Wanneer je een banner nodig hebt
Zodra je meer plaatst dan strikt noodzakelijke cookies. Noodzakelijk is wat de site nodig heeft om te werken: een winkelwagen onthouden, een sessie bijhouden, een taalkeuze. Daar hoef je geen toestemming voor te vragen en die hoef je niet in een banner te zetten.
Alles daarbuiten vraagt vooraf toestemming: statistieken, advertentiepixels, ingesloten video, chatvensters van derden en lettertypen die van een externe server komen. Wie alleen noodzakelijke cookies gebruikt, heeft geen banner nodig, en dat is voor een eenvoudige zakelijke site vaker haalbaar dan mensen denken.
Wat een geldige toestemming is
Vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig. In de praktijk betekent dat: weigeren moet net zo makkelijk zijn als accepteren, er mag niets geplaatst worden voordat de bezoeker kiest, en doorklikken of scrollen is geen toestemming.
De toezichthouder heeft herhaaldelijk laten weten dat banners waarbij accepteren een grote knop is en weigeren een grijs linkje, niet voldoen. Hetzelfde geldt voor een banner zonder weigerknop op het eerste scherm.
De constructies die niet mogen
Vooraf aangevinkte hokjes. Een banner die pas verdwijnt als je accepteert. Meetscripts die al draaien terwijl de banner nog zichtbaar is. Een weigerknop die je eerst via instellingen moet zoeken. En een cookiemuur waarbij je alleen toegang krijgt na accepteren, behalve in specifieke situaties waar een echt gelijkwaardig alternatief bestaat.
Ook het intrekken moet kunnen: de bezoeker moet zijn keuze later net zo eenvoudig kunnen wijzigen als hij hem gaf. Een klein linkje in de footer dat een instellingenvenster opent, volstaat.
Wat je verliest en hoe je dat opvangt
Een correcte banner betekent dat een deel van je bezoekers weigert, en dat je die niet meet. Dat is de bedoeling van de regel, maar het maakt je cijfers wel onvolledig.
Opvangen kan op twee manieren die wel mogen. De eerste is een meting zonder persoonsgegevens en zonder cookies, die alleen bezoekaantallen bijhoudt; die valt buiten de toestemmingsplicht als hij werkelijk niets herleidbaars opslaat. De tweede is het toestemmingssignaal correct doorgeven aan Google, zodat die op basis van geaggregeerde modellering alsnog een schatting geeft. Wat niet mag is meten alsof er geen weigering was.
Techniek: hoe het hoort te werken
De banner moet de scripts daadwerkelijk tegenhouden, niet alleen een keuze onthouden. In de praktijk gaat dat mis: veel sites tonen een nette banner terwijl de meetcode er al voor is geladen. Controleer dat door met de ontwikkelaarsweergave van je browser te kijken welke verzoeken vertrekken voordat je klikt.
Werk je met Tag Manager, dan hoort de toestemming daar als voorwaarde te staan voor elke tag die niet noodzakelijk is. Dat is de plek waar het centraal te regelen valt, in plaats van per script.
Wat er in je privacyverklaring hoort
Welke cookies je plaatst, waarvoor, hoe lang ze blijven staan en met wie je gegevens deelt. Een lijst die klopt met wat er werkelijk gebeurt, niet een standaardtekst van een generator.
Verwijs vanuit de banner naar die verklaring, en houd hem bij als je een nieuw script toevoegt. Een chatvenster of een videofragment dat er later bij komt, hoort er ook in.
Wie erop toeziet
In Nederland houdt de Autoriteit Consument en Markt toezicht op het plaatsen van cookies, en de Autoriteit Persoonsgegevens op de verwerking van de gegevens die eruit voortkomen. Beide publiceren hun uitleg in gewone taal op hun eigen site, en dat is de bron die telt.
De regels zijn de laatste jaren aangescherpt in de handhaving, niet zozeer in de wet. Wat jaren werd gedoogd, wordt inmiddels aangesproken. Een banner die vijf jaar geleden is geplaatst, voldoet daarom vrijwel zeker niet meer.
Veelgestelde vragen
Heb ik een cookiebanner nodig als ik alleen statistieken bijhoud?
Voor een gangbaar statistiekpakket wel, want dat plaatst cookies en verwerkt gegevens die naar een persoon te herleiden zijn. Meet je werkelijk anoniem, zonder cookies en zonder herleidbare gegevens, dan kan het zonder banner.
Mag ik bezoekers weren die weigeren?
In beginsel niet. Toestemming moet vrij gegeven zijn, en dat is het niet als weigeren betekent dat je de site niet in komt. Er bestaan uitzonderingen, maar die vragen een echt gelijkwaardig alternatief en zijn voor een gewone bedrijfssite niet aan de orde.
Hoe lang blijft een keuze geldig?
Er staat geen vaste termijn in de wet, maar toestemming veroudert. Een gangbare praktijk is opnieuw vragen na zes tot twaalf maanden, en altijd opnieuw wanneer je nieuwe soorten cookies gaat plaatsen.
Kan ik zo een kant-en-klare banner installeren?
Installeren wel, maar de standaardinstellingen van veel oplossingen voldoen niet: ze laden scripts te vroeg of maken weigeren moeilijker dan accepteren. De installatie is een half uur, het goed instellen en controleren is het eigenlijke werk.