Cookietoestemming: wat de ePrivacy-regels vereisen

Cookiebanners zijn het zichtbaarste onderdeel van het Europese privacyrecht en het onderdeel dat het vaakst verkeerd wordt uitgevoerd. De regels komen uit twee instrumenten die samenwerken: de ePrivacy-richtlijn 2002/58/EG bepaalt wanneer toestemming nodig is, en de AVG bepaalt wat telt als toestemming.

De regel in één zin

Artikel 5, lid 3, van de ePrivacy-richtlijn, zoals gewijzigd in 2009, staat het opslaan van informatie op het apparaat van een gebruiker, of het uitlezen van informatie die daar al is opgeslagen, alleen toe als de gebruiker toestemming heeft gegeven na duidelijke en volledige informatie, tenzij de opslag of toegang uitsluitend dient om een communicatie te verzenden of strikt noodzakelijk is om een dienst te leveren waar de gebruiker uitdrukkelijk om heeft gevraagd.

Daaruit volgen drie consequenties:

• De regel is technologieneutraal. Cookies, lokale opslag, trackingpixels, device fingerprinting en vergelijkbare technieken vallen er allemaal onder. De EDPB-richtsnoeren 2/2023 leggen uit hoe ruim ‘opslag’ en ‘toegang’ worden uitgelegd.
• De regel is niet beperkt tot persoonsgegevens. In Planet49 (C-673/17) bevestigde het Hof van Justitie dat artikel 5, lid 3, van toepassing is, ongeacht of de opgeslagen informatie persoonsgegevens zijn.
• Toestemming komt eerst. Niet-essentiële scripts mogen niet worden uitgevoerd voordat de bezoeker een keuze maakt.

Wat toestemming geldig maakt

Omdat de ePrivacy-richtlijn de definitie van toestemming ontleent aan het gegevensbeschermingsrecht, geldt de maatstaf van de AVG (artikel 4, punt 11, artikel 7 en artikel 94, lid 2, dat verwijzingen naar de oude Richtlijn 95/46/EG doorverwijst naar de AVG). Toestemming moet zijn:

1. Vrij gegeven: weigeren mag niet leiden tot slechtere voorwaarden dan accepteren, verder dan strikt noodzakelijk is. Cookiewalls die de toegang blokkeren tenzij de bezoeker accepteert, worden door Europese toezichthouders algemeen als onverenigbaar hiermee beschouwd.
2. Specifiek: afzonderlijke doeleinden (analytics, advertenties, personalisatie) vragen om afzonderlijke keuzes.
3. Geïnformeerd: de bezoeker moet weten wie wat verzamelt, voor welk doel en hoelang. In Planet49 oordeelde het Hof dat informatie over de werkingsduur van cookies en over de vraag of derden er toegang toe hebben, hiervan deel uitmaakt.
4. Ondubbelzinnig: een duidelijke actieve handeling. Planet49 sloot vooraf aangevinkte vakjes uit; scrollen of ‘verder surfen’ is evenmin toestemming (EDPB-richtsnoeren 05/2020).

De AVG voegt twee operationele plichten toe: de verwerkingsverantwoordelijke moet de toestemming kunnen aantonen (artikel 7, lid 1), en het intrekken van toestemming moet even eenvoudig zijn als het geven ervan (artikel 7, lid 3). In de praktijk betekent dat een opgeslagen toestemmingsregistratie en een permanente manier om de banner opnieuw te openen.

Bannerontwerp: waar toezichthouders bezwaar tegen maakten

In januari 2023 publiceerde de EDPB het verslag van zijn Cookie Banner Taskforce, waarin de gemeenschappelijke standpunten van de nationale autoriteiten zijn samengevat. Tot de praktijken die de meeste autoriteiten problematisch vonden, behoren:

• geen knop ‘Weigeren’ in de eerste laag terwijl daar wel een knop ‘Accepteren’ staat;
• vooraf aangevinkte vakjes voor doeleinden of aanbieders in de tweede laag;
• een misleidende link in plaats van een knop voor de weigeroptie;
• misleidende knopkleuren en contrasten die ‘Accepteren’ tot de enige voor de hand liggende keuze maken;
• een beroep op ‘gerechtvaardigd belang’ voor tracking waarvoor toestemming nodig is;
• niet-essentiële cookies indelen als ‘essentieel’;
• geen eenvoudige manier om toestemming achteraf in te trekken.

De nationale handhaving volgt dezelfde lijnen. De Franse CNIL legde bijvoorbeeld eind 2021 (bekendgemaakt in januari 2022) boetes op aan Google en Facebook, omdat het weigeren van cookies meer klikken kostte dan het accepteren.

Wat is vrijgesteld

De uitzondering voor ‘strikt noodzakelijke’ opslag is smal en wordt beoordeeld vanuit het perspectief van de bezoeker: opslag zonder welke de dienst niet kan werken. Typische voorbeelden zijn een cookie voor het winkelmandje, een sessiecookie na het inloggen, een loadbalancingcookie of de cookie die de toestemmingskeuze zelf onthoudt. Analytics, A/B-tests, advertenties en socialemediapixels zijn in het algemeen niet strikt noodzakelijk, ook niet als het first-party cookies zijn of als ze ‘geanonimiseerd’ zijn. Sommige nationale autoriteiten aanvaarden beperkt ingestelde bezoekersmeting zonder toestemming; controleer de regels van het land waarop u zich richt voordat u daarop vertrouwt.

Toestemmingsframeworks en tagmanagers

Consentmanagementplatforms (CMP’s) en het IAB Transparency & Consent Framework standaardiseren hoe keuzes aan adverteerders worden doorgegeven. In IAB Europe (C-604/22) oordeelde het Hof van Justitie dat de ‘TC String’ waarin de voorkeuren van een gebruiker zijn gecodeerd, een persoonsgegeven kan zijn en dat de organisatie die zo’n framework beheert, gezamenlijk verwerkingsverantwoordelijke kan zijn. Een CMP is een hulpmiddel, geen garantie: een verkeerd ingestelde CMP laadt trackers nog steeds te vroeg. Evenzo vervangen ‘consent modes’ aan de browserkant, die het gedrag van tags aanpassen, de toestemming niet; ze veranderen alleen wat er na de keuze wordt verzonden.

Zo test u uw eigen banner in tien minuten

1. Open een privévenster, open de ontwikkelaarstools op de tabbladen Network en Application en laad de homepage. Klik nergens op.
2. Noteer elke cookie, elk opslagitem en elk verzoek aan derden. Alles wat verder gaat dan strikt noodzakelijk is een bevinding.
3. Klik op ‘Weigeren’. Ga naar nog twee pagina’s. Niet-essentiële verzoeken moeten uit blijven.
4. Wis alles, laad de pagina opnieuw en klik op ‘Accepteren’. Vergelijk: het verschil is wat uw banner werkelijk regelt.
5. Zoek de weg terug: een link of pictogram waarmee de banner op elke pagina opnieuw kan worden geopend.

Geautomatiseerde scanners doen precies dit op grote schaal en herhalen het na elke release; daar verdienen ze hun prijs. Vergelijk de diensten die we beoordelen op de vergelijkingspagina.