Cookies en toestemming

Het juridisch kader

Voor cookies gelden twee sets regels. De ePrivacyrichtlijn 2002/58/EG (artikel 5, lid 3) regelt het opslaan van informatie op, of het verkrijgen van toegang tot informatie op, het toestel van een gebruiker. Elke lidstaat zet ze om in eigen recht (in België bijvoorbeeld in artikel 129 van de wet van 13 juni 2005 betreffende de elektronische communicatie), dus de details en de handhaving verschillen per land. De AVG regelt de verwerking van de persoonsgegevens die daarop volgt. De regels gelden voor cookies, pixels, lokale opslag, software development kits in apps en vergelijkbare technologieën.

De ePrivacyregel is: eerst toestemming vragen, met één uitzondering. Cookies die strikt noodzakelijk zijn om een dienst te leveren die de gebruiker uitdrukkelijk heeft gevraagd, of die alleen dienen om een communicatie te verzenden, mogen zonder. Denk aan een sessiecookie voor een winkelmandje, een inlogcookie of een cookie voor load balancing. Voor analyse, advertenties, plug-ins van sociale media, A/B-testen en personalisering heb je meestal wel toestemming nodig. De uitzondering "strikt noodzakelijk" wordt eng uitgelegd.

Wat toestemming betekent

De AVG-definitie geldt (artikelen 4, punt 11 en 7): vrij, specifiek, geïnformeerd en ondubbelzinnig, gegeven door een duidelijke actieve handeling. Het Hof van Justitie oordeelde in Planet49 (zaak C-673/17) dat vooraf aangevinkte vakjes geen geldige toestemming zijn. Dat betekent:

• geen niet-essentiële cookie voordat de gebruiker heeft gekozen;
• geen toestemming door te scrollen, verder te surfen of niks te doen;
• aanvaarden en weigeren moeten even makkelijk zijn, dus in de praktijk staan beide opties op het eerste niveau van de banner;
• toestemming per doel, met de mogelijkheid om apart te geven of te weigeren;
• de toegang tot de site niet afhankelijk maken van het aanvaarden van tracking ("cookie wall") als dat de gebruiker een vrije keuze ontneemt;
• intrekken moet even makkelijk zijn als toestemming geven, meestal via een permanente link naar de instellingen;
• de gebruiker moet weten wie de derde partijen zijn en wat elk doel is.

Nationale autoriteiten publiceren richtsnoeren in die geest, en de Europese Raad voor gegevensbescherming heeft richtsnoeren over toestemming uitgebracht. De Belgische Gegevensbeschermingsautoriteit (GBA) heeft bijvoorbeeld een cookiechecklist voor website-uitbaters. Ze zegt zelf dat de lijst niet exhaustief is en geen nieuwe verplichtingen schept, maar ze toont wat een autoriteit verwacht, waaronder de weigeroptie op het eerste niveau. Check de actuele richtsnoeren van het land dat je target voordat je erop bouwt.

Informatie en bewijs

Cookies die persoonsgegevens verzamelen, brengen ook de informatieplichten uit artikelen 13 en 14 mee. Je moet kunnen aantonen waarmee de gebruiker wanneer instemde, dus bewaar de toestemmingen. Kinderen zijn een apart geval: volgens artikel 8 AVG is 16 jaar de standaardleeftijd voor toestemming bij diensten van de informatiemaatschappij. Lidstaten mogen die leeftijd verlagen, maar niet onder 13 jaar. In België is dat bijvoorbeeld 13 jaar.

In de praktijk

Een meubelhandelaar heeft een banner met een grote knop "Alles aanvaarden" en een kleine grijze link "Voorkeuren beheren". Scripts voor analyse en advertenties starten zodra de pagina laadt, vóór enige klik. Een scan toont 23 cookies, waarvan er maar zes strikt noodzakelijk zijn. Volgens de regels hierboven heeft de handelaar twee problemen: de niet-essentiële cookies worden zonder toestemming geplaatst, en weigeren kost meerdere klikken terwijl aanvaarden er één kost.

De oplossing is evengoed technisch als juridisch. Blokkeer tags tot er toestemming is, geef de banner een gelijkwaardige knop "Alles weigeren", zorg dat de categorieën kloppen en zet een link naar de instellingen in de voettekst. De privacyverklaring moet de cookies en hun bewaartermijn opsommen. Na de aanpassingen checkt de handelaar opnieuw, want een nieuwe marketingtool die het bureau toevoegt, kan het werk in een week ongedaan maken.

Technologie-audits van websites beschrijven hoe die controle werkt.

Voorbij de banner

Analyse met een identificator die over sites heen werkt, advertentienetwerken en tools voor sessieweergave brengen gezamenlijke verwerkingsverantwoordelijkheid, doorgiften en soms een DPIA mee. Gebruik het verwerkingsregister om elke tool, haar doel en haar rechtsgrond op te lijsten.

Veelgestelde vragen

Hebben we een banner nodig als we alleen analyse gebruiken?

Slaat de analysetool informatie op het toestel op of leest ze die, dan wel: dan heb je vooraf toestemming nodig, tenzij de tool onder de enge uitzondering valt. Een meting aan de serverkant die het toestel niet raakt, wordt alleen onder de AVG beoordeeld.

Is "gerechtvaardigd belang" een alternatief voor toestemming bij cookies?

Niet voor het opslaan en lezen van informatie op het toestel. Die stap vraagt toestemming onder de ePrivacyregels, tenzij de cookie strikt noodzakelijk is.

Hoelang geldt een cookiekeuze?

Daar is geen vaste wettelijke termijn voor. Kies een redelijke termijn, vraag opnieuw als je cookies of doeleinden veranderen en laat de keuze altijd herroepbaar.

Wie is verantwoordelijk als een script van een derde cookies plaatst?

De uitbater van de website is verantwoordelijk voor wat zijn website doet. Voor de gegevens die het script verzamelt, kan hij samen met de derde gezamenlijk verantwoordelijk zijn.

Hoe dit samenhangt

Cookiecompliance is een vast onderdeel van DPO as a Service. Het register legt de betrokken tools vast, en een DPIA is nodig als de tracking uitgebreid is. In het klantenportaal werken jouw team en de DPO deze punten af.