Toestemmingsbanners en het gat in de meting

In het Verenigd Koninkrijk vallen cookies en vergelijkbare technologieën onder regulation 6 van de Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR). De Data (Use and Access) Act 2025 heeft regulation 6 met ingang van 5 februari 2026 door een nieuwe tekst vervangen. De hoofdregel is ongewijzigd. Behoudens Schedule A1 mag niemand informatie opslaan in de eindapparatuur van een abonnee of gebruiker, of toegang krijgen tot informatie die daarin is opgeslagen. De nieuwe tekst voegt toe dat ook het in gang zetten van die opslag of toegang meetelt, en dat toegang krijgen ook het verzamelen omvat van informatie die het apparaat automatisch uitzendt.

De Information Commissioner's Office (ICO), de Britse privacytoezichthouder, heeft op 29 april 2026 haar richtsnoeren over technologieën voor opslag en toegang definitief gemaakt. Ze betreffen cookies, trackingpixels, linkdecoratie, lokale opslag, device fingerprinting, scripts en tags. Ze beschrijven vijf uitzonderingen op de toestemmingsplicht: communicatie, strikt noodzakelijk, statistische doeleinden, weergave en hulp in noodsituaties.

Voor directierapportage is de uitzondering voor statistische doeleinden het belangrijkst. Volgens de richtsnoeren van de ICO mag een organisatie zonder toestemming analytics uitvoeren wanneer het enige doel is statistische informatie te verzamelen over hoe haar dienst wordt gebruikt, met het oog op verbetering ervan. De informatie die dat oplevert, moet geaggregeerd zijn, bezoekers moeten duidelijke en volledige informatie krijgen, en er moet een eenvoudige, kosteloze manier zijn om bezwaar te maken. Een externe analyticsaanbieder mag helpen, maar moet als verwerker optreden en mag de data niet combineren met informatie uit andere bronnen.

De uitzondering heeft scherpe grenzen. De ICO stelt dat doeleinden van onlineadverteren "niet zijn vrijgesteld van de toestemmingseisen van PECR en dat ook nooit zijn geweest", en noemt advertentiemeting en -prestaties daaronder. Het koppelen van een bezoekers-ID aan aankopen om conversies met advertentiepartners te delen, vereist nog steeds toestemming.

De Data (Use and Access) Act verandert alleen het Britse recht. Organisaties met bezoekers uit de EU hebben een afzonderlijke toets nodig aan de regels die gelden waar die bezoekers zich bevinden.

Websites die Google-tags gebruiken, geven toestemmingskeuzes via Google Consent Mode aan die tags door. De documentatie van Google voor ontwikkelaars beschrijft twee manieren om dat te implementeren, en de keuze verandert wat het bedrijf kan zien.

In de basisvariant van Consent Mode worden Google-tags geblokkeerd totdat de bezoeker met de banner interageert. Weigert de bezoeker, dan wordt er helemaal geen data naar Google gestuurd, zelfs de toestemmingsstatus niet. Conversiemodellering in Google Ads valt dan terug op een algemeen model.

In de geavanceerde variant laden de tags met toestemming standaard op "denied". Zolang toestemming is geweigerd, sturen ze metingen zonder cookies, en volledige meting begint pas zodra de bezoeker toestemming geeft. Volgens Google maakt dit een model mogelijk dat specifiek is voor de adverteerder in plaats van een algemeen model.

De afzonderlijke toestemmingstypen hebben specifieke effecten. Met analytics_storage op denied leest of schrijft Google Analytics zijn first-party cookies niet. Met ad_storage op denied worden geen nieuwe advertentiecookies geschreven en worden IP-adressen bij het verzamelen ingekort. Met ad_user_data op denied wordt gehashte first-party data voor enhanced conversions niet verstuurd. Elk daarvan verlaagt het deel van de activiteit dat kan worden waargenomen en over een sessie of een terugkerend bezoek aan een individuele bezoeker kan worden gekoppeld.

Google Analytics 4 vult een deel van het gat met gedragsmodellering, die het gedrag van bezoekers die analyticscookies hebben geweigerd schat op basis van het gedrag van vergelijkbare bezoekers die ze hebben geaccepteerd. Het helpcentrum van Google noemt de voorwaarden. Consent Mode moet op elke pagina actief zijn in de geavanceerde implementatie. De property moet gedurende minstens 7 dagen minstens 1.000 events per dag verzamelen met analytics_storage op denied. Ze moet ook op minstens 7 van de voorgaande 28 dagen minstens 1.000 dagelijkse gebruikers hebben die events versturen met analytics_storage op granted. Wie aan deze drempels voldoet, komt daarmee nog niet gegarandeerd in aanmerking.

Een property met bescheiden verkeer kan onder die drempels blijven, en Google is duidelijk over het gevolg. Als er niet genoeg verkeer met toestemming is om het model te trainen, worden events van bezoekers die toestemming hebben geweigerd niet gerapporteerd.

Waar modellering wel draait, houdt ze op bij bepaalde functies. Google noemt doelgroepen, de gebruikersverkenner, cohort- en lifetime-verkenningen, reekssegmenten, retentierapporten, voorspellende statistieken en data-export, inclusief de BigQuery-export, als niet ondersteund. Een datawarehouse dat uit de BigQuery-export wordt gevoed, bevat dus alleen waargenomen data, terwijl de GA4-interface met de rapportage-identiteit Blended waargenomen plus gemodelleerde data toont. Geven het warehousedashboard en het GA4-scherm voor dezelfde week verschillende gebruikersaantallen, dan is dit een gedocumenteerde reden om eerst te controleren.

Door de uitzondering van 2026 mag analytics die aan de voorwaarden voldoet zonder toestemming draaien, terwijl advertentiemeting er nog steeds van afhangt. Een organisatie die haar analytics onder de uitzondering brengt, kan sessies en gebruikers in haar analyticsrapporten zien stijgen terwijl de conversies die haar advertentieplatforms rapporteren gelijk blijven. Dat verschil komt dan voort uit wat elk systeem mag waarnemen, zonder dat er een verandering in de vraag achter zit.

Behandel de datum van elke wijziging in de toestemmingsconfiguratie als een breuk in de reeks. Leg haar vast in de rapportagekalender, houd aparte trendlijnen aan voor de periode ervoor en erna, en vergelijk conversieratio's niet over de breuk heen zonder een expliciete correctie. Gebruik het aantal orders uit het commerceplatform of het ERP als referentiereeks, omdat dat niet afhangt van wat een browser opslaat en niet verandert wanneer een banner opnieuw wordt ontworpen.

De CTO moet weten welk consent management platform wordt gebruikt, of Google Consent Mode in de basisvariant of de geavanceerde variant is geïmplementeerd, en of elke tag op de site, ook die van andere leveranciers, de keuze van de bezoeker respecteert.

De verantwoordelijke voor gegevensbescherming moet per technologie die niet voor advertenties dient kunnen zeggen op welke uitzondering in PECR die steunt, waar de bezoeker de eenvoudige manier vindt om bezwaar te maken, en of het contract met de analyticsaanbieder die aanbieder tot verwerker maakt.

De CMO en de CFO moeten weten welke bestuursstatistieken waargenomen zijn en welke gemodelleerde data bevatten, of de GA4-property aan de drempels voor gedragsmodellering voldoet, en welke reeks als referentie dient wanneer de systemen elkaar tegenspreken. Elk antwoord heeft een benoemde eigenaar nodig en een herziening telkens wanneer de banner, het toestemmingsplatform of de set tags verandert.