Nieuwe Cookiewet: Google Analytics mag weer
We slaken een zucht van verlichting. Die verdomde cookiewet, eindelijk aangepast. Artikel 11.7a Telecommunicatiewet ziet er nu een stuk vriendelijker uit voor de gemiddelde website-eigenaar. Is er veel veranderd? Nah, niet echt. Maar het goede nieuws is: Google Analytics zijn toch toegestaan. Onder voorwaarden, dat dan weer wel. Zijn we dan eindelijk af van die irritante banners?
Nieuwe cookiewet? Die is toch al oud?
Op 5 juni 2012 werd de ‘cookiewet’ van kracht. Als laatste en ‘braafste’ jongetje van de klas, werd het een strenge wet. Overal verschenen er pop-ups en niemand werd daar blij van. Bovendien beschermde het de privacy nauwelijks, omdat er dus wel cookies werden gebruikt, maar iedereen nu vooral de mededelingen weg moest klikken. Er werd en wordt net zoveel informatie verzameld.
Op 11 maart trad de nieuwe cookiewet in werking. Het is maar 1 artikel uit de Telecommunicatiewet, maar toch. Er is veel gedoe geweest over deze cookiewet. Na lang wachten nam de Tweede Kamer in oktober 2014 het wetsvoorstel voor de wijziging aan. Ik dacht dat het een hamerstuk zou worden in de Eerste Kamer en dat werd het ook. Op 3 februari werd het als hamerstuk afgedaan en op 11 maart trad het in werking. Nee, er is niet heel veel gewijzigd, maar genoeg om het voor de gemiddelde eigenaar van een website het een stuk prettiger te maken.
LawStories in je mailbox?
Artikel 11.7a Telecommunicatiewet – Cookiewet
Belangrijkste delen uit de cookiewet – Artikel 11.7a Telecommunicatiewet.
1. Onverminderd de Wet bescherming persoonsgegevens is het via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker, alleen toegestaan op voorwaarde dat de betrokken gebruiker:
a. is voorzien van duidelijke en volledige informatie overeenkomstig de Wet bescherming persoonsgegevens, in ieder geval over de doeleinden waarvoor deze informatie wordt gebruikt, en
b. daarvoor toestemming heeft verleend.
[…]
3. Het bepaalde in het eerste lid is niet van toepassing indien het de opslag of toegang betreft:
a. met als uitsluitend doel de communicatie over een elektronisch communicatienetwerk uit te voeren,
b. die strikt noodzakelijk is om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren of – mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker – om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij.
[…]
“Om te voorkomen dat het gebruik van analytic cookies meer dan geringe gevolgen heeft voor de privacy van de internetgebruiker, is het vereist dat deze cookies of de daarmee gegeneerde gegevens niet worden gebruikt om bijvoorbeeld een profiel van de internetgebruiker op te stellen, ook niet door een eventuele derde waarmee de websitehouder de gebruiksge-gevens van een door hemzelf geplaatste analytic cookie deelt. Daarvan is ook sprake als een door de websitehouder geplaatste (en dus «first party») analytic cookie kan worden uitgelezen door een derde partij.” Zo staat in de Memorie van Toelichting op pagina 8.
Wat mag er nu wel van de Cookiewet?
Analytics cookies mochten eerst niet zonder toestemming geplaatst worden, want niet strikt noodzakelijk voor de communicatie of voor de te leveren dienst. Dus was er toestemming nodig. Op een gegeven moment werd er beloofd dat first party analytische cookies wel toegestaan zouden worden, omdat de verzamelde gegevens dan door jouzelf en niet door een derde worden verzameld. Mocht je de gegevens natuurlijk ook niet zomaar door een ander laten verwerken (analyseren) én je mocht er nog steeds geen inbreuk op de privacy mee maken. De wet bescherming persoonsgegevens hebben we tenslotte ook nog.
De nieuwe regeling is iets duidelijker. Cookies mogen zonder toestemming geplaatst worden, wanneer
Analytische cookies vallen dus nu ook onder de uitzonderingen. Mits de cookies alleen gebruikt worden om de ‘dienst van de informatiemaatschappij’ (zoals een website) te verbeteren. Het gebruik van de cookies mag niet een te grote inbreuk maken op de privacy. Je mag er bijvoorbeeld geen profielen mee bouwen. Als er een partij is die de gegevens verwerkt, zoals Google wanneer je Google Analytics gebruikt, mogen zij ook niet zomaar alles met de gegevens doen wat ze willen. Daarom moet je een goede bewerkersovereenkomst met ze sluiten.
Google Analytics
Wil je weten hoe je Google Analytics volgens de regels in kunt zetten? Belangrijk is dat je de bewerkersovereenkomst sluit met Google en dat je in je website wat code inbouwt, zodat er geen IP-adressen worden opgeslagen. Een IP-adres is namelijk ook een persoonsgegeven (of een tot een persoon te herleiden gegeven). Het College Bescherming Persoonsgegevens heeft hier een praktische handleiding voor geschreven. Dat ga ik dus niet herhalen, maar lees hem vooral even rustig door.
Zijn we eindelijk af van die irritante banners en pop-ups?
Nee, nog niet helemaal. De meeste gewone sites kunnen wel zonder. Zij gebruiken vaak alleen wat functionele cookies (voor de communicatie) en analytics cookies. Voor dit gebruik van cookies hoeft niet meer zo expliciet toestemming gevraagd te worden. De banners en pop-ups kunnen van deze websites verdwijnen.
Maar er blijven genoeg websites over die gebruik maken van bijvoorbeeld tracking cookies of pixels, waarbij persoonsgegevens opgeslagen worden en die kunnen bijhouden welke andere websites mensen bezoeken. Hiervoor moet nog steeds toestemming gevraagd worden. Meestal zijn dit websites waar je ook advertenties ziet staan of websites die zelf geen advertenties tonen, maar wel advertenties inkopen op andere websites. Daar zal een banner, pop-up of cookiewall nog steeds nodig zijn.
Blijf informeren over cookies
Het gaat niet alleen om cookies, maar om alle techniek die een inbreuk kan maken op privacy. Meestal worden er persoonsgegevens mee verzameld of kunnen mensen er mee gevolgd worden. Het gaat dus ook om bijvoorbeeld pixels en andere technieken.
Wat je ook gebruikt en of je er nu toestemming voor nodig hebt of niet, informeren blijft verplicht. Je zult dus nog altijd een privacy- en cookieverklaring op je website moeten plaatsen waarin je uitlegt welke gegevens je verzamelt en met welk doel je dat doet en als je dus gebruikt maakt van cookies, pixels e.d. moet je uitleggen dat je van die techniek gebruik maakt om aan informatie te komen.
