Stel, je probeert zwanger te worden. Je hebt even geen tijd om naar de drogist te gaan voor een zwangerschapstest, dus bestelt online bij bijvoorbeeld DA of gooit er eentje in je online mandje bij de supermarkt. In de weken erna krijg je op sociale media ineens allerlei advertenties voor luiers en babyspeelgoed.

De online drogist stuurde namelijk elke klik die je op zijn website deed door naar Facebook, Instagram, Google of Tiktok. Welke test je koos, voor welke prijs, hoe je voedingssupplementen voor zwangeren in je mandje deed, die toch weer verwijderde, afrekende, en soms zelfs welke naam je invulde voor de bezorging.

En dat geldt niet alleen voor een zwangerschapstest, maar ook voor andere gevoelige aankopen als een morning afterpil of een voordeelverpakking condooms. Zo kan het dat je je omgeving misschien nog helemaal niet hebt verteld dat je aan kinderen denkt, maar Google en Instagram allang op de hoogte zijn.

Alle grote Nederlandse drogisten sturen intieme informatie over je gezondheid en seksualiteit linea recta door naar de grote Amerikaanse of Chinese techbedrijven, blijkt uit onderzoek van Investico met De Groene Amsterdammer en tv-programma Radar.¹ Alle twintig drogisten die we onderzochten, van Kruidvat tot deonlinedrogist.nl, sturen informatie over jou en je klikgedrag naar Google.² De helft van de drogisten, waaronder Etos en Albert Heijn, doet dit ook naar Meta, het moederbedrijf van Facebook en Instagram³, en drie laten ook aan Tiktok weten dat je een zwangerschapstest in je mandje doet.⁴ Dit mag volgens de privacywet niet zonder uitdrukkelijke toestemming.

Terwijl er steeds meer aandacht voor online tracking komt, zoeken online drogisten bovendien een omweg. De helft van de onderzochte drogisten gebruikt namelijk een nieuwe methode voor het volgen van websitebezoekers die veel minder zichtbaar is.⁵ Het is alsof de drogist doorbelt dat je naar zwangerschapstesten kijkt.

In 2018 wordt Facebook-topman Mark Zuckerberg ondervraagd in het Amerikaanse congres.⁶ Het is de tijd van Russia Gate en Cambridge Analytica: Facebook zou zijn gebruikt om de Amerikaanse verkiezingen te beïnvloeden in het voordeel van Donald Trump. Als een 84-jarige senator uit Utah vraagt hoe Zuckerberg het voor elkaar krijgt om zoveel geld te verdienen met een dienst waar gebruikers niet voor hoeven te betalen, is de normaal zo stoïcijnse Facebook-topman even uit het veld geslagen. Hij glimlacht, en antwoordt: ‘Senator, we run ads!’.⁷

Om die ads - reclames - effectief te laten zijn, volgen bedrijven als Facebook en Google potentiële consumenten over het internet, door op allerlei websites cookies te plaatsen.⁸ Deze cookies werken als een achterdeurtje in de website, waardoor bij elke klik een klein beetje informatie naar de techbedrijven kan sijpelen.⁹ Het vereist maar een klein beetje knowhow over hoe je browser werkt om te zien wie er allemaal meekijkt op een website: binnen drie klikken kun je vinden wie er cookies plaatst en welke gegevens ze doorsturen.¹⁰ Bijna alle websites sturen bijvoorbeeld naar Google op welke locatie, op welk apparaat en in welke browser je hen bezoekt.

Er is nog een andere, invasievere manier die breed wordt toegepast door Nederlandse online drogisten: cookies die je klikgedrag kunnen koppelen aan je Facebook- of Google-account.¹¹ ‘Die cookies bevatten codes die uniek zijn voor jouw computer of browser’, zegt Güneş Acar, computerwetenschapper aan de Radboud Universiteit. Hij deed vorig jaar met vier collega’s ook onderzoek naar online drogisten in Europa en vond toen vergelijkbare resultaten.¹² ‘Als je ergens bent ingelogd bij bijvoorbeeld Google, Youtube, Facebook of Instagram, kunnen ze de zwangerschapstest linken aan de rest van de informatie die ze over je hebben. Zo volgen ze je over het hele internet.’

Online drogist DA, supermarkt Plus en bezorgservice Flink gaan zelfs nog verder, en sturen los nog je naam, adres en telefoonnummer door naar Facebook.¹³

‘Een webshop moet een gebruiker heel expliciet vertellen wat er met de informatie over bijvoorbeeld een zwangerschapstest gebeurt, omdat het hier over je gezondheid of seksleven gaat.’ zegt Frederik Zuiderveen Borgesius, professor ICT en Recht aan de Radboud Universiteit. ‘Dat soort “bijzondere persoonsgegevens” zijn extra beschermd in de wet.’¹⁴

De gebruiker moet toestemming geven voor het delen van informatie via de zogenoemde ‘cookiebanner’: de popup die vraagt of je cookies accepteert of niet. Borgesius las voor Investico en De Groene de banners van alle onderzochte drogisten¹⁵, en beoordeelt ze eigenlijk allemaal onvoldoende. ‘Alleen Etos en Albert Heijn maken duidelijk dat de producten die je bekijkt invloed hebben op de advertenties die je te zien krijgt. Daar staat iets als: “Zoek je bijvoorbeeld op shampoo, dan kun je een advertentie over shampoo te zien krijgen.” Misschien is dat net genoeg om aan de privacywet te voldoen’, zegt Borgesius. ‘Maar ik vind de uitleg nog niet goed genoeg, zeker omdat ze ook hele gevoelige gegevens als de aankoop van een zwangerschapstest doorsturen.’

Wanneer je in die cookiebanner op ‘weigeren’ klikt, zou dat moeten betekenen dat er al helemaal geen informatie meer naar derden wordt gestuurd. We zien dat dit doorgaans ook werkt: nog maar één drogist stuurt bijvoorbeeld nog informatie naar Facebook als we de cookies afwijzen.¹⁶ Google-cookies zijn nog op driekwart van de websites aanwezig, maar Google ontvangt in de meeste gevallen wel minder gegevens over de gebruikers.¹⁷

‘Maar iemand die op ‘accepteren’ klikt is zich er natuurlijk totaal niet van bewust dat elke aankoop van een zwangerschapstest of morning afterpil wordt doorgebriefd naar Facebook’, zegt Borgesius. Hij vindt het ‘heel onverstandig en onbeleefd’ en vraagt zich af waarom deze drogisten dit doen. ‘Of het nu vergaande slordigheid is, of dat ze marketing belangrijker vinden dan de privacy, dat maakt niet uit. Ze mogen dit soort gegevens gewoon niet delen als ze niet heel uitdrukkelijk toestemming vragen.’

In verschillende Europese landen werden drogisten de afgelopen jaren op de vingers getikt voor het delen van gegevens met Google en Meta. Zo kregen Zweedse¹⁸ en Finse¹⁹ online apotheken de afgelopen jaren boetes voor het doorsturen van medische informatie naar Meta en Google. De Nederlandse Autoriteit Persoonsgegevens deelde in de zomer van 2024 een boete uit aan Kruidvat, omdat de drogist in 2020 ‘bezoekers volgde met tracking cookies, zonder dat zij dat wisten of daarvoor toestemming hadden gegeven.’²⁰

Uit ons onderzoek blijkt echter dat Kruidvat nog steeds aan Google doorstuurt of gebruikers zwangerschapstests in hun mandje doen. Bovendien maakt de drogist gebruik van een nieuwe trend in cookieland, die nog niet op de radar staat van de toezichthouders: Server Side Tracking, oftewel SST.²¹

‘Deze manier van tracken komt steeds vaker voor, en is veel moeilijker te controleren,’ ziet Radboud-onderzoeker Acar. ‘Websites sturen gegevens over hun klanten niet direct door naar de tech-bedrijven, maar gebruiken eerst hun eigen server als een soort tussenstop.’ Op de plek waar je normaal zou zien dat een cookie iets naar Google, Meta of Tiktok stuurt, zie je bij de nieuwe volgwijze de eigen webshops als verzender én ontvanger van de verstuurde data.

‘Dat omzeilt ook adblockers, die mensen installeren om een hoop cookies van derden tegen te houden’, zegt Acar. ‘En zo kunnen webshops vervolgens, buiten het zicht van de consument, de gegevens doorsturen naar welke externe partij ze maar willen.’ Het is bovendien een geitenpaadje om zelfs als de bezoeker op ‘weigeren’ klikt informatie door te blijven sturen. De helft van de online drogisterijen die Investico onderzocht, gebruikt deze nieuwe volgmethode, waaronder Etos en Trekpleister.²²

Bij DA, en de online drogisten Plein.nl en Leef.nl zien we hetzelfde bedrijfje langskomen dat hen helpt om hun klanten zo te volgen: TAGGRS, een startup uit Heerenveen.²³ Het bedrijf bestaat nog maar vier jaar, maar heeft naar eigen zeggen al 10 duizend klanten, en haalde in 2024 een investering van ruim 2 miljoen binnen. Het motto op hun website laat weinig aan de verbeelding over: ‘Alles wat je nodig hebt om succesvol te tracken.’²⁴

De verantwoordelijkheid om dit op een juiste manier te doen, ligt bij de webshops zelf, zegt mede-oprichter van TAGGRS Niek Schlepers: ‘Wij proberen onze klanten zo goed mogelijk te adviseren, maar we bemoeien ons niet met de implementatie. Je hoopt dat ze alles netjes in hun cookiebanner vermelden, maar wat er met de data gebeurt blijft een beetje een zwart gat, dat ben ik met jullie eens.’

Uiteindelijk belandt er dus via allerlei wegen een enorme hoeveelheid - medische informatie bij Google en Meta, die de bedrijven weer kunnen matchen aan alle informatie die ze toch al over je hebben. ‘Maar hoe ze dat doen, is niet transparant’ zegt Anouk Ruhaak, voorzitter van Stichting Databescherming Nederland. ‘Meta zegt zelf dat ze gevoelige informatie eruit filtert en niet gebruikt voor gerichte advertenties, maar er is geen manier om dat te controleren. Tegelijkertijd weten we van vergelijkbare marketing-bedrijven dat ze gigantische lijsten met categorieën hebben waar ze mensen in plaatsen.’

Zo vond tech-nieuwssite The Markup in 2023 een lijst die Microsoft gebruikte om advertenties te versturen, met daarin meer dan 650 duizend labels die je opgeplakt kan krijgen als online consument.²⁵ Die labels lopen uiteen van ‘vermogende millenials’ tot ‘frozen pizza buyers’ maar er zijn ook labels voor je mening over abortus, je burgelijke stand, seksualiteit en etniciteit. Voor zwangerschap zijn er categorieën die variëren van ‘trying to become pregnant’ tot ‘new moms with 2+ kids’. De kans is groot dat Google en Facebook soortgelijke profielen aanleggen met de informatie die drogisten naar ze doorsturen’, denkt Ruhaak.

Ruhaak krijgt vaak de vraag hoe erg het nu echt is dat deze bedrijven zoveel van je weten. ‘Maar we zien de afgelopen tijd dat de Amerikaanse immigratiepolitie ICE dit soort data gebruikt om mensen op te sporen.²⁶ Daarnaast waarschuwen experts al jaren dat data van apps waarin je je menstruatiecyclus kunt bijhouden kan worden gebruikt om anti-abortuswetten te handhaven.²⁷ Juist informatie over of iemand zwanger denkt te zijn, kan politiek worden ingezet.’

In een reactie op onze bevindingen zegt de Autoriteit Persoonsgegevens (AP) dat er wettelijk een ‘verzwaarde vorm van toestemming’ geldt als er medische gegevens worden doorgestuurd.²⁸ De bezoeker moet daar meteen in de cookie banner over worden geïnformeerd, zegt de AP, en moet kunnen inzien wat de mogelijke gevolgen zijn van dat doorsturen. ‘Het is onvoldoende om enkel te stellen dat er tracking cookies geplaatst worden voor betere advertenties.’ Op specifieke onderzoeksbevindingen kan de toezichthouder niet ingaan.

We legden onze bevindingen voor aan de twintig onderzochte drogisten.²⁹ Een aantal van hen, zoals supermarkt Jumbo, bezorgdienst Flink en deonlinedrogist.nl reageerden geschrokken dat ze inderdaad te veel gegevens over hun bezoekers delen, en verwijderden de tracking-cookies vervolgens van hun website. Jumbo zegt dit ook te hebben gemeld bij de Autoriteit Persoonsgegevens. Verschillende kleinere online-drogisten zeggen een onderzoek in te stellen naar de werking van hun website.

Aan de andere kant zeggen drogisten als DA, Etos, Albert Heijn en PLUS dat het doorsturen van gegevens over zwangerschapstesten wel degelijk in overeenstemming met de privacywet is. De aankoop van een zwangerschapstest zegt namelijk niet altijd wat over de gezondheid van een bezoeker, zeggen zij. ‘Een product kan ook voor iemand anders worden aangeschaft’, schrijft PLUS bijvoorbeeld.