Bezoekersstatistieken zonder cookiebanner
Over de inhoud en de controle ervan
In dit artikel
De meeste analysepakketten hebben een toestemmingsbanner nodig omdat ze iets op het apparaat van de bezoeker bewaren: een cookie, een vermelding in local storage, een kenmerk dat tot morgen blijft bestaan. Juist die opslag is wat het Europese recht het meest rechtstreeks regelt — en wat een banner nodig maakt voordat er überhaupt iets gebeurt.
Deze teller bewaart niets op het apparaat. Geen cookie, geen local storage, niets. Dat is na te kijken: het browserscript bevat geen verwijzing naar document.cookie, localStorage, sessionStorage of IndexedDB, en de tellerafbeelding stuurt geen Set-Cookie-kop mee.
Hoe een bezoeker toch herkend wordt
Een terugkerende bezoeker binnen dezelfde dag van een nieuwe onderscheiden vraagt meestal om een kenmerk. Hier werkt het anders: het IP-adres gaat samen met een geheim zout en de huidige datum in een hash, en alleen die hash wordt bewaard. Het IP zelf wordt nooit naar de statistieken geschreven.
Daaruit volgen twee gevolgen, en het tweede is het interessante.
De hash is niet in een adres terug te veranderen — dat is de bedoeling. Maar omdat het zout elke dag verandert en na korte tijd gewist wordt, levert dezelfde bezoeker op maandag en op dinsdag twee hashes op die niet aan elkaar te koppelen zijn. Ook niet door ons. Uit deze gegevens valt geen profiel over dagen heen op te bouwen, want het materiaal ervoor bestaat niet.
Dat is een beperking, en ze is bewust. "Terugkerende bezoekers over dertig dagen" is een getal dat deze dienst niet kan tonen en niet zal kunnen tonen. Het is dezelfde ontwerpkeuze die maakt dat het tellen werkt zonder iemand om toestemming te vragen.
Wat dat voor een sitebeheerder betekent
De rechtsgrond voor het tellen zelf is een gerechtvaardigd belang bij het meten van bereik — artikel 6, lid 1, onder f, AVG — en geen toestemming. Met de gewone invoegcode is er ook geen toegang tot het apparaat waarvoor toestemming nodig is. Een site die verder niets insluit, kan deze teller zonder banner draaien.
Eén schakelaar verandert dat. Een site-eigenaar die data-screen="1" aan de scripttag toevoegt, laat het script de schermresolutie, de breedte van het browservenster en de pixelverhouding van het apparaat van de bezoeker uitlezen. Dat is een toegang tot het apparaat, en afhankelijk van het recht dat voor de site geldt, kan daarvoor toestemming nodig zijn. Zonder de schakelaar blijft het uit.
Twee eerlijke kanttekeningen. Ten eerste: een pagina met reclame, of ingesloten video, of iets anders dat wél op het apparaat bewaart, heeft daarvoor hoe dan ook een banner nodig, en de aanwezigheid van de teller verandert daar niets aan. Ten tweede: dit beschrijft hoe de software werkt en welke gegevens ze bewaart. Het is geen juridisch advies, en de verantwoordelijkheid voor wat een site zelf meedeelt, blijft bij wie hem beheert. Alle details, met de bewaartermijnen, staan in de privacyverklaring en op de pagina over insluiten waar elke teller naar linkt.
Wat we wel precies kunnen zeggen, is wat de statistieken bevatten: dagtotalen, landen en steden op geaggregeerd niveau, pagina's, verwijzers, browsers en apparaten, uren van de dag. Geen adressen, geen kenmerken, geen koppeling over dagen heen. Die lijst is met opzet kort.
Update, 11 september 2026: Vanaf 27 augustus 2026 las het script de schermresolutie, de breedte van het browservenster en de pixelverhouding weer uit, op elke site die het insloot. Sinds 11 september 2026 doet het dat alleen nog waar de site-eigenaar het aanzet met data-screen="1". Zonder dat attribuut leest het huidige script geen van de drie uit, en de server slaat ze ook niet meer op wanneer ze van oudere kopieën van het script komen.