In het kort
Cookies weigeren maakt je niet onzichtbaar. Meting bestaat uit lagen: serverlogs, first-party tagging, gedragssignalen, bedrijfsherkenning en CRM, elk met eigen privacyregels. Denk in lagen en speelregels, niet in één tool of één cookiebanner.
Begrippenklantsysteem(CRM)privacywet(AVG)cookieregels(ePrivacy)
Kernpunten
- Niet alle meting is cookie-meting; serverlogs zien requests zonder cookie.
- ePrivacy (apparaat) en AVG (persoonsgegevens) zijn aparte sporen.
- Meten zonder cookies is niet automatisch privacyvrij: IP en server-side data blijven relevant.
- B2B-bedrijfsherkenning is nuttig én AVG-verwerking, dus speelregels zijn verplicht.
Veel organisaties denken nog in één zin: als een bezoeker cookies weigert, meten we niets meer. Die zin is achterhaald. Een webserver registreert elk bezoek, ook zonder cookie. Met server-side meting, bedrijfsherkenning of een koppeling met je CRM kun je nog veel meer zien. Welke lagen je gebruikt, is een keuze met gevolgen voor privacy.
Klanten beleven dat soms als magie: “Hoe weten jullie dat bedrijf X op die landingspagina zat?” Het is geen magie. Het is instrumentatie, met scherpe keuzes over wat je meet, waar data staat, welke rechtsgrond je gebruikt, en welke risico’s je accepteert.
De mythe van de cookieknop
Cookiebanners wekken de indruk alsof “Alles weigeren” een volledige opt-out is van observatie. Dat klopt niet om minstens drie redenen.
- Niet alle meting is cookie-meting. Een webserver ziet elk request: IP, user-agent, referrer, pad, tijdstip. Geen cookie nodig.
- ePrivacy en AVG zijn niet hetzelfde. Toestemming voor opslag op het apparaat is een ander spoor dan verwerking van persoonsgegevens (waaronder IP) onder de AVG.
- Meten zonder cookies is niet automatisch privacyvrij. Tools zonder cookie kunnen alsnog IP’s matchen of events server-side verwerken.
Wie alleen stuurt op “groene cookiestatus” bestuurt het dashboard, niet de werkelijkheid.
Denk in lagen, niet in tools
Tools wisselen; lagen blijven. Denk aan infrastructuur (CDN, access logs, WAF, hosting), transport (tags in de browser, server-side doorgifte, conversiemeting), identiteit en sessie (first-party ID, consent, meet-API’s), gedragssignalen (pageviews, clicks, formulieren, scroll- en klikpatronen), verrijking (IP naar organisatie, geo, intentsignalen), interpretatie (dashboards, attributie, groepen) en actie (CRM, campagnes, sales-alerts, A/B).
De kunst zit in de samenhang: wat stroomt waarheen, onder welke voorwaarde, met welke retentie, en met welke audittrail.
Wat er tegenwoordig allemaal kan
Serverlogs
Elke hit laat sporen achter: volumes, populaire paden, 404’s, bot/mens-scheiding, security-signalen. Dit is de ondergrond. Goed beheer betekent een retentiebeleid en IP-minimalisatie waar mogelijk.
Klassieke web analytics
Pageviews, events, funnels, campagnes. Sterk voor UX, kwetsbaar voor adblockers, cookiewalls en rommelige tags. Vakmanschap zit in de eventtaxonomie: meten omdat het een beslissing stuurt, niet omdat het kan.
Server-side tracking
Events eerst first-party ontvangen, daarna doorsturen naar analytics, campagnes of CRM, met meer controle over velden, hashing en ingetrokken toestemming. Technisch zwaarder dan “even een snippet plakken”; precies waar stabiel beheer het verschil maakt.
B2B: welk bedrijf bezoekt ons?
Het publieke IP kan worden gematcht aan een bedrijvendatabase. Handig voor sales, én AVG-verwerking. Weinig of geen cookies betekent niet automatisch geen persoonsgegevens. De match is op organisatieniveau, niet “persoon X”; VPN’s en thuiswerk geven false positives. Wij zetten dit in als signaalbron met speelregels, niet als knop “sales-magie aan”.
Waar bezoekers afhaken of klikken
Inzicht in scroll-, klik- en formuliervlakken is krachtig voor conversie, compliance-gevoelig als masking slecht staat. Input masking, exclude-lijsten, korte retentie en need-to-know toegang zijn geen luxe.
Waarom dit complex blijft
- Elke laag faalt op een andere manier: de ene door geweigerde toestemming of een adblocker, de andere door VPN’s of de privacyfuncties van Safari.
- Meer scripts maken zelden betere beslissingen, wel meer ruis en een groter compliance-oppervlak.
- “AVG-compliant” op een leverancierspagina is geen eindvonnis voor jouw situatie.
- Third-party scripts zijn ook risico’s in de keten.
Onze aanpak: meten alsof het ertoe doet voor de business, beheren alsof het productsoftware is, en begrenzen alsof de Autoriteit Persoonsgegevens straks meeleest.
Twee sporen die je niet mag vermengen
| Spoor | Kernvraag |
|---|---|
| ePrivacy / cookies | Plaatsen of uitlezen we info op het apparaat? |
| AVG | Verwerken we persoonsgegevens, met welk doel en rechtsgrond? |
IP-bedrijfsherkenning zonder cookies kan het ePrivacy-spoor verkleinen en tegelijk AVG-verwerking blijven. Wie dit tot één banner-vraag reduceert, bouwt op drijfzand.
Hoe wij ermee omgaan
Als je diep in de materie zit: dit is het frame waarmee wij implementaties ontwerpen. Eerst de meetstrategie, dan de tools. First-party waar het kan, verrijking als aparte laag, taggovernance, en consent die klopt met de banner.
Als je vooral wilt dat het klopt: je hoeft de stack niet zelf te bouwen. Wel moet iemand de lagen, de privacytekst en de sales-opvolging bij elkaar laten passen. Dat is ons werk.
Veelgestelde vragen
Zie ik niets meer als iemand cookies weigert?
Nee. Infrastructuur- en serverlagen blijven zichtbaar. Wel verdwijnen of verminderen browser-cookies en sommige marketingtags afhankelijk van toestemming.
Is cookieless tracking AVG-vrij?
Niet per se. IP-adressen en matching aan organisaties kunnen persoonsgegevens zijn. Rechtsgrond, doelbinding en retentie blijven nodig.
Hoe richt Exedo meting in?
Eerst de meetstrategie, dan de tools. First-party waar het kan, verrijking als aparte laag, consent die klopt met de banner, en sales-opvolging met duidelijke speelregels.
