Toestemming voor cookies

5 vereisten aan toestemming

Volgens de Telecommunicatiewet heb je toestemming nodig voor het plaatsen van cookies op de wijze die de AVG voorschrijft. Dit zijn de vijf vereisten om rechtmatig toestemming te krijgen.

• vrij
• specifiek
• geïnformeerd
• ondubbelzinnige wilsuiting
• dmv een verklaring of ondubbelzinnige actieve handeling

Vrij

Het moet een echte keuze zijn. Het mag dus niet manipulatief zijn.

Daarom zijn bijvoorbeeld vooraf aangevinkte vakjes, moeilijk vindbare linkjes (foei, Coolblue) en andere sturende teksten of ontwerpen niet toegestaan.

Alleen een keuze tussen akkoord en instellingen mag ook niet. Weigeren moet in de eerste laag al mogelijk zijn.

Specifiek

De toestemming mag niet te algemeen zijn. Het moet duidelijk zijn waar je toestemming voor geeft. Dit betekent dat de doelen waarvoor je cookies wil plaatsen en waar je dus toestemming voor wil hebben duidelijk vermeld moeten zijn. Dit moet al kort in de cookiebanner zelf. Verdere uitleg mag vervolgens in de cookieverklaring staan.

Voor elk doel moet je afzonderlijk toestemming vragen.

Geïnformeerd

Behalve dat je voor elk doel apart toestemming moet vragen, moet je ook meer informeren over de cookies die je plaatst, zodat mensen een bewuste keuze kunnen maken. Daar hoort ook informatie over rechten bij, wat cookies zijn en hoe ze ook weer verwijderd kunnen worden.

Dit doe je met een cookieverklaring. Die kun je apart gebruiken of toevoegen aan je privacyverklaring.

Ondubbelzinnige wilsuiting

Of cookies geplaatst mogen worden, moet blijken uit een zogenaamde ondubbelzinnige wilsuiting. Je moet dus zeker weten dat iemand akkoord gaat met het plaatsen van de cookies.

Ook is belangrijk dat de teksten op knoppen duidelijk zijn. Dat betekent dat een keuze tussen ‘toestemming’ en ‘instellingen’ niet voldoende is. Daar zou dan een knop met weigeren bij moeten staan. Net zoals een keuze tussen ‘alle cookies’ en ‘alleen optimale cookies’ mag dus ook niet.

Naar mijn mening is een keuze tussen ‘alle cookies toestaan’ en ‘alleen noodzakelijke cookies’ wel duidelijk genoeg, maar daar zijn de meningen over verdeeld. Het is dus veiliger om alleen een keuze tussen ‘toestaan’ en ‘weigeren’ te hebben, met eventueel een optie erbij voor de instellingen, zodat voor sommige cookies wel toestemming gegeven kan worden en voor andere niet.

Actieve handeling

Alleen maar doorsurfen op een website, is niet ondubbelzinnig genoeg én wordt niet gezien als actieve handeling. Je weet dan namelijk niet zeker of iemand de balk, pop-up of andere mededeling over cookies wel gezien heeft.

Volgens het Hof van Justitie EU moet het daarom een expliciete handeling zijn en is het geen optie om vakjes vooraf aangevinkt te hebben en uit te laten vinken. Zonder handeling zou iemand verder kunnen surfen en op die manier cookies kunnen hebben geaccepteerd, zonder dat die dat echt doorheeft.

Belangrijk is uiteraard ook dat cookies waarvoor toestemming nodig is nog niet geplaatst worden voordat deze actieve handeling heeft plaatsgevonden.

Niet altijd toestemming nodig

Je hebt niet voor alle cookies toestemming nodig. Er is een uitzondering voor:

• cookies die nodig zijn om communicatie via internet mogelijk te maken
• die noodzakelijk zijn om de online dienst te leveren
• om de kwaliteit en effectiviteit van de online dienst te meten, mits dit geen of slechts geringe gevolgen heeft voor de privacy

Hier vallen bijvoorbeeld analytics cookies onder, maar ook affiliate cookies die geen persoonsgegevens verzamelen.

Legitiem belang

Soms zie je ook een cookiebanner met schuifjes voor legitiem belang of gerechtvaardigd belang. Dat slaat nergens op. Je mag immers cookies wel of niet plaatsen. Je hebt toestemming nodig, of niet. Een schuifje dat verplaatst kan worden voor gerechtvaardigd belang schept dus alleen maar verwarring. Is er toestemming voor nodig of niet, maar is het toch mogelijk om ze af te wijzen?

Meer over deze cookies lees je in de blogpost over cookies en gerechtvaardigd belang.

Cookiewall

Volgens de Autoriteit Persoonsgegevens zou een cookiewall niet mogen. Als iemand geen cookies accepteert, heeft ie immers ook geen toegang tot de website, is het idee. Maar iedereen mag in principe zelf bepalen wie hij/zij toelaat tot de website. Tenzij het natuurlijk essentiële informatie is die iemand nu niet meer kan krijgen. Denk aan overheidsinformatie of andere exclusieve informatie die mensen wel nodig kunnen hebben.

Bovendien staat er in de ‘cookiewet’ alleen diensten van publiekrechtelijke rechtspersonen (overheid en semi-overheid) de dienstverlening niet afhankelijk mogen maken van het wel of niet toestemming geven voor het plaatsen van cookies, ofwel, het gebruiken van een cookiewall.

Cookies gebruiken om onderscheid te maken

Verzamel je met het gebruik van cookies informatie over iemand? Verzamel, analyseer of combineer je die gegevens, bijvoorbeeld door er een profiel mee te maken? Dan zijn dat persoonsgegevens en moet je volledig aan de AVG voldoen en dus aan wat meer vereisten dan alleen de Telecommunicatiewet voor de cookies zelf.