Gastblog: Europese toezichthouders starten een gezamenlijke Cookiebanner Taskforce
Is jouw cookiebanner al op orde?
Max Schrems is in privacyland een bekende naam. Privacyvoorvechters hebben zijn foto boven hun bed hangen, maar in het zakenleven krijgen de meesten een paniekaanval als zijn naam weer in het nieuws komt. Door een klacht van Schrems werd het Privacy Shield (en de voorganger hiervan, de Safe Harbor Privacy Principles) ongeldig verklaard. Persoonsgegevens verwerken in de Verenigde Staten is daardoor een stuk ingewikkelder geworden.
Cookiebanners voldoen vaak niet aan de eisen
Schrems is niet van plan te stoppen met zijn strijd voor privacy. Dit jaar richt hij zich op naleving van de Europese cookiewetgeving. Zijn stichting NOYB, heeft meer dan 400 klachten ingediend bij meerdere toezichthouders over cookiebanners die in strijd zijn met de Algemene verordening gegevensbescherming (AVG). Mede door deze klachten is de EDPB (het samenwerkingsverband van Europese toezichthouders) een Cookiebanner Taskforce gestart. Hoog tijd om je eigen cookiebanner dus even te controleren!
Cookies, wat zijn dat ook alweer?
Cookies zijn kleine tekstbestandjes met informatie die op de apparatuur van een gebruiker worden geplaatst door websites of apps. Deze bestandjes worden gebruikt om dingen te onthouden. Je kunt het vergelijken met de volgende situatie. Stel je loopt een elektronicawinkel in en blijft geïnteresseerd staan bij een prachtige laptop. Een medewerker plakt vervolgens een post-it op je rug met daarop informatie over je interesses (de laptop). De volgende dag loop je weer die winkel in en de winkelmedewerker kan aan de post-it precies zien waar jouw interesses liggen en kan daar dan op inspelen. Het is wel belangrijk om op te merken dat in het algemeen vaak wordt gesproken over ‘cookies’, maar de wet kent een dergelijke term niet. De regels die gelden voor cookies gelden voor alle vormen van digitaal tracken, zoals fingerprinting en web beacons.
Mag dat zomaar?
In het geval van strikt functionele en privacyvriendelijke mogen analytische cookies wel. Voor alle andere cookies moet eerst om toestemming gevraagd worden, aldus de Telecommunicatiewet. Deze toestemming moet voldoen aan de vereisten van toestemming die in de AVG gegeven worden. Dit houdt in dat toestemming vrijelijk, specifiek, geïnformeerd en ondubbelzinnig moet zijn. De toestemming moet ook een actieve handeling zijn. Dus een simpel “door gebruik van de website bent u akkoord” is niet voldoende. Verder moet toestemming op ieder moment ingetrokken kunnen worden. Een cookiebanner moet dus onder andere aan de volgende vereisten voldoen:
bezoekers moeten toestemming kunnen weigeren (anders is het geen vrije keuze);
er moet duidelijk uit blijken waarvoor precies toestemming wordt gevraagd;
het moet duidelijk zijn voor bezoekers wat er met hun gegevens gebeurt als er toestemming wordt gegeven;
toestemming moet op een actieve manier verkregen worden (dus geen ‘wie zwijgt stemt toe’ of vooraf aangevinkte hokjes).
Strikt functionele cookies, zoals load balancing cookies en winkelmandje-cookies, mogen zonder toestemming geplaatst worden. Hierbij geldt dan wel dat deze cookies niet voor andere doeleinden gebruikt mogen worden dan voor het functionele doeleinde. Privacyvriendelijke cookies, zoals Google Analytics, mogen, als deze zijn ingesteld volgens de handleiding van de Autoriteit Persoonsgegevens (AP), ook zonder toestemming geplaatst worden.
Grote verschillen tussen landen
De regels met betrekking tot cookies kunnen verschillen per lidstaat. Zo is het gebruik van Google Analytics (onder voorwaarde) zonder toestemming mogelijk in Nederland, maar kan het je in België een fikse boete opleveren. Een van de doelen van de taskforce is dan ook om door uitleg en analyses deze regelgeving meer gelijk te trekken. Verder heeft de taskforce het doel om elkaar te ondersteunen met nationale werkzaamheden en de communicatie te verbeteren. Of de taskforce zich ook met individuele zaken gaat bezighouden is nog niet helemaal duidelijk. Wel is het dus goed mogelijk dat bepaalde verplichtingen uit andere landen hier ook gaan gelden. Zo is het bijvoorbeeld in Griekenland verplicht dat de knoppen voor “alles accepteren” en “alles afwijzen” dezelfde grootte en kleur hebben. Het kan dus maar zo zijn dat dit straks ook in Nederland gaat gelden.
Better Safe Than Sorry
De veilige optie is om duidelijke informatie in de cookiebanner te zetten en bezoekers twee even duidelijke knoppen aan te bieden met “alles accepteren” en “alles afwijzen”. Misschien is dit commercieel gezien niet optimaal, maar vergeet niet dat de cookiebanner een uithangbord voor je website is. Het is (als het goed is) het eerste wat bezoekers zien. Internetgebruikers worden steeds meer privacybewust, laat dus een goede indruk achter door de cookiebanner gewoon goed te regelen!
