Cookie Banner – de juridische en technische achtergrond

Het gebruik van cookiebanners in overeenstemming met gegevensbescherming is een van de grootste uitdagingen voor website-exploitanten. Als cookiebanners in overeenstemming met de AVG moeten worden ontworpen, moeten websitegebruikers akkoord kunnen gaan met de verwerking van persoonsgegevens of deze kunnen weigeren met behulp van de cookiebanner. Maar waar moet je op letten als je cookiebanners of cookie content banners wilt gebruiken? Welke regels zijn van toepassing op het gebruik van cookies? Hoe moet de tekst van de cookiebanner eruit zien? Hoe moeten cookiebanners technisch en juridisch worden vormgegeven?

Cookiebanner – persoonlijke gegevens worden opgeslagen

Voor het verwerken van persoonsgegevens worden cookies gebruikt. Dit betekent dat kleine stukjes tekstinformatie op het apparaat van de internetgebruiker worden opgeslagen . De gebruiker of zijn apparaten kunnen op deze manier individueel worden toegewezen. Dit wordt bijvoorbeeld gebruikt voor tracking. Met tracking wordt het gedrag van de gebruiker bijgehouden. Voor deze tracking kunnen het IP-adres, de browservingerafdruk of andere criteria worden gebruikt. Omdat er persoonsgegevens worden verwerkt, moet een cookie voldoen aan de AVG. Hier is de wetgeving inzake gegevensbescherming van toepassing en ook de tekst van de cookiebanner moet dienovereenkomstig worden ontworpen.

Wat zijn cookies eigenlijk?

Cookies zijn in feite tekstbestanden die door de aanbieder van een website op de computer van de gebruiker of een ander eindapparaat worden opgeslagen. Bij een volgend bezoek aan de website worden deze tekstbestanden opnieuw uitgelezen om de navigatie in het netwerk of transacties te vergemakkelijken, en om informatie over het gedrag van websitebezoekers te analyseren. Voorbeelden van hoe cookies werken zijn:

• De websitebezoeker wordt geïdentificeerd, herkend en krijgt op maat gemaakte advertenties.
• De inloggegevens van een gebruiker worden opgeslagen, zodat deze bij een volgend bezoek niet opnieuw hoeven te worden ingevoerd. Dit maakt het bijvoorbeeld makkelijker om weer in te loggen op Facebook.
• de producten die in de winkelwagen zijn geplaatst, worden opgeslagen.

Er zijn in principe verschillende soorten cookies. Het belangrijkste verschil is dat er technisch noodzakelijke en technisch niet-essentiële tekstbestanden zijn . Deze twee varianten worden juridisch verschillend behandeld. Cookies die essentieel zijn voor de werking van een website worden technisch noodzakelijk geacht. Cookies worden technisch niet noodzakelijk geacht als ze worden gebruikt om economische belangen na te streven. Deze omvatten bijvoorbeeld:

• Cookies van social media plug-ins (Twitter, Facebook, Google+, Instagram, Pinterest, LinkedIn)
• Cookies van toepassingen voor het insluiten van video’s, zoals Youtube
• Cookies voor gelieerde diensten
• Cookies van retargetingdiensten
• Cookies van remarketingdiensten
• Online kaartdiensten zoals Google Maps
• Cookies van SZM (schaalbare centrale meetmethoden)

Je kunt met cookies een ander onderscheid maken en deze onderverdelen in essentiële cookies, analysecookies en cookies voor marketingdoeleinden.

• Essentiële cookies zijn alle cookies die nodig zijn voor de werking van de website. Toestemming is niet verplicht voor dit type cookie.
• Analysecookies zijn cookies voor Google Analytics, Matomo of etracker, oftewel tools die bezoekersgedrag analyseren. Deze zijn meestal onderworpen aan goedkeuring.
• Marketingcookies worden altijd gebruikt als het gaat om online adverteren. Deze tools leggen de interesses van websitebezoekers vast zodat op verschillende websites gepersonaliseerde advertenties aan gebruikers getoond kunnen worden. Facebook Pixel, Google Remarketing en Google Adsense behoren tot deze tools. Als je deze tools wilt gebruiken, heb je altijd de toestemming van de websitebezoeker nodig.

Cookiebanner – technisch noodzakelijke en technisch niet-essentiële cookies

Lange tijd konden technisch noodzakelijke cookies worden geplaatst zonder toestemming van de gebruiker. Anderzijds moest voor het plaatsen van cookies die technisch niet noodzakelijk waren altijd de toestemming van de gebruiker worden verkregen. De wet voorziet nu in veel strengere regels . Als een cookie aan de AVG moet voldoen, moet de gebruiker bijna altijd toestemming geven. Dit betekent dat voor het plaatsen van bijna alle cookies toestemming moet worden gegeven . Een cookiebanner moet daarom niet alleen beschikbaar zijn als de cookies voor reclamedoeleinden worden gebruikt, maar ook als comfortfuncties moeten worden vervuld.

Als bijvoorbeeld de taalinstelling van de gebruiker wordt opgeslagen, moet de cookie worden ontworpen in overeenstemming met de AVG. De wettelijke voorschriften moeten ervoor zorgen dat zowel de persoonsgegevens van de gebruiker worden beschermd als zijn recht op zelfbeschikking behouden blijft. Hoewel er nog onderscheid wordt gemaakt tussen het plaatsen van technisch noodzakelijke en technisch niet noodzakelijke cookies, is het niet altijd mogelijk om deze twee varianten duidelijk van elkaar te onderscheiden. Als je volgens de wet wilt handelen, moet je voorzichtig te werk gaan en cookiebanners gebruiken met transparante informatie over het gebruik van cookies . Een cookiebanner met de bijbehorende cookiebannertekst is ook handig voor cookies die worden gebruikt om voorkeuren op te slaan.

Er kan met zekerheid worden gezegd dat voor cookies die worden gebruikt voor marketing, tracking, statistieken of analyse altijd een toestemmingsverklaring moet worden verkregen. Afhankelijk van het type cookies zijn cookiebanners of cookiecontentbanners mogelijk. In principe kan men zeggen:

• Als cookies technisch noodzakelijk zijn, volstaat het om de gebruiker te informeren over het plaatsen van cookies. Dit betekent dat hier een zuivere cookiemelding mogelijk zou zijn.
• Als de toestemming van de gebruiker vereist is voor een cookie volgens de AVG, is een cookiemelding niet voldoende. De gebruiker hoeft niet alleen geïnformeerd te worden over het plaatsen van cookies. De toestemming van de gebruiker moet worden verkregen. Eenvoudige cookiebanners die alleen de gebruiker informeren, dienen dit doel niet. Hier moet een cookie- toestemmingsbanner worden gebruikt.

Aangezien de pure informatie over het plaatsen van cookies zelden voldoende is, zult u in de meeste gevallen een beroep moeten doen op een cookie-inhoudbanner.

Wat zijn cookiebanners?

Wanneer een gebruiker een website voor het eerst bezoekt, verschijnt meestal een cookiebanner. Meestal is de cookiebanner te zien onderaan de website. In sommige gevallen wordt ook een pop-upvenster geopend. De banner bevat een cookiebannertekst die de gebruiker informeert over de cookies en trackers die op de website aanwezig zijn. Met een cookie-toestemmingsbanner heeft de gebruiker ook de mogelijkheid om toestemming te geven voor het gebruik van cookies. Hij kan de verwerking van persoonsgegevens goedkeuren of weigeren. Dankzij de cookies kunnen internetgebruikers worden herkend bij een volgend bezoek. Dit betekent dat als er iets in de winkelwagen is opgeslagen, het bij een volgend bezoek nog steeds beschikbaar is.

Telkens wanneer de gebruiker individuele instellingen heeft gemaakt, kunnen cookies ervoor zorgen dat deze instellingen bij een volgend bezoek aan de website niet opnieuw hoeven te worden uitgevoerd. Cookies zijn noodzakelijk voor de technische werking van een website. Er zijn echter ook niet-essentiële cookies en hier moet de gebruiker de mogelijkheid hebben om er kennis van te nemen en toestemming te geven voor de verwerking van persoonsgegevens of om deze te weigeren. Het is belangrijk om te weten dat de AVG niet beperkt is tot het gebruik van cookies, ook andere technologieën zijn inbegrepen als deze op enigerlei wijze worden gebruikt om persoonsgegevens te verwerken. De term “cookiebanner” kan daarom misleidend zijn en een simpele banner voor cookies is in veel gevallen niet voldoende als u aan de eisen van de AVG wilt voldoen.

Heb ik een cookiebanner nodig voor mijn website?

Als u een website heeft en bezoekers uit de EU (of daarbuiten) heeft, moet u een passende banner hebben. Een cookie-bannergenerator kan hier erg handig zijn. De cookie banner generator dient de banners zo te ontwerpen dat de gebruiker volledig geïnformeerd is over de cookies en de mogelijkheid heeft om een keuze te maken. Voor dit doel moet de cookie-bannergenerator alle cookies scannen en dienovereenkomstig in de banner vermelden. De cookiebannertekst informeert gebruikers over het plaatsen van cookies en kan toestemming worden verkregen. Studies hebben aangetoond dat veel website-exploitanten zich er niet eens van bewust zijn dat de gegevens van hun gebruikers door derden of vierde partijen worden verwerkt. Er zijn bijvoorbeeld Trojaanse paarden waarvan het bestaan vaak niet eens bekend is bij website-exploitanten. Met een krachtig toestemmingsbeheersysteem kunnen pagina’s echter worden gescand op eventuele cookies van andere partijen. Iedereen die de gegevens van zijn gebruikers wil beschermen en ervoor wil zorgen dat zijn cookiebanner AVG-compliant is, heeft een geavanceerde en diepgaande oplossing nodig. Dit is de enige manier om ervoor te zorgen dat alle cookies en trackers ook daadwerkelijk op de website te vinden en te controleren zijn, zoals vereist door de AVG. Immers, wie technisch en functioneel geen overzicht heeft van de gehele website, kan de gegevensbescherming van gebruikers niet garanderen. Een cookiebannergenerator die een cookiebanner kan afspelen die voldoet aan de bepalingen van de AVG is dan ook absoluut noodzakelijk voor website-exploitanten.

Waar moet u op letten bij het in de praktijk implementeren van cookie-inhoudbanners?

Vanwege de wettelijke voorschriften zijn er enkele regels die in acht moeten worden genomen bij het implementeren van een cookie-inhoudbanner. Als banners met cookie-inhoud worden gebruikt, moeten de volgende punten in overweging worden genomen:

• Voordat cookies worden geplaatst waarvoor toestemming nodig is, moet eerst toestemming worden verkregen. Op veel websites is nog een inhaalslag te maken. Het is niet voldoende om een correcte cookiebannertekst te gebruiken als de technische implementatie niet correct werkt.
• Toestemming wordt niet verondersteld als de gebruiker op de website navigeert of scrolt. Dit vormt geen wettelijk conforme toestemming.
• Als er gebruik wordt gemaakt van een cookie-bannergenerator, moet deze de banner zo ontwerpen dat het intrekken van toestemming net zo eenvoudig is als het geven van toestemming.
• Alle cookies waarvoor toestemming wordt verkregen, moeten in de banner zelf of in het cookiebeleid of privacyverklaring worden vermeld. De gebruiker moet geïnformeerd worden in hoeverre de cookies worden verwerkt.
• Voor de toestemmingsverklaring is een bewijs nodig. Dit bewijs wordt geleverd door het plaatsen van een noodzakelijke cookie. De gebruiker moet ook geïnformeerd worden over het plaatsen van deze cookie.

Welke inhoud moet een cookiebanner bevatten?

Als het gaat om de tekst van de cookiebanner, zijn er bepaalde regels. Om te voldoen aan de wettelijke vereisten, moet een cookiebanner het volgende bevatten:

• De tekst van de cookiebanner moet een eerste indicatie geven van het doel waarvoor de cookies worden gebruikt.
• Er moet een verwijzing naar het privacybeleid zijn. Hierin zou meer informatie moeten staan. De gegevensbeschermingsverklaring moet met één klik toegankelijk zijn. Op weg naar de gegevensbeschermingsverklaring mogen geen cookies worden geplaatst die technisch niet noodzakelijk zijn.
• Er moet een knop aanwezig zijn voor het geven van toestemming en een knop voor het weigeren van toestemming.
• De gebruiker moet een keuze hebben en het doel van de cookies kennen waarmee hij moet instemmen. De keuzevakken mogen niet vooraf ingevuld zijn, de gebruiker moet ze zelf aanvinken.

Cookiebanners gebruiken – wat heeft de AVG ermee te maken?

Afhankelijk van hun gebruik en doel kunnen cookies worden gebruikt om persoonsgegevens op te slaan, te analyseren en verder te verwerken. De verzamelde gegevens kunnen ook worden doorgestuurd naar derden. Om deze reden is het gebruik van cookies controversieel. Iedereen die een website beheert, moet daarom bekend zijn met termen als “cookiekennisgeving” en “cookiebeleid”. De AVG is sinds 25 mei 2018 van kracht. Bij de verwerking van persoonsgegevens komt altijd de Europese Algemene Verordening Gegevensbescherming om de hoek kijken. Sinds mei 2018 moeten online retailers en website-exploitanten een cookiemelding op hun website implementeren met de mogelijkheid om bezwaar te maken. De AVG zegt echter weinig over hoe om te gaan met cookiemeldingen. In plaats daarvan heeft de AVG invloed op het privacybeleid van een website. Voor een correcte omgang met cookies dient de Europese ePrivacy Verordening gelanceerd te worden. Dit zou in principe parallel aan de AVG moeten worden ingevoerd. De ePrivacy Verordening is echter keer op keer uitgesteld, waardoor deze tot op heden (per maart 2021) nog niet in werking is getreden.

Cookiebanners zijn verplicht – wat is van toepassing op mijn website?

Website-exploitanten en online retailers vragen zich terecht af wat dit betekent voor hun eigen online aanwezigheid. Vooralsnog lijkt de juridische situatie niet helemaal duidelijk. De AVG geeft informatie over de gegevensbeschermingsverklaring, de ePrivacy-verordening is nog in behandeling. Hoe moeten website-exploitanten en online retailers zich gedragen? Idealiter zou de cookiebanner als verplicht moeten worden beschouwd – ondanks de nog steeds inconsistente juridische situatie. De cookiebanner moet zo zijn ontworpen dat de gebruiker actief moet worden en zelf moet beslissen welke cookies hij wil accepteren en welke niet. De bezwaaroplossing die is verankerd in de Telemediawet (TMG) gaat hier niet ver genoeg en het kan juridisch riskant zijn om er alleen op te vertrouwen. Als u de cookiebanner als verplicht beschouwt en aan de veilige kant wilt blijven, moet u websitegebruikers informeren over welke cookies worden gebruikt. Bovendien moet de gebruiker de mogelijkheid hebben om actief te beslissen over de verwerking van de gegevens. Alle website-exploitanten dienen zich aan deze regels te houden, ook als het om privéwebsites of de website van de sportclub gaat. Iedereen die een cookiebannerprovider gebruikt, moet ervoor zorgen dat:

• De toestemming van de gebruiker wordt direct verkregen bij het openen van de pagina. Dit moet worden gedaan voordat cookies worden ingesteld. Technisch noodzakelijke cookies kunnen hier een uitzondering zijn.
• Het is niet voldoende als de tekst van de cookiebanner bestaat uit een eenvoudige mededeling en deze verdwijnt direct na een klik op de pagina of kan eenvoudig worden verborgen.

Het vinkje voor akkoord mag niet vooraf worden aangevinkt

In het ideale geval moeten manipulatieve cookiebanners worden vermeden. Dit betekent dat er niet meer klikken nodig zijn om je af te melden voor cookies dan om ze te accepteren. De accepteren-knop mag ook niet zichtbaarder zijn dan de afwijzen-knop. Hoewel het niet verboden is om cookiebanners op deze manier te ontwerpen, wordt er wel kritisch naar gekeken. Ook zogenaamde cookiewalls worden kritisch bekeken. Een cookiewall is zo ontworpen dat de gebruiker niet eens op de website komt als hij niet akkoord gaat met het gebruik van cookies. De European Data Protection Board (EDPB) ziet het echter als zodanig dat een websitebezoeker een website moet kunnen bezoeken, ook als hij cookies weigert die technisch niet noodzakelijk zijn.

Wat hoort er in de gegevensbeschermingsverklaring?

Ongeacht of online retailers en website-exploitanten een cookiebanner gebruiken, ze moeten verwijzen naar de verwerking van persoonsgegevens in de gegevensbeschermingsverklaring. De verklaring inzake gegevensbescherming moet gebruikers onder meer informeren over het type en het doel van de gebruikte cookies. De gebruiker moet leren:

• Welk type gegevens worden verzameld met behulp van cookies.
• Met welk doel worden de persoonsgegevens gebruikt.
• Hoe lang de gegevens worden bewaard.
• Of en aan wie de gegevens worden doorgegeven.
• Of en hoe de toestemming voor de verwerking van persoonsgegevens in te trekken.

Cookiebannertools voor een wettelijk conform ontwerp

Het ontwerpen van cookiebanners in overeenstemming met de AVG is niet altijd even eenvoudig. Om ervoor te zorgen dat de cookiebanner of de cookie-inhoudbanner op een wettelijk conforme manier wordt ontworpen, is het raadzaam om de juiste cookiebanner-tools te gebruiken. Een Consent Management Provider (CMP) is een cookiebannertool die het ontwerp en de levering van de cookie-inhoudbanner overneemt. In principe zou elke online retailer en elke website-exploitant een gevestigde cookiebanner-tool moeten gebruiken, bijvoorbeeld van providers zoals Consentmanager. Er zijn zowel gratis als betaalde bannertools voor cookies. Meestal biedt een betaalde cookiebannertool meer functionaliteit . Deze extra functies kunnen bijvoorbeeld het aanpassen van de cookiemeldingen aan een specifieke taal omvatten. Als de cookiebanner ook moet passen bij het ontwerp van de website, is een op kosten gebaseerde cookiebanner ook handig. Als u uw banner wilt personaliseren en aanvullende diensten wilt gebruiken, doet u er goed aan om betaalde oplossingen te gebruiken. Als je naast je website ook een app aanbiedt, heb je hier ook een passende oplossing voor nodig.

Het gebruik van een oplossing voor toestemmingsbeheer die de website scant om alle cookies te vinden en waarmee gebruikers toestemming kunnen geven voor elke cookie, is een betrouwbare en veilige manier om uw website in overeenstemming te brengen met de AVG-vorm.

Wat zijn de voordelen van een tool voor toestemmingsbeheer?

De AVG is van toepassing op alle online retailers en website-exploitanten. Zelfs als sommige website-exploitanten nog steeds aarzelen en zich afvragen of een AVG-conforme cookiemelding echt nodig is, kan niemand er vandaag nog omheen. Het niet naleven van wettelijke voorschriften kan leiden tot hoge boetes voor website -exploitanten. Het onderwerp ICT is voor veel ondernemers een probleem. Je weet te weinig van het onderwerp af, je steekt er veel tijd in en je weet uiteindelijk niet zeker of de cookiemelding wel AVG-compliant is. Dit is waar een tool voor toestemmingsbeheer zoals die van Consentmanager.de van pas komt. Met deze oplossing kunnen website-exploitanten er zeker van zijn dat ze voldoen aan de Algemene Verordening Gegevensbescherming van de EU. Met een tool als die van consentmanager.de kunnen banners voor cookietoestemming snel en eenvoudig aan uw eigen website worden toegevoegd. Een AVG-conforme banner beschermt websitebezoekers en biedt bescherming tegen rechtszaken . Bovendien kunnen advertentiepartners zich veilig voelen en zullen ze eerder investeren als ze weten dat ze aan de veilige kant zitten.

Conclusie

Heeft u een webshop of een website en wilt u uw website inrichten volgens de eisen van de AVG? Wilt u beschermd worden tegen waarschuwingen? Dan mag het onderwerp “cookies” zeker op je to-do-lijstje staan. Wie bezoekers van zijn website niet in de gelegenheid stelt om in te stemmen met de verwerking van persoonsgegevens loopt het risico gewaarschuwd te worden. Een waarschuwing kan ook gepaard gaan met hoge kosten. Als u cookies op uw website wilt gebruiken, gebruik dan een bijbehorende toestemmingsbanner of een cookietoestemmingstool om ervoor te zorgen dat de specificaties efficiënt en tegelijkertijd in overeenstemming met de wet worden geïmplementeerd. De richtlijnen voor het omgaan met cookies en cookiebanners op websites zijn relatief nieuw, waardoor er een gebrek is aan ervaring, precedent en duidelijke regelgeving. Met de tool voor toestemmingsbeheer van Consentmanager.de spelen website-exploitanten op veilig. Onze tool voor toestemmingsbeheer is gebruiksvriendelijk en kan eenvoudig in websites worden geïntegreerd. Zo weet je zeker dat gebruikers goed geïnformeerd zijn over het gebruik van cookies. En aan de andere kant wordt de toestemming voor het gebruik op een wettelijk conforme manier verkregen.