AP blijft pijlen richten op cookies: is uw website wel compliant?

Striktere handhaving en onderzoek naar cookies

De AP heeft de afgelopen jaren meerdere organisaties aangeschreven over hun cookiebeleid. Daarbij wordt veelal specifiek gevraagd naar de werking van bepaalde cookies, of hiermee persoonsgegevens worden verwerkt en op welke grondslag dit gebeurt. Niet al deze informatieverzoeken hebben (nog) geleid tot handhaving. Wel onderstreept dit de aanhoudende aandacht van de AP voor naleving van de cookiewetgeving.

Ook in België speelt een interessante casus. De Belgische privacy toezichthouder de Gegevensbeschermingsautoriteit (GBA) heeft aangekondigd een klacht in behandeling te nemen over de cookies van DPG Media naar aanleiding van een klacht van NOYB, de privacy organisatie van Max Schrems (die het eerder al succesvol opnam tegen Spotify en Meta).

Wat kunt u nu doen?

Om tegemoet te komen aan de interpretatie van de AP, zijn er een aantal belangrijke take-aways voor de cookie-inrichting van een website:

Bied een ‘Alles weigeren’-knop op de eerste laag

De AP benadrukt dat gebruikers net zo makkelijk cookies moeten kunnen weigeren als accepteren. Dit betekent – aldus de AP – dat een ‘Alles weigeren’-knop direct zichtbaar moet zijn bij het eerste cookie consent banner scherm.

Controleer welke cookies u vóór en na toestemming plaatst

Alleen functionele cookies en cookies met geringe privacy gevolgen kunnen voor toestemming worden geplaatst. Hieronder vallen ook affiliate of performance cookies, mits ze enkel worden gebruikt om de effectiviteit van een getoonde advertentie te meten en te bepalen welke affiliate recht heeft op een beloning. En ook A/B test cookies kunnen worden uitgesloten, mits ze puur worden ingezet om de effectiviteit van bepaalde variaties van online uitingen tegen elkaar af te zetten.

Ook analytische cookies kunnen toestemming vereisen

De AP ziet ook het gebruik van sommige analytics cookies als privacygevoelig. Veel organisaties plaatsen analytische cookies voordat een gebruiker toestemming heeft gegeven. Maar als die cookies een unieke identifier hebben, waarmee gebruikers over tijd en meerdere domeinen gevolgd kunnen worden, vindt de AP dit meer dan een ‘geringe’ inbreuk op de privacy en vindt dan dat ook voor deze cookies toestemming moet worden gevraagd. Dat geldt bijvoorbeeld voor visual website optimizer, hotjar en kan ook gelden voor Google Analytics. Meer informatie hierover staat in dit eerdere artikel van DMCC: Google Analytics en toestemming.