I Browse Incognito. Why Do They Know Where I Am?
I thought incognito meant something like: nobody needs to know I am here.
Dark glasses. An inconspicuous coat. A quiet look around.
But online, my disguise mainly seems to stop my own browser leaving a visitors’ book on the table afterwards.
The people on the other side may still have seen me arrive.
Some may already have told somebody else.
Share first. Ask permission afterwards
Today, Dutch newspaper De Telegraaf describes research into popular pornography websites visited by people in the Netherlands. According to the supplied research description, thirty-seven of forty-nine websites transmitted data before visitors had made a choice in the cookie banner.
That is approximately seventy-six percent.
This was a Dutch sample, examined using a clean Chrome browser and a Dutch IP address. The scans were not independently repeated for this column. The percentage cannot simply be applied to other countries or all websites.
According to the article, information transmitted can include an IP address, device details and information about the page visited.
Then a friendly window appears.
May we respect your privacy in a way that suits us?
I click reject.
It feels decisive.
Except some information may already have left. Refusing cannot undo an earlier transmission.
This also concerns your ordinary Tuesday afternoon
The subject is sensitive because visiting an adult website can reveal very personal information.
But let us not confine the problem to that category.
Consider someone researching an illness, debt, divorce or a political belief.
A visit does not prove anything about that person. Perhaps they are researching for somebody else. Perhaps they are a journalist. Perhaps they clicked by mistake.
A collected data point is not necessarily a correct conclusion.
Yet it can be used to build a profile.
This is about being free to investigate something without a commercial observer immediately sitting beside you.
Incognito has a narrower job
Google itself explains that incognito does not make you invisible. After the private session closes, Chrome does not retain the usual browsing history and temporary site data. Websites and their services can still collect information during the visit. 1
Some browsers provide additional tracking protection in private mode. Browsers and settings therefore differ. But the word ‘private’ is no general guarantee of anonymity.
On an ordinary connection, your IP address is visible to the server you contact. It often indicates an approximate location, but is not a reliable home address or proof of someone’s identity.
If you log in, the service knows which account is visiting.
Even behind dark glasses.
Not every connection is unlawful
A website needs technical information to deliver a page. There are also exemptions for certain necessary cookies.
Not every transmission before a click is therefore automatically unlawful.
What is the information used for? What technology is involved? Who receives it? What consent or other legal basis is required?
Remembering a shopping basket differs from using my visit for advertising profiles.
A scan deserves careful investigation. Treating every technical connection as a proven violation goes too far.
What about our neighbours?
Belgium’s Data Protection Authority emphasises that cookies which are not strictly necessary generally require prior, valid consent. Continuing to browse is not consent. Consent must also be withdrawable. 2
France enforces cookie rules too. Its regulator fined SHEIN in 2025 over cookies without consent. That involved a retailer: the issue extends beyond adult websites. 3
The British regulator also describes prior consent as the starting point for non-essential cookies, with exemptions for certain uses. 4
Outside Europe, rules differ. Canada’s privacy regulator emphasises that sensitive information generally requires express consent. Under California’s applicable law, consumers can opt out of certain sales or sharing for advertising, including through a supported Global Privacy Control signal. 56
These are different protection models. This comparison does not establish that the Dutch measurements apply there too.
A website does not become trustworthy merely because a regulator exists somewhere.
My camera is a separate question
Which websites may use my camera? Which may use my microphone? Which have location permission?
A video call may need camera and microphone access. A weather website can often manage with a town entered manually.
A page I simply want to read usually has little reason to use my microphone.
Sharing an IP address does not, incidentally, prove that someone is watching through your camera or listening through your microphone. Ordinary browser access to those devices generally requires separate permission.
But old permissions deserve a clear-out.
A digital keyring keeps growing if you never ask for the keys back.
A practical browser check
Keep your browser and operating system updating automatically. Security updates are part of maintenance.
Enable tracking protection. Choose a stricter mode where available. Make a specific exception only if it prevents a trusted website working properly.
Block third-party cookies or use cookie isolation. This limits recognition across websites, but does not stop every connection or data transmission to other companies.
Reject non-essential tracking in cookie banners. Browser blocking and refusing permission on a website complement each other.
Revoke unnecessary camera permissions. Allow access only when you deliberately want to use a feature.
Do the same for the microphone. Where available, allow access once or only during the visit.
Review location permissions. Refuse access where unnecessary. This does not automatically hide the approximate location inferred from an IP address.
Check notifications, pop-ups and automatic downloads. Remove unfamiliar exceptions and block unwanted notifications.
Review extensions. Remove unused ones and check publishers and permissions. An extension may itself see considerable information.
Consider one trustworthy content blocker. It can stop known advertising and tracking requests before transmission. Protection is not complete.
Keep phishing and malware warnings enabled. Prefer HTTPS connections where available. Encryption does not establish that the recipient is trustworthy.
Protect accounts with unique passwords or passkeys and a second factor where needed. A privacy-friendly browser does not prevent a stolen account.
Use incognito for its actual purpose. It limits local traces. Downloads and bookmarks do not automatically disappear.
Clear old site data when you want a fresh start. This may sign you out. It does not erase what a company previously received.
Where are the keys?
Names vary by device and version. Search settings for privacy, site settings, permissions, camera, microphone and location.
Chrome on a computer: Settings → Privacy and security → Site settings. Review camera, microphone and location and remove old permissions. 7
Firefox on a computer: Settings → Privacy & Security → Permissions. Open each category’s settings and remove unnecessary access. 8
Safari on Mac: Safari → Settings → Websites. Review camera, microphone and location. 9
Android: also check Settings → Apps → your browser → Permissions. These are permissions for the browser app itself; websites have separate permissions too.
Windows: also check Settings → Privacy & security → Camera or Microphone. System access for desktop apps can operate more broadly than permission for one website.
After revoking access, end any ongoing call or recording and check that the usage indicator disappears. Simply reading a page should not require a camera image or microphone recording.
Which browser helps?
These are practical options based on documented features, rather than my own comparative laboratory test.
Firefox: set Enhanced Tracking Protection to Strict, optionally with uBlock Origin by Raymond Hill. Firefox also provides cookie isolation. 1011
Brave: built-in Shields block many ads and trackers and protect against certain forms of browser fingerprinting. An additional ad blocker is generally unnecessary. 12
Safari on Apple devices: keep Prevent cross-site tracking enabled. IP protection depends on settings and services; it does not provide complete anonymity. 13
Chrome on a computer: block third-party cookies and consider uBlock Origin Lite by Raymond Hill. This differs from full uBlock Origin. Use the developer’s official store links. 14
For a Windows laptop or Android phone, Firefox with uBlock Origin, or Brave with built-in protection, can be a practical starting point. Mobile browsers do not all support the same extensions as their desktop versions.
Even with these tools, the website itself can receive information and potentially share it through its own server. Browser settings cannot make that impossible.
A VPN is not an invisibility cloak either
A VPN can replace the ordinary IP address seen by websites with the VPN server’s address.
But logging in, cookies and other identifying signals can still make you recognisable. You also move trust to the VPN provider.
A good lock is no reason to hand your keys to every passer-by.
A quick visit to 2076
What follows is fiction: one possible future, rather than a prediction.
My great-granddaughter opens a website.
‘This site wants to share your reading behaviour with forty-three companies,’ her browser says.
‘Why?’
‘It says that will improve your experience.’
‘My experience would improve if it did not.’
‘Already refused.’
In this imagined 2076, optional tracking stays off until someone deliberately chooses it. Camera, microphone and precise-location access expire automatically after the task. A dashboard shows what was shared, with whom and why.
Websites also earn money from advertisements relevant to the page, without following the reader everywhere.
‘Does that mean this website is trustworthy?’ she asks.
‘No,’ says the browser. ‘I have limited what it can collect. You still need to consider what it tells you.’
Fraud and human mistakes still exist in this future. But unnecessary collection has become harder and choices easier to understand.
In 2076, my browser finally understands that opening a window does not mean inviting everyone inside.
Why must I do all this myself?
After such a checklist, I understand anyone who sighs.
I only wanted to read an article.
Exactly.
Responsibility should not fall entirely on visitors. Websites must manage data properly. Browser makers must offer understandable protection. Regulators must be able to act.
A permission window should appear before the relevant optional processing.
Otherwise, it resembles a waiter asking after you have paid whether you actually wanted the wine.
I do not want to become afraid of the internet.
I want to remain curious.
Find information. Discover ideas. Read something without immediately becoming a new advertising profile.
My browser may remember how large I like my text.
My camera, microphone and personal interests will be receiving fewer uninvited visitors from now on.
Ik surf incognito. Waarom weten zij dan waar ik ben?
Ik dacht dat incognito ongeveer betekende: niemand hoeft te weten dat ik hier ben.
Een donkere bril. Een onopvallende jas. Even rustig rondkijken.
Maar op internet blijkt mijn vermomming vooral te voorkomen dat mijn eigen browser achteraf een bezoekersboek op tafel laat liggen.
De mensen aan de andere kant kunnen ondertussen gewoon hebben gezien dat ik binnenkwam.
Sommigen hebben het mogelijk al doorverteld.
Eerst doorgeven. Daarna toestemming vragen
De Telegraaf beschrijft vandaag onderzoek naar populaire pornosites onder Nederlandse bezoekers. Volgens de aangeleverde onderzoeksbeschrijving stuurden zevenendertig van negenenveertig onderzochte websites al gegevens door voordat de bezoeker een keuze in de cookiebanner had gemaakt.
Dat is ongeveer zesenzeventig procent.
Het gaat om een Nederlandse steekproef, onderzocht met een opgeschoonde Chrome-browser en een Nederlands IP-adres. De scans zijn voor deze column niet onafhankelijk herhaald. Het percentage mag niet zonder meer naar andere landen of alle websites worden vertaald.
Volgens het artikel kunnen onder meer het IP-adres, apparaatgegevens en informatie over de bezochte pagina worden doorgegeven.
Dan verschijnt er een vriendelijk venster.
Mogen wij uw privacy respecteren op een manier die ons goed uitkomt?
Ik klik op weigeren.
Dat voelt daadkrachtig.
Alleen kan een deel van de informatie dan al vertrokken zijn. Een weigering kan een eerdere gegevensoverdracht niet ongedaan maken.
Dit gaat ook over jouw gewone dinsdagmiddag
Het onderwerp is gevoelig omdat bezoek aan een erotische website zeer persoonlijke informatie kan onthullen.
Maar laten we het probleem niet opsluiten in die categorie.
Denk aan iemand die informatie zoekt over een ziekte, schulden, een scheiding of een politieke overtuiging.
Niet elk bezoek bewijst iets over die persoon. Misschien zoekt hij voor iemand anders. Misschien is hij journalist. Misschien klikte hij verkeerd.
Een verzameld gegeven is nog geen juiste conclusie.
Toch kan het worden gebruikt om een profiel op te bouwen.
Daarom gaat dit over de vrijheid om iets te kunnen uitzoeken zonder dat er meteen een commerciële toeschouwer naast je komt zitten.
Incognito heeft een beperktere taak
Google legt zelf uit dat incognito je niet onzichtbaar maakt. Na het afsluiten van de privésessie bewaart Chrome de gebruikelijke browsegeschiedenis en tijdelijke sitegegevens niet. Websites en hun diensten kunnen tijdens het bezoek nog steeds informatie verzamelen. 1
Sommige browsers bieden in hun privémodus extra bescherming tegen trackers. Er is dus verschil tussen browsers en instellingen. Maar de naam ‘privé’ is geen algemene anonimiteitsgarantie.
Je IP-adres wordt bij een gewone verbinding zichtbaar voor de server waarmee je contact maakt. Het geeft vaak een globale locatie aan, maar is geen betrouwbaar huisadres of bewijs van iemands identiteit.
Log je ergens in, dan weet die dienst welk account er op bezoek is.
Ook met een donkere bril op.
Niet iedere verbinding is verboden
Een website moet technische gegevens ontvangen om een pagina te kunnen afleveren. Ook bestaan er uitzonderingen voor bepaalde noodzakelijke cookies.
Niet elke gegevensoverdracht vóór een klik is dus automatisch onrechtmatig.
Waarvoor worden gegevens gebruikt? Welke techniek wordt ingezet? Met wie worden ze gedeeld? Welke toestemming of andere rechtsgrond is daarvoor nodig?
Een winkelmandje onthouden is iets anders dan mijn bezoek gebruiken voor advertentieprofilering.
Een scan verdient zorgvuldig onderzoek. Iedere technische verbinding meteen een bewezen overtreding noemen, gaat te ver.
En bij onze buren?
In België benadrukt de Gegevensbeschermingsautoriteit dat niet strikt noodzakelijke cookies in beginsel voorafgaande, geldige toestemming vereisen. Verder surfen geldt niet als toestemming. Toestemming moet weer kunnen worden ingetrokken. 2
Frankrijk kent eveneens handhaving. De Franse toezichthouder legde SHEIN in 2025 een boete op voor cookies zonder toestemming. Dat ging over een webwinkel: de kwestie is breder dan erotische websites. 3
Ook de Britse toezichthouder beschrijft voorafgaande toestemming als uitgangspunt voor niet-noodzakelijke cookies, met uitzonderingen voor bepaalde toepassingen. 4
Buiten Europa verschillen de regels. De Canadese privacytoezichthouder benadrukt dat gevoelige informatie doorgaans uitdrukkelijke toestemming verlangt. In Californië kunnen consumenten onder de toepasselijke wet onder meer bezwaar maken tegen verkoop of delen voor advertentiedoeleinden, ook via het ondersteunde Global Privacy Control-signaal. 56
Dat zijn verschillende beschermingsmodellen. Deze vergelijking bewijst niet dat de Nederlandse meetresultaten ook daar gelden.
Een website wordt niet vanzelf betrouwbaar omdat er ergens een toezichthouder bestaat.
Mijn camera heeft hier niets mee te maken
Welke websites mogen mijn camera gebruiken? Welke mijn microfoon? Welke hebben toestemming voor mijn locatie?
Een videobelgesprek kan camera en microfoon nodig hebben. Een weerwebsite kan met een handmatig ingevoerde plaatsnaam vaak al uit de voeten.
Een pagina die ik alleen wil lezen, heeft meestal weinig reden om mijn microfoon te gebruiken.
Het doorgeven van een IP-adres bewijst overigens niet dat iemand via je camera meekijkt of je microfoon afluistert. Gewone browsertoegang tot die apparaten vereist doorgaans aparte toestemming.
Maar ooit gegeven toestemmingen verdienen een opruimbeurt.
Een digitale sleutelbos wordt vanzelf groter wanneer je nooit sleutels terugvraagt.
Een praktische browsercheck
Laat browser en besturingssysteem automatisch bijwerken. Beveiligingsupdates horen bij het onderhoud.
Zet bescherming tegen trackers aan. Kies waar beschikbaar een strengere stand. Maak alleen een gerichte uitzondering als een vertrouwde website daardoor niet goed werkt.
Blokkeer cookies van derden of gebruik cookie-isolatie. Dat beperkt herkenning tussen websites, maar stopt niet iedere verbinding of gegevensoverdracht naar andere bedrijven.
Weiger niet-noodzakelijke tracking in de cookiebanner. Een browserblokkade en een weigering op de website vullen elkaar aan.
Trek onnodige cameratoestemming in. Geef toegang alleen wanneer je bewust een functie wilt gebruiken.
Doe hetzelfde voor de microfoon. Kies waar mogelijk toestemming voor één keer of voor de duur van het bezoek.
Loop locatietoestemmingen na. Weiger toegang waar die niet nodig is. De globale locatie uit een IP-adres wordt daardoor niet automatisch verborgen.
Controleer meldingen, pop-ups en automatische downloads. Verwijder onbekende uitzonderingen en blokkeer ongewenste meldingen.
Bekijk je extensies. Verwijder wat je niet gebruikt en controleer uitgever en toegangsrechten. Een extensie kan zelf veel gegevens zien.
Gebruik eventueel één betrouwbare inhoudsblokkeerder. Die kan bekende advertentie- en trackingverzoeken tegenhouden voordat ze worden verstuurd. De bescherming is niet volledig.
Laat phishing- en malwarewaarschuwingen ingeschakeld. Kies waar beschikbaar voor HTTPS-verbindingen. Versleuteling bewijst niet dat de ontvanger betrouwbaar is.
Beveilig accounts met unieke wachtwoorden of passkeys en waar nodig een tweede factor. Een privacyvriendelijke browser voorkomt geen gestolen account.
Gebruik incognito voor zijn werkelijke doel. Het beperkt lokale sporen. Downloads en bladwijzers verdwijnen daardoor niet vanzelf.
Wis oude sitegegevens als je opnieuw wilt beginnen. Dat kan je uitloggen. Het verwijdert niet wat een bedrijf eerder heeft ontvangen.
Waar vind je de sleutels?
De namen verschillen per apparaat en versie. Zoek in instellingen naar privacy, site-instellingen, machtigingen, camera, microfoon en locatie.
Chrome op computer: Instellingen → Privacy en beveiliging → Site-instellingen. Bekijk camera, microfoon en locatie en verwijder oude toestemmingen. 7
Firefox op computer: Instellingen → Privacy & Beveiliging → Toestemmingen. Open de instellingen per categorie en verwijder onnodige toegang. 8
Safari op Mac: Safari → Instellingen → Websites. Controleer camera, microfoon en locatie. 9
Android: controleer óók Instellingen → Apps → jouw browser → Machtigingen. Dat zijn de rechten van de browserapp zelf; websites hebben daarnaast eigen toestemmingen.
Windows: controleer óók Instellingen → Privacy en beveiliging → Camera of Microfoon. Systeemtoegang voor desktopapps kan breder werken dan de toestemming voor één website.
Na intrekken van toegang: sluit een eventueel lopend gesprek of opname en controleer dat de gebruiksindicator verdwijnt. Een gewone pagina bekijken hoort geen camerabeeld of microfoonopname nodig te hebben.
Welke browser helpt?
Op basis van hun gedocumenteerde functies zijn dit praktische mogelijkheden; het is geen eigen vergelijkende laboratoriumtest.
Firefox: verbeterde bescherming tegen volgen op Streng, eventueel met uBlock Origin van Raymond Hill. Firefox biedt ook cookie-isolatie. 1011
Brave: ingebouwde Shields blokkeren veel advertenties en trackers en beschermen tegen bepaalde vormen van browserherkenning. Een extra advertentieblokkeerder is doorgaans niet nodig. 12
Safari op Apple-apparaten: laat Voorkom cross-site tracking aanstaan. IP-bescherming hangt af van instellingen en diensten; volledige anonimiteit volgt daar niet uit. 13
Chrome op computer: blokkeer cookies van derden en overweeg uBlock Origin Lite van Raymond Hill. Dit is een andere extensie dan de volledige uBlock Origin. Gebruik de officiële winkelverwijzingen van de ontwikkelaar. 14
Voor een Windows-laptop of Android-telefoon kan Firefox met uBlock Origin, of Brave met ingebouwde bescherming, een praktisch begin zijn. Niet iedere mobiele browser ondersteunt dezelfde extensies als zijn desktopversie.
Ook met deze middelen kan de bezochte website zelf gegevens ontvangen en eventueel via haar eigen server doorgeven. Geen browserinstelling maakt dat onmogelijk.
Een VPN is ook geen onzichtbaarheidsmantel
Een VPN kan je gewone IP-adres voor bezochte websites vervangen door dat van de VPN-server.
Maar inloggen, cookies en andere herkenningspunten kunnen je nog steeds herkenbaar maken. Je verplaatst bovendien vertrouwen naar de VPN-aanbieder.
Een goed slot is geen reden om je sleutels aan iedere voorbijganger uit te delen.
Even naar 2076
Wat volgt is fictie: een mogelijk toekomstbeeld, geen voorspelling.
Mijn achterkleindochter opent een website.
‘Deze site wil je leesgedrag delen met drieënveertig bedrijven,’ zegt haar browser.
‘Waarom?’
‘Dat zou je ervaring verbeteren.’
‘Mijn ervaring wordt beter als dat niet gebeurt.’
‘Al geweigerd.’
In dit denkbeeldige 2076 staat optionele tracking uit totdat iemand er bewust voor kiest. Camera-, microfoon- en precieze locatietoegang verlopen automatisch na de taak. Een overzicht toont welke informatie is gedeeld, met wie en waarom.
Websites verdienen ook aan advertenties die passen bij de pagina, zonder de lezer overal achterna te reizen.
‘Betekent dit dat deze website betrouwbaar is?’ vraagt ze.
‘Nee,’ zegt de browser. ‘Ik heb beperkt wat hij kan verzamelen. Je moet nog steeds nadenken over wat hij vertelt.’
Ook in deze toekomst bestaan oplichting en menselijke fouten. Maar onnodig verzamelen is moeilijker geworden en de keuzes zijn begrijpelijker.
In 2076 begrijpt mijn browser eindelijk dat een raam openen niet betekent dat je iedereen binnen uitnodigt.
Waarom moet ik dit allemaal zelf doen?
Na zo’n checklist begrijp ik het wanneer iemand zucht.
Ik wilde alleen een artikel lezen.
Precies.
De verantwoordelijkheid hoort niet volledig bij de bezoeker terecht te komen. Websites moeten hun gegevensverwerking op orde hebben. Browsermakers moeten begrijpelijke bescherming aanbieden. Toezichthouders moeten kunnen optreden.
Een toestemmingsvenster hoort vóór de betreffende optionele verwerking te komen.
Anders lijkt het op een ober die na het afrekenen vraagt of je de wijn eigenlijk wel wilde.
Mijn doel is niet om bang te worden voor internet.
Ik wil nieuwsgierig kunnen blijven.
Informatie zoeken. Nieuwe ideeën ontdekken. Iets lezen zonder meteen een nieuw advertentieprofiel te worden.
Mijn browser mag onthouden hoe groot ik de letters wil.
Mijn camera, microfoon en persoonlijke belangstelling krijgen voortaan wat minder vanzelfsprekend bezoek.
Read It. Hear It. Wear It.
Two English designs in our Caribbean style. Open an image to view or download the full design.
