Hoe er gemeten wordt

Deze site publiceert waarnemingen. Een regel als “laadde twaalf trackers voordat er toestemming was” is iets wat op een bepaald moment is gebeurd en wat iedereen kan nameten. Een zin als “overtreedt de AVG” staat er nergens, en zal er ook nooit staan: of iets is toegestaan hangt af van verwerkersovereenkomsten, grondslagen en uitzonderingen die een geautomatiseerde meting niet kan zien. Dat oordeel is aan de toezichthouder en aan de rechter.

Wat je hier vindt is dus geen verwijt maar een momentopname, met datum en bewijs erbij.

Elke site krijgt twee losse cijfers, allebei van bestaande tools op snelle.tools die iedereen zelf opnieuw kan draaien.

Lektest — weegt 60%

De pagina wordt geopend in een echte browser. Er wordt geteld welke verzoeken, cookies en opslagsleutels er verschijnen voordater ergens op geklikt is. Daarna wordt er op “weigeren” geklikt en opnieuw gekeken, en tot slot wordt er in formuliervelden getypt zonder iets te versturen — om te zien of wat je intypt al onderweg gaat. Cookieloze statistiek (Matomo, Plausible en verwanten) telt niet mee als overtreding: die valt onder de uitzondering van artikel 11.7a lid 3 Telecommunicatiewet.

Hosting Checker — weegt 40%

Waar staat de webserver, wie beheert de naamservers, waar gaat de mail heen, welke externe diensten worden gebruikt. Beoordeeld op twee vragen tegelijk: in welk land staat het apparaat, en onder welk recht valt het bedrijf. De zwaarste van de twee telt — een server van een Amerikaans bedrijf in Frankfurt valt onder Amerikaans recht.

Het totaal is een gewogen gemiddelde: de lektest telt voor 60%, de hostingcontrole voor 40%. De lektest weegt zwaarder omdat een tracker die afgaat voordat een bezoeker iets heeft gekozen een gebeurtenis is met een directe juridische toets eraan; de vraag onder welk recht een server valt is echt, maar staat een stap verder van de bezoeker af.

Cijfers lopen van A (90 of hoger) tot F (onder de 35) — dezelfde schaal als beide onderliggende tools, zodat je geen derde meetlat hoeft te leren.

De huidige weging heet v1 en staat bij elk gepubliceerd cijfer. Verandert de weging, dan krijgt die een nieuw versienummer en worden oude cijfers niet herrekend. Metingen met verschillende wegingen zijn daarom niet met elkaar te vergelijken, en de pagina met veranderingen laat ze ook niet naast elkaar zien.

Elke site wordt elke zeven tot veertien dagen opnieuw gemeten, ’s nachts, met een willekeurige spreiding zodat niet alles op dezelfde nacht valt. Bij elke regel staat de datum van de laatste meting. Is er sinds die datum iets veranderd, dan kan een nieuwe meting direct aangevraagd worden op de pagina van de site zelf.

Bij elke meting hoort een opgeslagen rapport met alle verzoeken, cookies en bevindingen, en een schermafdruk die gemaakt is voordat er iets is aangeklikt. Die foto is het bewijs voor het oordeel over de cookiemelding: staat er geen melding op, dan was die er op dat moment niet. Beide zijn vanaf elke rij te openen.

Een geautomatiseerde meting ziet niet alles. Wat hier structureel misgaat:

• Alleen de voorpagina wordt gemeten. Een schone homepage met een zware artikelpagina komt er te goed van af.
• Sites die geautomatiseerde bezoeken blokkeren leveren een mislukte of onvolledige meting op. Die krijgen geen cijfer in plaats van een slecht cijfer.
• Herkomst van servers komt uit een GeoIP-database. Die zit er soms naast, en een onbekende herkomst telt bewust niet als “dus Europees”.
• Of er een geldige grondslag of verwerkersovereenkomst is, is van buitenaf onzichtbaar.

Klopt een meting niet, dan hoort daar een bezwaar bij en geen discussie: laat weten wat er mis is en het wordt nagelopen. Blijkt de meting fout, dan wordt hij verwijderd.

Wil een beheerder helemaal niet meer geautomatiseerd bezocht worden, dan wordt dat gehonoreerd — en dat staat ook openbaar vermeld. Een uitsluiting laat de site niet stilletjes verdwijnen, want dat zou lezen als een verbetering die er niet is. Vanaf dat moment weigert ook de gewone scanner op snelle.tools dat adres.

De metingen komen van een browser met een eigen kenmerk in de user-agent, en verzoeken om uitsluiting via robots.txt worden overgenomen.

Alles kan ook gewoon per mail: security@privacyschandpaal.nl.

Alleen wat publiek waarneembaar is aan de gemeten site: de openbare DNS- en HTTP-antwoorden, de verzoeken die de pagina zelf doet, en één schermafdruk per adres. Van bezoekers van deze site wordt niets opgeslagen — geen IP-adressen, geen cookies, geen tracking. Dat zou hier ook wel erg raar staan.