Webtracking is het verzamelen van data over de identiteit en het gedrag van bezoekers op en tussen websites. Het gebruikt cookies, trackingpixels, browserfingerprinting en session-replay-scripts om mensen te herkennen en vast te leggen wat ze doen. Tracking drijft analytics, advertenties en personalisatie aan — en het is wat consentbanners, de AVG en de huidige golf aan gezondheidsprivacyhandhaving bestaan om te reguleren.
Hoe werkt webtracking?
Elke trackingtechniek beantwoordt een van twee vragen: wie is deze bezoeker en wat doet hij. De belangrijkste mechanismen:
| Techniek | Hoe hij je identificeert | Overleeft cookieverwijdering? |
|---|---|---|
| Cookies | Een ID in de browser, meegestuurd met elke request naar het domein dat hem zette | ✗ |
| Trackingpixels | Een minuscule afbeelding of beacon die een paginaweergave of event aan een derde meldt | ✗ (leunt op cookies) |
| Browserfingerprinting | Combineert apparaat- en browserattributen (canvas, fonts, WebGL, hardware) tot een stabiele identifier | ✓ |
| Sessieopname | Scripts die kliks, scrolls en toetsaanslagen vastleggen voor replay en heatmaps | n.v.t. — legt gedrag vast, geen identiteit |
| Server-side tagging | Verplaatst het verzamelpunt naar het eigen domein van de site, langs third-party-blokkering heen | ✓ (vanuit de browser lijkt het first-party) |
De meeste commerciële sites draaien er meerdere tegelijk, meestal geladen via een tagmanager, en vaak door scripts die andere scripts laden — daarom bestaat het volledige trackingbeeld alleen in de browser, tijdens runtime.
Wie volgt er, en waarom?
- De site zelf (first-party): analytics, A/B-tests, winkelwagens en logins onthouden. Breed verwacht door gebruikers.
- Advertentieplatforms: conversiepixels en remarketingtags van Google, Meta, Microsoft, TikTok koppelen gedrag op de site aan advertentieveilingen elders.
- Ad-exchanges en databrokers: de lange staart van domeinen in je netwerktabblad — exchanges, identity-resolution-diensten, datamanagementplatforms — die activiteit koppelen over elke site waar ze aanwezig zijn. Onze veldgids voor trackerdomeinen benoemt de meest voorkomende bij naam.
- Meetpanels: publieksmeet-beacons die sectorratings voeden.
Wat vereist de wet?
In de EU vereisen de AVG en de ePrivacy-richtlijn voorafgaande toestemming voor niet-essentiële tracking — de reden dat consentbanners bestaan. In de VS geven staatswetten (CCPA/CPRA, Virginia, Colorado en andere) opt-outrechten, en sectortoezichthouders gaan verder: gezondheidstracking via tools als Google Analytics en de Meta-pixel heeft OCR-handhaving en class actions opgeleverd, behandeld in onze HIPAA-websitetrackinggids.
De compliance-faalmodus is zelden een besluit om te veel te volgen. Het is een script dat voor één doel is toegevoegd en meer verzamelt dan bedoeld, op pagina's waar het nooit had mogen draaien — een zichtbaarheidsprobleem vóór het een juridisch probleem is.
Hoe monitor je tracking op je eigen site?
Het netwerktabblad toont één paginalading; het echte antwoord verandert dagelijks met updates van tags en leveranciers. Doorlopende zichtbaarheid vraagt om het observeren van echte sessies op browserniveau: welke scripts draaien, welke data ze kunnen lezen en welke domeinen die ontvangen. Dat is wat csides privacymonitoring doet — hij inventariseert elk script op je pagina's en waarschuwt wanneer er een data naar een nieuwe bestemming begint te sturen, hetzelfde bewijs waar consentaudits en AVG-toolreviews om vragen.
Webtracking vs webtracking-detectie
Eén nuance die het benoemen waard is: dezelfde signaalwetenschap die trackers gebruiken om bezoekers te identificeren, wordt ook defensief ingezet. Device fingerprinting dat een site-eigenaar inzet om terugkerende fraudeurs te herkennen — cside Device Intelligence — lijkt architectonisch op advertentiefingerprinting maar dient het tegenovergestelde doel: accounts en betalingen beschermen in plaats van advertentieprofielen bouwen, zonder cookies en beperkt tot de site die het inzet.
