Wat ziet je internetprovider van je internetgedrag, met en zonder VPN?

"Je provider ziet alles wat je doet" is een populaire verkoopzin voor VPN's. Hij klopt niet. Je provider ziet minder dan die zin suggereert, maar meer dan de meeste mensen denken. Wat ervan wordt bewaard, staat in de privacyverklaringen van KPN, Ziggo en Odido; wij hebben die nagelezen. Dit is wat je provider technisch ziet, wat de wet zegt, en wat een VPN daaraan verandert en wat niet.

Door de redactie van VPNwijzer · Laatst bijgewerkt: september 2026 · Dit is algemene informatie, geen juridisch advies.

Sluit je via een link op deze pagina een abonnement af, dan kunnen wij een commissie ontvangen. Dat kost jou niets extra en verandert ons oordeel niet. Disclosure · Hoe wij beoordelen.

Wat je provider technisch kan zien zonder VPN

Bijna alle websites gebruiken https. De inhoud is dan versleuteld: je provider ziet niet welke pagina je op een site bekijkt, wat je intypt of wat er in je mail of chat staat. WhatsApp en Signal zijn bovendien end-to-end versleuteld. Wat wél leesbaar door het netwerk gaat, zijn de adresgegevens eromheen:

Kortom: geen inhoud, wel metadata. Wie welke sites bezoekt, wanneer en hoe lang, is daarmee prima te reconstrueren. Hoe een VPN technisch werkt, lees je in wat is een VPN?

Wat de wet zegt: de bewaarplicht is weg, de identificatieplicht niet

Tot 2015 moesten Nederlandse providers verkeersgegevens van internetgebruik (onder meer IP-adressen en tijdstippen) zes maanden bewaren voor politie en justitie. Op 11 maart 2015 stelde de voorzieningenrechter in Den Haag die Wet bewaarplicht telecommunicatiegegevens buiten werking wegens strijd met het EU-Handvest van de Grondrechten: de toegang was te ruim (ook bij fietsendiefstal) en er was geen voorafgaande toets door een rechter. Sindsdien hoeven providers geen internetverkeersgegevens te bewaren voor de opsporing. Een nieuw wetsvoorstel uit 2016 werd na uitspraken van het EU-Hof geparkeerd en in 2018 "ingrijpend afgeslankt", maar is nooit wet geworden.

Wat wel geldt: providers moeten dagelijks naam, adres, e-mailadres en IP-adres van hun klanten aanleveren bij het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT), op grond van artikel 13.4 van de Telecommunicatiewet. Politie, FIOD, AIVD en MIVD kunnen daar bij een concreet onderzoek opvragen wie er achter een IP-adres zit. Het CIOT weet dus wie jij bent, niet wat je deed. Verder mogen providers je verkeersgegevens alleen verwerken om hun dienst te leveren, factureren en beheren, en niet verkopen.

Let op de actualiteit: in juli 2026 schreef minister Van Weel aan de Tweede Kamer dat het kabinet voorstander is van een nieuwe, Europese bewaarplicht en dat "een groot aantal lidstaten" dat volgens hem ook is. De Europese Commissie onderzoekt zo'n bewaarplicht; een wetsvoorstel lag er bij het schrijven van dit artikel nog niet. Meer over de regels rond VPN-gebruik zelf staat in is een VPN legaal?

Wat KPN, Ziggo en Odido zeggen dat ze bewaren

Wij hebben op 12 september 2026 de privacyverklaringen van de drie grote providers nagelezen. Ze verschillen meer dan je zou verwachten.

KPN (privacy statement, versie juni 2026) belooft letterlijk: "Wij kijken niet naar de inhoud van communicatie [...] en houden niet bij welke websites je bezoekt." Gebruiksgegevens worden "voor factureringsdoeleinden gedurende maximaal zes maanden" bewaard en "gegevens over door jou bezochte sites (URL's) worden niet opgeslagen". Tegelijk noemt hoofdstuk 4 URL's wel als gegevens die KPN verwerkt om je verkeer te routeren, en mag KPN die voor netwerkanalyse gebruiken "alleen als je ermee hebt ingestemd". Verwerken en bewaren zijn dus twee verschillende dingen.

VodafoneZiggo (privacy statement van 17 september 2025) noemt onder "Internet" als gebruiksgegevens onder meer datum, tijdstip en duur van een sessie, datavolumes, IP-adres, MAC-adres en "webadressen (bezochte URL's)", op grond van de overeenkomst en toestemming. De inhoud van je internetverkeer wordt "niet door ons verwerkt". Een concrete bewaartermijn voor deze gegevens hebben wij in het deel van de verklaring dat wij konden inzien niet gevonden.

Odido (privacy statement van 1 september 2025) is het meest gedetailleerd. Voor netwerkbeheer verwerkt Odido onder meer "begin- en eindtijd van de datasessie, verbruikt datavolume, IP-adres, poortnummer/protocol, URL's, locatiegegevens, gebruikte apps", en het gebruikt technieken die "het gebruik van apps en toepassingen op het Odido netwerk en veelbezochte websites zien", met als gegevens "hostnamen (URL op hoofddomein), volledige URL's, app/protocol/dienst". Odido zegt erbij niet naar individueel gebruik te kijken. Verbruiksgegevens voor de factuur bewaart het maximaal zes maanden na betaling.

Wat ons opviel toen we deze verklaringen naast elkaar legden (12 september 2026): alle drie beloven niet naar de inhoud te kijken, en dat geloven wij ook. Maar alleen KPN zegt expliciet dat bezochte URL's niet worden opgeslagen, terwijl Odido "volledige URL's" en "gebruikte apps" noemt als gegevens voor netwerkbeheer, op grond van "gerechtvaardigd belang", dus zonder jouw toestemming. Bij https-verkeer kan een provider hooguit het domein zien, geen volledige URL, dus die formulering is waarschijnlijk ruimer dan de praktijk; maar het staat er, en hoe lang die gegevens bewaard blijven staat er niet bij. Wie dat precies wil weten, kan een AVG-inzageverzoek doen; alle drie bieden daar een formulier voor.

Wat er verandert met een VPN

Met een VPN aan ziet je provider nog steeds dat je online bent, wanneer, hoe lang en hoeveel data je verstuurt. Maar alle domeinnamen, IP-adressen en DNS-vragen zitten nu in één versleutelde tunnel naar één IP-adres: de VPN-server. Je provider ziet dus dat je een VPN gebruikt en van welke aanbieder (de serveradressen zijn bekend), verder niets.

Wat vaak wordt weggelaten: het probleem verdwijnt niet, het verhuist. De VPN-aanbieder ziet nu precies wat je provider eerst zag. Je vervangt een Nederlands bedrijf dat onder de AVG en de Telecommunicatiewet valt en zijn bewaarbeleid publiceert, door een buitenlands bedrijf waarvan je het beleid moet vertrouwen. Dat is een redelijke ruil als de aanbieder zijn no-logbeleid regelmatig extern laat controleren. Proton VPN liet in mei 2026 voor het vijfde jaar op rij Securitum de servers inspecteren; NordVPN liet eind 2025 voor de zesde keer een assurance-onderzoek door Deloitte uitvoeren. Een audit is een momentopname, geen garantie, maar meer dan een belofte op een website. Hoe wij dat wegen staat in onze methodologie. En valt de VPN even weg, dan loopt je verkeer weer via je provider; zie wat een kill switch doet.

Deeloplossingen zonder VPN: DNS-over-HTTPS en Encrypted Client Hello

Twee technieken dichten een deel van het gat zonder je verkeer om te leiden. DNS-over-HTTPS (DoH) versleutelt de DNS-vraag. Firefox heeft het ingebouwd, maar zet het alleen in de VS, Canada, Rusland en Oekraïne standaard aan, niet in Nederland; je moet het dus zelf activeren. Chrome en Windows 11 gebruiken DoH automatisch als je DNS-server het ondersteunt, wat bij de server van je provider meestal niet zo is; stel dan bijvoorbeeld Quad9 of Cloudflare in. Nadeel: je verplaatst het DNS-inzicht naar die partij.

Encrypted Client Hello (ECH) versleutelt het SNI-veld, zodat de domeinnaam ook niet meer in de https-handshake staat. De standaard is in maart 2026 gepubliceerd als RFC 9849. Firefox heeft ECH sinds versie 119 standaard aan (alleen effectief samen met DoH), Chrome ook zodra versleutelde DNS in gebruik is. Het probleem zit bij de websites: in een meting van Corrata over januari tot maart 2025 bood minder dan 10 procent van de miljoen grootste sites ECH aan en was 0,06 procent van de verbindingen daadwerkelijk met ECH beveiligd; iOS ondersteunde het toen niet. ECH is een goede ontwikkeling, geen oplossing waar je vandaag op kunt rekenen. En het IP-adres van de server blijft altijd zichtbaar, wat bij een site met een eigen server net zoveel zegt als de domeinnaam.

Wat Google, Meta en adverteerders zien, met of zonder VPN

Hier verandert een VPN vrijwel niets. Ben je ingelogd bij Google, YouTube, Instagram of Facebook, dan weten die diensten wie je bent, ongeacht je IP-adres. Trackingpixels en cookies van Meta en Google op andere sites koppelen je bezoek aan je profiel; VodafoneZiggo meldt in zijn eigen privacyverklaring bijvoorbeeld pixels van Meta en TikTok op de eigen websites te gebruiken. En zelfs zonder cookies herkent browser-fingerprinting (schermresolutie, lettertypen, grafische kaart) je apparaat; de EFF laat dat zien met de test Cover Your Tracks. Een VPN verbergt je IP-adres voor de website, meer niet. Tegen adverteerders helpen een tracker-blokkerende browser, uitloggen en cookies weigeren meer dan een VPN.

Voor wie is een VPN hiervoor zinvol?

Je Nederlandse provider mag je surfgedrag niet verkopen, hoeft het sinds 2015 niet te bewaren en zegt (KPN het meest expliciet) bezochte sites niet op te slaan. Wie alleen bang is dat KPN of Ziggo "meekijkt", heeft aan DoH plus een actuele browser al veel. Een VPN voegt vooral iets toe als je niet wilt dat je provider of een netwerkbeheerder überhaupt kan zien welke domeinen je bezoekt, bijvoorbeeld op het werk, in een hotel of op openbare wifi, of als je niet wilt afwachten hoe een Europese bewaarplicht uitpakt. Kies dan een aanbieder met een extern geaudit no-logbeleid; in de vergelijker kun je daarop filteren.

Bronnen

Wij nemen geen claims van aanbieders over zonder ze na te lopen. Dit gebruikten we voor dit artikel:

Bekijk actuele prijs bij Proton VPN Bekijk actuele prijs bij NordVPN

Beide hebben een recent, extern gecontroleerd no-logbeleid; zie onze Proton VPN-review en onze NordVPN-review. Bij een tweejarig abonnement betaal je ± €3 tot €4 per maand, controleer de actuele prijs, en lees in wat kost een VPN echt? wat je na de eerste periode betaalt. Alleen je DNS versleutelen kost niets: dat regel je in je browser.