Autoriteit Persoonsgegevens verscherpt toezicht op cookiebanners
Toezicht van de AP op cookiebanners
In 2024 is de Autoriteit Persoonsgegevens (AP) van plan het toezicht op cookietoestemming te intensiveren om te controleren of organisaties de geldende regels naleven. In de praktijk blijkt dat organisaties nog regelmatig gebruikmaken van misleidende cookiebanners, bijvoorbeeld doordat de knop om cookies te weigeren minder zichtbaar is of doordat gebruikers meerdere stappen moeten doorlopen voordat zij cookies kunnen afwijzen.
Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, benadrukte dat organisaties met trackingsoftware en trackingcookies het internetgedrag van gebruikers kunnen volgen. Omdat dit gedrag zeer persoonlijk kan zijn, mag dat niet zomaar. Daarvoor is in veel gevallen expliciete toestemming nodig. Gebruikers moeten tracking bovendien kunnen weigeren zonder daarvan nadeel te ondervinden.
Dit onderstreept het belang van het correct vragen van toestemming. Alleen dan behouden gebruikers daadwerkelijk controle over welke gegevens zij wel en niet delen.
Gepersonaliseerde advertenties
Websites maken gebruik van verschillende soorten cookies, waaronder functionele, analytische en trackingcookies.
Deze cookies kunnen persoonsgegevens verwerken, zoals:
- via welke website een gebruiker binnenkomt;
- welke websites of apps worden bezocht;
- hoelang iemand op een bepaalde pagina blijft;
- op welke links wordt geklikt;
- welke zoekopdrachten worden uitgevoerd.
Met dergelijke gegevens kunnen organisaties gebruikersprofielen opstellen en gepersonaliseerde advertenties tonen.
Wanneer organisaties dergelijke technieken inzetten, moeten zij rekening houden met zowel de AVG als de toepasselijke ePrivacy-regels.
Misleidende cookiebanners
Het is belangrijk dat gebruikers controle houden over hun persoonsgegevens tijdens het browsen.
Een belangrijke voorwaarde daarvoor is dat organisaties duidelijke en transparante informatie geven over het gebruik van cookies, zodat gebruikers een geïnformeerde keuze kunnen maken.
Organisaties moeten daarom cookiebanners gebruiken die voldoen aan de wettelijke eisen en misleidende ontwerpen vermijden. Denk bijvoorbeeld aan situaties waarin de mogelijkheid om cookies te weigeren pas in een tweede of derde laag van de banner zichtbaar wordt, terwijl de knop om cookies te accepteren direct beschikbaar is.
Ook vooraf aangevinkte toestemmingsvakjes zijn niet toegestaan wanneer geldige toestemming vereist is.
Wanneer is een cookiebanner correct ingericht?
De AP noemt verschillende aandachtspunten voor een cookiebanner die aan de regels voldoet.
Zo moeten organisaties:
- duidelijk uitleggen voor welke doeleinden cookies worden gebruikt;
- geen vooraf aangevinkte keuzes gebruiken voor cookies waarvoor toestemming vereist is;
- begrijpelijke en transparante taal gebruiken;
- gebruikers direct een echte keuze bieden tussen accepteren en weigeren;
- voorkomen dat gebruikers meerdere keren moeten doorklikken om cookies te kunnen afwijzen.
De AP sluit hiermee aan bij de benadering van verschillende andere Europese toezichthouders, die eveneens benadrukken dat gebruikers in de eerste laag van de cookiebanner eenvoudig moeten kunnen kiezen tussen bijvoorbeeld ‘Alles accepteren’ en ‘Alles weigeren’.
Onderzoek door de Autoriteit Persoonsgegevens
Wanneer organisaties geen geldige toestemming verkrijgen voor het plaatsen of uitlezen van cookies en andere trackingtechnologieën, kan de Autoriteit Persoonsgegevens onderzoek doen naar de betreffende werkwijze.
Bij overtredingen kan de toezichthouder handhavend optreden en, afhankelijk van de omstandigheden, sancties of boetes opleggen.
Wilt u ondersteuning bij het AVG- en ePrivacy-conform inrichten van de cookiebanner van uw organisatie? Neem dan contact met ons op via info@dpoconsultancy.nl.
