbeeld intern, of als bijlage bij een melding aan de Autoriteit Persoonsgegevens. Zie de methodologie-pagina voor wat het HAR-bestand wel en niet aantoont.

HAR-bestanden worden 30 dagen bewaard en zijn op verzoek beschikbaar.

CookieChopper is een onafhankelijke technische quickscan zonder winstoogmerk, ontwikkeld door Maurice Gosselaar. Het doel is om zichtbaar te maken wat een website technisch doet rond cookies en tracking — voor website-eigenaren, Privacy Officers en bezorgde bezoekers. Er zijn geen adverteerders, geen investeerders en geen belang bij de uitkomst.

Er is geen bedrijf achter, geen investeerder, geen winstoogmerk. Professionele cookie-scanners zoals Cookiebot, OneTrust en CookieYes bieden vergelijkbare scans aan voor €25 tot €75 per rapport of als maandelijks abonnement. CookieChopper werkt volgens vergelijkbare technische scanprincipes, volledig gratis: headless browser-scan van 3 pagina's vóór en na weigeren, HAR-netwerkanalyse met deterministische detectie van tracking-ID's en sessie-replay-/A-B-test-tools, AI-classificatie van elke cookie, rapportcijfer op vier onderdelen, en twee gepersonaliseerde PDF-rapporten. Geen proefperiode, geen limiet op features, geen upsell. Het project blijft gratis. Altijd.

Hoe het werkt: CookieChopper opent elke website in een echte Chromium-browser die nooit op "Accepteer" klikt. Drie pagina's worden bezocht: de homepage, de privacypagina en een interne pagina — zowel vóór als na het klikken op "weigeren". Cookies, browseropslag (localStorage/sessionStorage), tracking-scripts en netwerk-requests worden vastgelegd, en het volledige netwerkverkeer wordt via het HAR-bestand doorzocht op bekende tracking-ID's en sessie-replay-/A-B-test-tools. Alles wordt per tracker-familie geclassificeerd. Een AI beoordeelt de bevindingen en genereert een rapportcijfer op vier onderdelen. Bij een herhaalde scan van dezelfde website toont de persistentiecontrole welke tracking-ID's over meerdere scans heen identiek blijven. Alle resultaten zijn openbaar — bekijk de volledige lijst op de resultatenpagina.

Drie PDF-rapporten: Per scan worden drie documenten gegenereerd: een zakelijk bewijsdocument (kan bruikbaar zijn als technische bijlage bij verdere beoordeling of een melding), een verbeteradvies met AI-tips om naar een 8.0 te werken, en een kant-en-klare brief aan de Privacy Officer die je direct kunt doorsturen.

De resultaten zijn indicatief, gebaseerd op een eenmalige momentopname en geen juridisch advies — lees op de methodologie-pagina wat CookieChopper wel en niet controleert. Voor officiële klachten verwijzen wij naar de Autoriteit Persoonsgegevens.