How to: Geldige toestemming voor het plaatsen van tracking cookies

Cookies niet kunnen weigeren, helemaal geen toestemming hoeven geven of een niet functionerende website na het weigeren van cookies. Het zijn veel voorkomende fouten. Het gebruik van tracking cookies verloopt dan ook nog niet helemaal soepel. Uit een onderzoek van de Autoriteit Persoonsgegevens (2019) blijkt dat de helft van de onderzochte websites niet voldoet aan de toestemmingsvereisten van tracking cookies. In dit artikel leggen we de veelgemaakte fouten uit én lees je hoe je wel aan de toestemmingsvereisten voldoet. 

Wat zijn tracking cookies?

Tracking Cookies zijn cookies die ook bij een bezoek aan een andere website het internetgedrag van mensen kunnen volgen. Uit deze informatie kunnen persoonlijke interesses worden afgeleid en op basis hiervan worden gerichte advertenties gecreëerd.  Daarnaast maken tracking cookies het mogelijk om profielen van mensen op te stellen en gerichte advertenties aan hen te laten zien. Met tracking cookies worden persoonsgegevens verwerkt. Het is daarom belangrijk om te zorgen dat de cookies op de juiste manier verkregen en gebruikt worden. 

Uiteraard gelden hier wettelijke regels voor. Dat zijn de regels uit de Telecommunicatiewet (hierna: Tw) en de Algemene verordening gegevensbescherming (hierna: AVG). Eén van de belangrijkste regels is dat je de bezoekers van de website moet informeren over het plaatsen van cookies op hun apparaat. Dit staat omschreven in artikel 11.7a van de Tw. Daarnaast moet je in veel gevallen toestemming vragen. Uitzonderingen hierop zijn het plaatsen van functionele en analytische cookies. Bij functionele cookies zijn de cookies technisch noodzakelijk om de website goed te laten functioneren en analytische cookies worden gebruikt om bezoekers te tellen. Voor deze cookies is er geen toestemming nodig, wanneer je aan bepaalden voorwaarden voldoet.

Laten we meteen met de hoofdregel beginnen: voor het gebruik van tracking cookies moeten gebruikers toestemming geven. 

Veelvoorkomende fouten bij tracking cookies

Het gebruik van tracking cookies verloopt nog niet vlekkeloos. Hieronder bespreken we de veelgemaakte fouten. 

Helemaal geen toestemming 

Bij tracking cookies is er actief toestemming van de gebruiker nodig. Maar toch worden er nog regelmatig tracking cookies gebruikt zonder toestemming. Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens (AP) verklaart in een persbericht op de website van de AP waarom de rechtmatige toestemming zo belangrijk is: 

“Mensen kunnen op die manier welbewust en op de juiste manier gebruik maken van hun recht op bescherming van persoonsgegevens. Als op een website wordt gevraagd om toestemming voor tracking cookies en bij weigering daarvan toegang tot de website of service niet mogelijk is, staan mensen onder druk hun persoonsgegevens af en dat is onrechtmatig.” 

Wanneer er wel toestemming wordt gevraagd, gebeurt dit soms op de verkeerde manier. Op veel websites wordt er voor het gebruik van cookies geen geldige toestemming verkregen, er is dan bijvoorbeeld geen sprake van vrije toestemming. 

Cookiewall 

Met een cookiewall is er bijvoorbeeld geen sprake van vrije toestemming. Dit betekent dat de toestemming ongeldig is verkregen, want een bezoeker kan de website alleen gebruiken wanneer de tracking cookies geaccepteerd worden. Er is geen andere keuze wanneer je de website wilt gebruiken. Een cookiewall is op grond van de AVG niet toegestaan. 

Opt-out standaardinstellingen

Op 1 oktober 2019 heeft het Europees Hof van Justitie uitspraak gedaan over een standaard aangevinkt selectievakje. De toestemming die op deze wijze verkregen wordt is niet rechtsgeldig. In dit geval geeft de bezoeker geen toestemming door een actieve handeling; de tracking cookies worden ook gebruikt wanneer de bezoeker niets doet.

Geïmpliceerde toestemming

Implied consent is ook een veelvoorkomende fout. Een voorbeeld van zo’n implied consent is de volgende melding: 

‘Als je gebruikmaakt van deze site ga je akkoord met het gebruik van cookies.’ 

In dit geval wordt de bezoeker geacht akkoord te zijn. De toestemming wordt ook verleend wanneer je op een link op de website klikt in plaats van op akkoord zelf. Zo’n melding kun je niet weigeren. Eigenlijk ben je al akkoord, zonder dat je daadwerkelijk op ‘akkoord’ hebt geklikt. Dit is geen vrije toestemming en valt onder geïmpliceerde toestemming. 

Tracking cookies gebruiken volgens de regelgeving 

De AVG stelt strenge eisen aan het gebruik van cookies. Er zijn vooral strenge eisen gelegd aan de geldige toestemming. Een belangrijke eis is dat bezoekers van een website vrij moeten zijn om toestemming te geven, maar ook om toestemming te weigeren. “De AVG ziet toestemming niet als ‘vrij’ als iemand geen echte of vrije keuze heeft. Of als diegene toestemming niet kan weigeren zonder nadelige gevolgen”, aldus Wolfsen van de AP. 

Cookies accepteren of weigeren

In principe verkrijg je geldige toestemming met de keuze tussen het wel of niet accepteren van tracking cookies. Het is pas écht een geldige toestemming wanneer de tracking cookies pas gebruikt worden wanneer de bezoeker op ‘akkoord’ klikt. Het venster sluiten of op ‘niet akkoord’ klikken moet er niet voor zorgen dat de cookies alsnog gebruikt worden.  Belangrijk is dat de website toegankelijk moet blijven, ook wanneer de bezoeker cookies weigert.  De keuze voor tracking cookies moet een aparte keuze zijn. Het moet mogelijk zijn om de functionele en analytische cookies te accepteren en de tracking cookies te weigeren. 

Betaling 

Betaling is in de toekomst wellicht een alternatief om een website zonder cookies beschikbaar te maken. Dit is vooral een idee voor website die afhankelijk zijn van reclame-inkomsten. De bezoeker heeft dan de keuze tussen het betalen met persoonlijke data (accepteren van tracking cookies) of betalen met geld (weigeren van tracking cookies). 

Mag je ongevraagde cookies plaatsen?

Op de website mogen geen cookies geplaatst worden zonder toestemming van de bezoeker. Het is belangrijk dat bezoekers de mogelijkheid krijgen om tracking cookies te accepteren of weigeren. Dit kan door een pop-up met een duidelijke keuze tussen ‘ja’ en ‘nee’. Wanneer de bezoeker op nee klikt, moet de website nog wel toegankelijk blijven. Het blijft tenslotte vrije toestemming. 

Let op: afhankelijk van wanneer je dit artikel leest kan deze informatie verouderd zijn. De artikelen op deze website bevatten algemene juridische informatie, maar uitdrukkelijk geen één-op-één advies. Hulp nodig bij jouw specifieke situatie? Neem dan contact met ons op.