Cookie Factsheet

Functionele cookies 

Functionele cookies zijn essentieel voor het gebruik van een website. Ze zorgen bijvoorbeeld dat producten in een winkelmandje blijven staan of dat je taalvoorkeur wordt onthouden. Voor functionele cookies is geen toestemming nodig. Hoewel het opnemen ervan in een cookieverklaring niet verplicht is, kan dit wel nuttig zijn. 

De term functionele cookies toont aan dat een cookie een functionele rol binnen een website moet spelen. Denk bijvoorbeeld aan de taalvoorkeuren of de producten die een bezoeker in zijn winkelmandje heeft geplaatst.  

Deze uitzondering is bedoeld om ruimte te bieden aan cookies die echt noodzakelijk zijn voor het functioneren van de dienst en daarom niet geweigerd kunnen worden. Dit betekent dat ze onmisbaar moeten zijn voor de geleverde dienst, maar niet per se technisch onvermijdelijk. 

Analytische cookies 

Analytische cookies worden gebruikt om inzicht te krijgen in hoe bezoekers de website gebruiken. Deze cookies helpen om de kwaliteit of effectiviteit van de website te meten. Voor analytische cookies geldt een uitzondering op de toestemmings- en informatieplicht, maar alleen als de impact op de privacy van de bezoeker gering is. Als dat niet het geval is, moet er alsnog toestemming worden gevraagd en informatie worden verstrekt. Een voorbeeld hiervan is wanneer het volledige klikgedrag van een bezoeker wordt gevolgd, zoals welke pagina’s iemand bezoekt, hoelang iemand op de pagina blijft en hoe vaak diegene terugkomt. Deze gegevens kunnen namelijk worden gebruikt om een profiel op te stellen van de bezoeker en diens onlinegedrag te volgen. 

Belangrijk om te weten: nadat verschillende Europese privacy toezichthouders het gebruik van Google Universal Analytics hebben verboden wegens allerlei AVG-overtredingen, heeft Google ‘Google Analytics 4’ ontwikkeld. Google Analytics 4 beschermd ten opzichte van Google Universal Analytics de privacybelangen van websitebezoekers beter, maar het is nog onduidelijk of dit volgens AP voldoende is. Hoe het zit met toestemming en GA4 lees je in deze blog.  

Tracking cookies  

Tracking cookies volgen het gedrag van mensen op het internet. Ze verzamelen informatie over de websites die worden bezocht en kunnen gedetailleerde profielen opstellen. Deze profielen worden vervolgens gebruikt om gepersonaliseerde advertenties te tonen. Doordat tracking cookies veel persoonsgegevens verzamelen, mogen ze alleen worden geplaatst als de bezoeker hiervoor toestemming heeft gegeven en volledig geïnformeerd is. Tracking cookies worden meestal door third parties geplaatst. 

Cookiebanner  

In de praktijk wordt toestemming gevraagd via een cookiebanner. Deze banner moet helder zijn en voldoen aan de vier vereisten uit de AVG. Hier zijn een aantal praktische tips: 

• Toestemming moet vrij gegeven worden. Het akkoord gaan met cookies mag dus niet verplichting zijn voor het gebruik van de website. Bezoekers moeten namelijk de mogelijkheid hebben om cookies te weigeren zonder nadelige gevolgen. Een cookiewall (een pop-up die het hele scherm vult en pas verdwijnt als de bezoeker instemt) is dus niet toegestaan. Let op: een cookiewall is niet hetzelfde als een paywall. Bij een paywall krijgt de bezoeker de keuze om toestemming te geven voor het plaatsen van cookies of een bedrag te betalen. Een paywall is in bepaalde situaties toegestaan.  

• Het is niet toegestaan om gebruik te maken van een vooraf aangevinkt vakje dat de bezoeker moet uitvinken om toestemming te weigeren. Toestemming is dan niet meer ondubbelzinnig, omdat de bezoeker geen actieve handeling verricht.  

• Het is niet de bedoeling dat een bezoeker vaak moet doorklikken voordat hij toestemming kan weigeren. Websitebezoekers moeten cookies namelijk net zo makkelijk kunnen weigeren als accepteren Zet de knoppen voor weigeren en accepteren dus op dezelfde laag.  

• Een cookiebanner moet informatie bevatten die nodig is om een weloverwogen keuze te maken. Er moet voor ieder doel worden verteld waarom cookies worden gebruikt. Deze informatie moet leesbaar, gemakkelijk toegankelijk en volledig zijn. Dit kan worden bereikt door een duidelijke hyperlink op te nemen naar een webpagina met het privacy- of cookiebeleid, waar de informatie helder en begrijpelijk wordt gepresenteerd. Het is niet voldoende om de informatie alleen op te nemen in moeilijk vindbare algemene voorwaarden of onduidelijk te vermelden dat de informatie daar te vinden is.  

De AP heeft 9 vuistregels die helpen om een goede cookiebanner te maken.  

Wie moet toestemming vragen? 

De verantwoordelijkheid voor het verkrijgen van toestemming en het verstrekken van duidelijke informatie ligt bij de verwerkingsverantwoordelijke. Bij first party cookies is dit de exploitant van de website zelf. In het geval van third party cookies blijkt uit rechtspraak dat deze verantwoordelijkheid gedeeld wordt tussen de website-exploitant en de derde partij. Dit betekent dat beide partijen ervoor moeten zorgen dat de verplichtingen onder de cookiebepaling en de AVG worden nageleefd. In de praktijk is het noodzakelijk dat er een overeenkomst wordt opgesteld tussen de website-exploitant en de derde partij, waarin afspraken worden gemaakt  

Vergeet niet om toestemming te loggen en te bewaren 

De verantwoordelijke partij moet kunnen aantonen dat de bezoeker toestemming heeft gegeven vóórdat cookies zijn geplaatst. Dit kan op verschillende manieren. Een voor de hand liggende manier is om het gehele proces (lees: software) zo in te richten dat het plaatsen en lezen van cookies niet mogelijk is zonder toestemming van bezoekers. Bewaar dan vervolgens een log van eventuele softwarewijzigingen, inclusief de tijdstippen waarop deze wijzigingen zijn doorgevoerd.  

Ook een mogelijkheid die meer administratie vergt is door middel van het vastleggen hoe toestemming is verkregen, hoe de gebruiker daarbij is geïnformeerd en het tijdstip waarop de toestemming is verkregen. Daarbij kunnen ook de IP-adressen van de gebruikers worden opgeslagen. 

Het bewijs van toestemming moet worden blijven bewaard nadat de cookie is gewist. Een claim over een onrechtmatig geplaatste cookie kan immers ook nog achteraf komen. Het bewijs moet vijf jaar bewaard worden, na deze termijn mag de toezichthouder, in dit geval de ACM, geen boete meer opleggen (artikel 5:45 Awb).