Cookiebanner instellen: statistiek netjes uitvragen

Een cookiebanner is geen verplichte oefening, maar de plek waar bezoekers beslissen of statistiek en reclame op hun apparaat mogen draaien. Of toestemming nodig is en op welke rechtsgrond daarna wordt verwerkt, behandelt Toestemming of gerechtvaardigd belang: zo beslist u. Dit artikel begint een stap later: hoe stelt u de banner in, zodat de beslissing van de bezoekers geldig en aantoonbaar is?

Het is een nuchtere oriëntatie en geen juridisch advies.

De drie categorieën

De meeste banners werken met drie groepen:

De rechtsgrond voor toegang tot het apparaat is in Duitsland § 25 TDDDG, in Oostenrijk § 165 Abs. 3 TKG 2021. Als noodzakelijk geldt alleen wat nodig is voor de door de bezoeker gewenste dienst. Statistiek hoort volgens de Duitse toezichthouders doorgaans niet daarbij. Deel elk script van uw pagina in een categorie in. Bij het opstellen van een overzicht van alle diensten helpt een blik op het netwerktabblad van de browser of een lijst die uw ontwikkelaar bijhoudt.

Accepteren en weigeren gelijkwaardig

De meest voorkomende tekortkoming is een grote, gekleurde knop „Alles accepteren“ naast een verborgen link om te weigeren. De Duitse toezichthouders verwachten in hun Orientierungshilfe Telemedien dat weigeren even eenvoudig is als instemmen. Wie op het eerste niveau „Alles accepteren“ aanbiedt, moet daar ook „Alles weigeren“ aanbieden. Ook het verslag van de cookiebanner-taskforce van het Europees Comité voor gegevensbescherming van januari 2023 behandelt deze vraag. Daar achtten de autoriteiten een weigeroptie in meerderheid nodig, enkele autoriteiten waren een andere mening toegedaan. Plan daarom met de strengere lijn.

Praktische regels:

1. Gelijke grootte, gelijke opvallendheid. Beide knoppen met vergelijkbare vorm, lettertype en contrast.
2. Zelfde niveau. Geen omweg via „Instellingen“ alleen om te weigeren.
3. Niets vooraf aangevinkt. Categorieën behalve „Noodzakelijk“ staan op „uit“.
4. Duidelijke woorden. „Accepteren“ en „Weigeren“ zijn begrijpelijker dan „Begrepen“ of „Verder“.
5. Geen dwang. De pagina moet ook na weigering bruikbaar blijven. Doorscrollen of doorklikken is geen toestemming (zie EDPB-richtsnoeren 05/2020 over toestemming).

Toestemming in de tag manager

De banner beslist, de tag manager voert uit. Opdat beide bij elkaar passen:

• Statistiekscripts worden alleen na instemming geactiveerd. In de tag manager koppelt u ze aan de toestemmingscontrole of aan een gebeurtenis die de banner na de instemming verstuurt.
• De banner meldt de keuze aan de tag manager. Zonder deze doorgifte draaien scripts ofwel altijd ofwel nooit.
• Google-diensten kennen de Consent Mode. Die draagt de toestemmingsstatus over aan Google-tags (Google: Consent Mode). Ze vervangt de banner niet. Of en hoe u haar inzet, regelt u met uw privacyadviseur.
• Tegenproef. Open de pagina in een vers browservenster, weiger en controleer op het netwerktabblad dat er geen verzoeken naar statistiek- of advertentiediensten gaan.

Intrekking

De toestemming moet volgens art. 7 lid 3 AVG even gemakkelijk kunnen worden ingetrokken als ze werd gegeven (AVG, EUR-Lex). Dat betekent: een permanent bereikbare link („Cookie-instellingen“) in de voet van elke pagina die de banner weer opent. Na een intrekking stoppen de scripts bij de eerstvolgende paginaweergave. Diensten die al gegevens hebben ontvangen, worden daardoor niet geraakt, maar uw privacyverklaring moet zeggen hoe de gegevens daarna worden behandeld.

Documentatie

Volgens art. 7 lid 1 AVG moet u kunnen aantonen dat een toestemming bestaat. Gebruikelijk is een logboek met:

• tijdstip van de beslissing,
• versie van de bannertekst,
• gekozen categorieën,
• een willekeurige code die naar de bezoeker verwijst zonder hem te noemen.

Leg bovendien vast welke diensten in welke categorie vielen. Wijzigt u diensten of doelen, vraag dan opnieuw. Een oude toestemming dekt nieuwe doelen niet.

Zwitserland

In Zwitserland geldt voor scripts een logica van informatie en weigering, geen voorafgaande toestemming (art. 45c Fernmeldegesetz). Wie bezoekers uit de EU heeft, vaart met een uniforme banner volgens EU-standaard meestal het eenvoudigst. Het onderwerp verdiept Bezoekersherkenning en AVG: een nuchtere duiding.

Veelgestelde vragen

Kan ik zonder banner? Alleen als uw pagina geen scripts laadt die toestemming vereisen, dus geen statistiek, geen reclame en geen ingebedde diensten met toegang tot het apparaat. Dan blijft de informatieplicht in de privacyverklaring.

Volstaat een melding „Wij gebruiken cookies“ met een knop „OK“? Voor statistiek en marketing niet. De keuzemogelijkheid ontbreekt. Een toestemming moet vrijwillig en geïnformeerd gebeuren.

Hoe vaak mag ik de banner opnieuw tonen? Een vaste termijn noemt de wet niet. Gebruikelijk is een periode van meerdere maanden of een wijziging van de diensten. Vraag niet bij elk bezoek opnieuw, dat werkt als druk.