olympia.nl

Wat er al vertrok toen de pagina net geopend was: verzoeken naar derden, cookies, opslagsleutels en meetgegevens, voordat er ergens op geklikt was.

Weegt 30% van dit cijfer. Dit is waar deze lijst over gaat. Het is de enige waarneming die geen interpretatie nodig heeft — de bezoeker had nog niets kunnen kiezen, en het was er al. Het weegt het zwaarst, en het loopt door: elke extra partij kost opnieuw, zodat twintig trackers niet hetzelfde oplevert als vijf.

4 bevindingen in dit onderdeel.

Wat er ná een klik op "weigeren" alsnog gebeurde: verzoeken, nieuwe cookies, metingen.

Weegt 20% van dit cijfer. Zwaarder per bevinding dan al het andere. Bij de rest is de vraag of er toestemming nodig was; hier is die vraag gesteld én beantwoord met "nee", en gebeurde het toch. Eén zo'n waarneming is meteen zo erg als dit onderdeel wordt.

4 bevindingen in dit onderdeel.

Was er een cookiemelding, en kon je daarin ook weigeren? Plus of er een toestemmingssignaal wordt meegestuurd naar de meetdiensten.

Weegt 15% van dit cijfer. Een melding zonder weigerknop is geen keuze. Het weegt lichter dan de twee onderdelen hierboven omdat er op dit punt nog niets vertrokken is: het gaat over de vraag, niet over het antwoord. Wat er ondertussen wél al weg was, telt hierboven mee.

Niets aangetroffen.

Gegevens die direct over één persoon gaan: ingetypte tekst die tijdens het typen al verstuurd wordt, e-mailadressen of BSN-patronen in uitgaand verkeer, volledige pagina-adressen in de Referer, en verkeer dat niet versleuteld is.

Weegt 15% van dit cijfer. Dit gaat over één persoon, niet over een bezoekersaantal. Een tracker weet dát er iemand was; dit onderdeel gaat over wat die iemand intypte. Het weegt lichter dan "vóór toestemming" omdat het zeldzamer is en vaker per ongeluk gebeurt — maar per bevinding kost het bijna evenveel.

1 bevinding in dit onderdeel.

Meetdiensten die op een adres van de site zelf draaien: een server-side tagcontainer op een eigen subdomein, of een naam waarvan de DNS-keten bij een trackingbedrijf eindigt.

Weegt 10% van dit cijfer. Hetzelfde lek, maar onzichtbaar — voor de bezoeker, voor een adblocker en voor elke andere meting op deze site. Het staat apart omdat de verhulling zelf iets toevoegt. Ging het ook nog eens vóór toestemming of ná weigeren, dan telt dát mee bij die onderdelen: één feit wordt niet twee keer beboet.

Niets aangetroffen.

Bewaartermijn, Secure- en HttpOnly-vlaggen, SameSite, en wie de cookie gezet heeft.

Weegt 5% van dit cijfer. Reëel, maar afgeleid: een cookie van drie jaar is een lange bewaartermijn, geen doorgifte. Dit onderdeel woog voorheen even zwaar als een tracker vóór toestemming, en dat klopte niet — een ontbrekende Secure-vlag kost een bezoeker geen gegevens aan een derde partij.

3 bevindingen in dit onderdeel.

Externe partijen buiten de Europese Economische Ruimte, ingesloten video, externe lettertypen.

Weegt 5% van dit cijfer. Licht, en met opzet: de vraag onder welk recht een dienst valt wordt in de andere helft van het cijfer al uitgebreid gewogen. Hier twee keer vol meetellen zou hetzelfde bezwaar twee keer laten tellen.

2 bevindingen in dit onderdeel.

Waar de webserver staat en van welk bedrijf die is.

Weegt 25% van dit cijfer. Het zwaarst, want dit is de plek waar élke bezoeker langskomt en waar alles wat je op de site doet doorheen gaat. Land en eigenaar tellen allebei mee en de zwaarste van de twee wint: een server van een Amerikaans bedrijf in Frankfurt valt onder Amerikaans recht.

1 bevinding in dit onderdeel.

Wie de naamservers beheert die het adres van deze site vertalen.

Weegt 15% van dit cijfer. Lichter dan de webserver, want hier gaat geen inhoud doorheen — wel het gegeven dát iemand dit adres opzoekt. Vijf naamservers bij dezelfde partij is hetzelfde probleem als één, dus dit onderdeel kijkt naar het gemiddelde en niet naar het aantal.

4 bevindingen in dit onderdeel.

Naar welke servers de e-mail aan dit domein gaat.

Weegt 20% van dit cijfer. Zwaarder dan uitgaande mail, omdat inkomende post het gevoeligste is wat een organisatie binnenkrijgt: sollicitaties, klachten, medische vragen. Wie die servers beheert, kan daar in principe bij.

1 bevinding in dit onderdeel.

Welke partijen namens dit domein mogen versturen, volgens het SPF-record.

Weegt 15% van dit cijfer. Lichter, want dit gaat over post die de organisatie zelf opstelt en verstuurt. Wel per verzendende partij geteld en niet per IP-adres: één nieuwsbriefdienst met dertig adressen is één leverancier, geen dertig.

4 bevindingen in dit onderdeel.

Al het andere dat een leverancier verraadt: verificatierecords, de www-verwijzing en de tools die op de pagina zelf gevonden worden.

Weegt 25% van dit cijfer. Even zwaar als de webserver, maar het telt anders: hier is vijf Amerikaanse leveranciers wél erger dan één, want het zijn vijf losse partijen met elk hun eigen stukje. Een leverancier die hierboven al is meegeteld als host, naamserver of mailserver telt hier niet nog een keer.

1 bevinding in dit onderdeel.