Trackingcookies: zo voorkom je veelgemaakte fouten

De cookieregels bestaan al jaren. Toch blijkt het voor websitebeheerders lastig om precies te weten welke cookies en andere trackingtechnieken hun websites gebruiken.

Dat is meer dan een administratief probleem. Online tracking kan leiden tot uitgebreide profielen van internetgebruikers. Het Rathenau Instituut beschrijft in De prijs van gratis internet hoe gegevens worden verzameld, gecombineerd, geanalyseerd en verhandeld. Dat kan gevolgen hebben voor onder meer privacy, autonomie en veiligheid.

Lars de Bie is werkzaam bij de afdeling Systeemtoezicht en probeert organisaties te helpen om de regels goed toe te passen. Handhaving is daar één kant van, voorlichting de andere. “Je kunt beboeten als iemand het fout doet. En je kunt ook proberen mensen te overtuigen om het in eerste instantie meteen goed te doen.”

Wanneer heb je toestemming nodig?

Een eerste bron van verwarring is dat er allerlei verschillende cookies zijn. Voor functionele cookies, bijvoorbeeld om de inhoud van een winkelmandje te onthouden of een gebruiker ingelogd te houden, is geen toestemming nodig. Dat geldt ook voor bepaalde analytische cookies, zolang die weinig gevolgen hebben voor de privacy.

Bij trackingcookies ligt dat anders. Daarmee kunnen bezoekers over websites of in apps worden gevolgd, bijvoorbeeld om een profiel op te bouwen en gepersonaliseerde advertenties te kunnen tonen. Daarvoor moet een bezoeker vooraf toestemming geven.

Juridisch spelen daarbij twee regelingen een rol. De Telecommunicatiewet stelt regels aan het opslaan en uitlezen van informatie op het apparaat van een gebruiker. Zodra daarbij persoonsgegevens worden verwerkt, komt ook de Algemene verordening gegevensbescherming (AVG) in beeld.

Wat het nog complexer maakt, is dat de techniek ondertussen verandert. Browsers beperken steeds vaker third party cookies, cookies die worden geplaatst door een andere partij dan door de eigenaar van de website die je bezoekt. Trackingbedrijven wijken daarom uit naar technieken als server-side tracking, waarbij gegevens via de server van de website worden doorgestuurd, en fingerprinting, waarbij kenmerken van het apparaat en browser van de websitebezoeker samen een herkenbaar profiel vormen. De regels verdwijnen daarmee niet. Ook bij andere trackingtechnieken moet je beoordelen welke persoonsgegevens je van websitebezoekers verzamelt en of daarvoor toestemming nodig is.

Websites volgen gebruikers vaak ongemerkt

Een belangrijke oorzaak van fouten is verrassend simpel: websitebeheerders weten niet altijd wat er op hun eigen site gebeurt. Een ingesloten video, plattegrond of chatfunctie, een plug-in of analysetool kan scripts van andere partijen laden. Soms worden daarbij gegevens verzameld waar de beheerder zelf helemaal niets mee doet.

Dat kan soms flink uit de hand lopen, vertelt Lars de Bie. “In de praktijk zie je dat soms wel honderden partijen betrokken zijn. Dan staan er bijvoorbeeld ook Japanse of Koreaanse advertentiebedrijven tussen die hier meestal weinig te zoeken hebben. De persoonsgegevens van jouw websitebezoekers kan daar potentieel wel naartoe gaan. Dat laat vooral zien hoe weinig organisaties er soms bij stilstaan wat ze op hun eigen website installeren.”

Ook binnen grotere organisaties kan het overzicht verdwijnen. De ene afdeling installeert een analysetool, een andere voegt een marketingtool toe en degene die de cookiebanner beheert, weet daar niet altijd van.

Drie dingen die vaak misgaan

Senior Inspecteur Ilja van Gog werkt bij de afdeling Eerstelijns Onderzoek en ziet bij websites een aantal fouten steeds terugkomen.

De eerste is dat trackingcookies al worden geplaatst vóórdat een bezoeker toestemming heeft gegeven. “Dat kan bijvoorbeeld gebeuren doordat een externe tool of ingesloten onderdeel direct bij het laden van de pagina actief wordt.”

Een tweede veelvoorkomend probleem is de weigerknop. Soms ontbreekt die op de eerste laag van de cookiebanner, soms werkt hij niet goed. Accepteren en weigeren moeten even eenvoudig zijn. Een opvallende knop voor Alles accepteren naast een nauwelijks zichtbare mogelijkheid om cookies te weigeren voldoet daar niet aan.

De derde fout zit ná het geven van toestemming. Een bezoeker moet die toestemming ook weer eenvoudig kunnen intrekken. De website moet duidelijk maken waar dat kan, bijvoorbeeld via een link naar de cookie-instellingen in de footer.

Volgens de AP gebeurt dit zelden met kwade bedoelingen. Websitebeheerders denken vaak dat hun banner goed is ingesteld of vertrouwen op de standaardinstellingen van hun software. Soms ziet de AP zelfs een cookiebanner op een website die alleen functionele en beperkte, privacyvriendelijke analytische cookies gebruikt. Zo'n banner is dan helemaal niet nodig.

Website-eigenaar is altijd verantwoordelijk

Veel organisaties gebruiken voor hun cookiebanner een consentmanagementplatform (CMP). Zo'n platform inventariseert cookies en andere trackers en regelt vervolgens welke scripts wel of niet mogen worden geladen op basis van de keuze van de bezoeker. Ook kan een CMP bezoekers de mogelijkheid geven hun toestemming later weer in te trekken.

Vooral voor kleinere organisaties kan dat veel technisch werk schelen. Toch ben je als beheerder niet klaar als je zo’n platform hebt geïnstalleerd. De standaardinstellingen van veel CMP’s voldoen volgens de AP lang niet altijd aan de Nederlandse en Europese regels. Sommige platformen zijn bijvoorbeeld ontwikkeld voor markten waar andere privacyregels gelden.

De verantwoordelijkheid blijft daarom bij de organisatie achter de website liggen. Je kunt bij een controle niet volstaan met de mededeling dat een websitebouwer of leverancier de cookiebanner heeft ingericht.

Daarom is het belangrijk ook zelf regelmatig te controleren wat er daadwerkelijk op de website gebeurt. Dat kan via de developertools van de browser of met speciale analysetools. De AP verwijst op haar website naar hulpmiddelen en legt uit aan welke eisen een heldere cookiebanner moet voldoen.

Minder verzamelen is ook een optie

Er is nog een manier om het eenvoudiger te maken: kritisch kijken welke gegevens je werkelijk nodig hebt. Wie geen trackingcookies gebruikt, hoeft daar ook geen toestemming voor te vragen. Voor sommige websites zijn functionele cookies en beperkte analytische gegevens voldoende.

Ook voor advertenties bestaan alternatieven. Het Rathenau Instituut noemt contextueel adverteren als een mogelijke richting. Daarbij wordt een advertentie afgestemd op de inhoud van de pagina, bijvoorbeeld een advertentie voor hardloopschoenen bij een artikel over hardlopen. Er hoeft dan geen persoonlijk profiel van de bezoeker te worden opgebouwd.

Dat past ook bij een eenvoudige vuistregel die Lars de Bie gebruikt: “Wij zeggen altijd: wat je niet hebt, kan niet lekken of gestolen worden.” Gegevens die je niet verzamelt, kunnen ook niet worden doorverkocht of op een andere manier op een plek terechtkomen waar je ze niet wilt hebben.

Eerst helpen, daarna kan handhaving volgen

De AP houdt actief toezicht op cookies en tracking. Organisaties waarbij de toezichthouder mogelijke overtredingen ziet, krijgen in veel gevallen eerst een waarschuwingsbrief en tijd om hun website aan te passen. Ook biedt de AP informatie en organiseert de toezichthouder informatiesessies.

Wie na een waarschuwing geen actie onderneemt, kan met nader onderzoek en uiteindelijk een sanctie te maken krijgen. Zo heeft de AP eerder boetes opgelegd voor het zonder geldige toestemming plaatsen van trackingcookies.

Het liefst ziet de AP dat een organisatie het probleem zelf oplost. Dat gebeurt ook vaak: van de organisaties die een waarschuwing krijgen, past volgens Lars de Bie driekwart de website binnen de gestelde termijn aan.

Voor websitebeheerders is de eerste stap daarom overzichtelijk: kijk regelmatig welke cookies, scripts en andere trackingtechnieken je website daadwerkelijk gebruikt. Controleer vervolgens of je daarvoor toestemming nodig hebt en of je cookiebanner die keuze eerlijk aanbiedt. Op de website van de Autoriteit Persoonsgegevens vind je de richtlijnen voor een heldere cookiebanner en verwijzingen naar hulpmiddelen waarmee je zelf aan de slag kunt.