Digital Integrity Index Q2 2026

Methodologie en Verantwoording

De totaalscore (0–100) is gebaseerd op 6 gewogen categorieën. Een hogere score betekent betere privacypraktijken. Organisaties met één of meer Kritieke Bevindingen (K) worden beperkt tot maximaal 50 punten (Hard Cap 50 Regel).

25%

Consent

Cookiebanner + weigeringsmogelijkheid (V01–V06)

20%

Distributie

Trackers, externe scripts, unieke vendors (V17–V27)

20%

Datastromen

Data-export naar derde partijen, advertising/analytics (V28–V38)

10%

Retentie

Cookie-houdbaarheid; >1 jaar = puntenaftrek (V40–V45)

15%

Jurisdictie

Afhankelijkheid US Cloud Act / US-recht (V46–V52)

10%

Security

Security headers + SSL-integriteit (V53–V63)

⚠ Kritieke Bevindingen (K)

Pre-consent Tracking (V07–V11)
Post-refusal Tracking (V12–V15)
SSL-Integriteit (V63)

⚠ Hard Cap 50 Regel

Organisaties met K≥1 krijgen maximaal 50 punten, ongeacht hun ruwe score. Dit markeert fundamentele privacyschendingen.

★ Sterrenwaardering

★★★★★ = >90 punten
★★★★ = 75–90 punten
★★★ = 50–75 punten
★★ = 30–50 punten
★ = <30 punten

✓ Statusdefinities

Beste Keuze: Score ≥90 en K=0
Voldoende: Score 50–90 en K=0
Risico: K≥1 en Score >30
Privacy Lek: K≥1 en Score ≤30

Rankingtabel — Alle 39 Organisaties

36.1

Gemiddelde score

17

Privacy Lekken

85%

Hard Cap 50 actief

Organisatie	Score	Sterren	Status
IT-consultant	94	★★★★★	Beste Keuze
Hard Cap 50 Nee Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	93	★★★★★	Beste Keuze
Hard Cap 50 Nee Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	91	★★★★★	Beste Keuze
Hard Cap 50 Nee Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Advocatenkantoor	50⚠	★★★☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	48⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	45⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Ziekenhuis	44⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Ziekenhuis	42⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Ziekenhuis	42⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	41⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	38⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Advocatenkantoor	38⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Ziekenhuis	35⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Advocatenkantoor	34⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	34⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	32⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	31⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	31⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Media	30⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	30⚠	★★☆☆☆	Risico
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Media	29⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Jurisdictional Trifecta: US-aandeel trackers 100% (V46), Cloud Act (V49), CDN US-recht (V50) Post-refusal tracking gedetecteerd (V12–V15)
Advocatenkantoor	28⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Advocatenkantoor	28⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Advocatenkantoor	28⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Media	27⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen SSL-integriteitsschending (V63) Pre-consent tracking gedetecteerd (V07–V11)
Media	26⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen IAB TCF API zonder directe weiger-knop (V05) Post-refusal tracking gedetecteerd (V12–V15)
Advocatenkantoor	26⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Media	25⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen SSL-integriteitsschending (V63) IAB TCF API zonder directe weiger-knop (V05) Post-refusal tracking (V12–V15)
Media	25⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen SSL-integriteitsschending (V63) Post-refusal tracking gedetecteerd (V12–V15)
Media	25⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen SSL-integriteitsschending (V63) Post-refusal tracking gedetecteerd (V12–V15)
Retail	24⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	24⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Ziekenhuis	22⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Media	21⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Massale pre-consent tracking: V07=4 trackers, V08=18 trackers Post-refusal tracking gedetecteerd (V12–V15)
Ziekenhuis	21⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Media	18⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Massale pre-consent tracking: V09=22 trackers Post-refusal tracking gedetecteerd (V12–V15)
Ziekenhuis	15⚠	★☆☆☆☆	Privacy Lek
Hard Cap 50 Ja — K≥1 Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
IT-consultant	Geen data	—	Geen data
Hard Cap 50 Nee Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Retail	Geen data	—	Geen data
Hard Cap 50 Nee Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.
Advocatenkantoor	Geen data	—	Geen data
Hard Cap 50 Nee Kritieke bevindingen Gedetailleerde scores worden in de volgende auditronde toegevoegd.

Beste Keuze Score ≥90, K=0 Risico K≥1, Score >30 Privacy Lek K≥1, Score ≤30 Geen data Meting mislukt ⚠ Score beperkt door Hard Cap 50 (K≥1)

Analyse: Beste Keuze — KPMG, Ordina, Kruidvat

Drie organisaties behalen een score boven de 90 en voldoen aan alle K-criteria — de hoogste waardering in de DII Q2 2026-audit.

Criterium	KPMG	Ordina	Kruidvat
Pre-consent tracking (V07–V11)	✓ 0	✓ 0	✓ 0
Post-refusal tracking (V12–V15)	✓ 0 new, 0 behouden	✓ 0 new, 0 behouden	✓ 0 new, 0 behouden
US-aandeel trackers (V46)	✓ 0%	✓ 0%	✓ 0%
Cloud Act hosting	✓ Geen	✓ Geen	✓ Geen
CSP header (V53)	✓	✓	✓
HSTS header (V54)	✓	✓	✓

Analyse: Privacy-Risico’s en Lekken

Tracking vóór consent: NRC (V07=4, V08=18) en De Telegraaf (V09=22) plaatsen tientallen trackers nog vóór enige toestemming is gegeven.

Jurisdictional Trifecta: RTL Nieuws — US-aandeel trackers 100% (V46=1), Cloud Act-hosting (V49=ja), CDN onder US-recht (V50=ja). Volledige afhankelijkheid van Amerikaanse jurisdictie.

SSL-Integriteitsschendingen (V63): Algemeen Dagblad, Brabants Dagblad, De Gelderlander en de Volkskrant vertonen SSL-integriteitsfouten — een directe kritieke bevinding die de Hard Cap 50 activeert.

IAB TCF-afhankelijkheid: Algemeen Dagblad en NU.nl implementeren de IAB TCF API zonder directe weigerknop (V05), wat in strijd is met GDPR-eis voor gelijkwaardige keuze.

Sectorale Vergelijking

Sector	Gem. Score	Observatie
IT-consultant	50,4	Extreme polarisatie; koplopers (KPMG 94, Ordina 93) vs. zware overtreders (EY 34, IBM 32)
Advocatenkantoor	31,5	Verrassend lage compliantie; 100% Hard Cap 50 activering bij de gemeten organisaties
Retail	30,2	Structurele pre-consent marketing-tracking bij grote spelers (Action, HEMA)
Ziekenhuis	28,1	Onnodige externe trackers op publieke zorgpagina’s; UMCG en Radboudumc laag
Media	25,6	Laagste gemiddelde; SSL-lekken en IAB TCF-afhankelijkheid structureel probleem

Concluderende Bevindingen

Afwezigheid van een “Voldoende” middenveld: Organisaties zijn óf uitmuntend (K=0, score >90) óf falen op K-criteria. Een tussenlaag ontbreekt bijna volledig.

Hard Cap 50 bij 92% geactiveerd: Van de 37 gemeten organisaties activeren 34 de Hard Cap door minimaal één kritieke bevinding. Dit is geen uitzondering — het is de norm.

CMP-platform correleert met score: Organisaties met een professioneel Consent Management Platform (V02) scoren consistent hoger. CMP-keuze is de sterkste voorspeller van eindprestaties.

IAB TCF API correleert met lage scores: Implementaties van IAB TCF zonder directe weigerknop correleren structureel met K-bevindingen en lage scores.

Ontbrekende data: Deloitte, Jumbo en Eversheds Sutherland konden niet worden gemeten door Cloudflare-blokkades (CF-fail status). Opname in de volgende auditronde.