Ik weet, ik loop het risico te worden gezien als een blogger die schrijft over uitgemolken onderwerpen. Vorige keer over AI! Ik beloof relevant te zijn. Dat gezegd hebben begin ik maar weer eens over cookies. Om precies te zijn “cookies en daarmee vergelijkbare technieken” want als cookies en pixels niet meer mogen gebruik je gewoon web beacons of Local cq Session Storage, IP-adressen, browser fingerprinting en andere technieken. Als third party cookies niet meer mogen dan stop je je sleutels in een first party cookie. Echt, het is zo simpel. Wetgeven is moeilijk en handhaven nog moeilijker. In Nederland heet onze waakhond de Autoriteit Persoonsgegevens (AP).
Heldere en misleidende cookiebanners
De AP publiceerde onlangs een pagina over Heldere en misleidende cookiebanners. Daar moest ik het mijne van weten! Ik onderzocht laatst de tien meest gebruikte websites in Nederland en moest concluderen dat geen daarvan aan de regels voldeed. Ik bedoel maar. De webpagina bevat veel nuttige en duidelijke informatie, dus ga er zeker eens kijken. Er ontbreekt echter ook het een en ander. En er staat iets waar ik het pertinent mee oneens ben. Wie bewaakt de waakhond?
Google Analytics
Cookies en daarmee vergelijkbare technieken zijn ook van belang voor webstatistieken. Daarvoor hoef je als organisatie geen toestemming te vragen. Immers, er is, bij correcte inrichting, geen sprake van verwerking van persoonsgegevens én er wordt niet geprofileerd, laat staan getarget. Soms moet dat toestemming vragen wel! Bij bepaalde instellingen van webstatistieken kunnen er wel persoonsgegevens verwerkt worden. Zo mag je tegenwoordig de laatste twee octetten van het IP-adres niet opslaan.
Google Analytics wordt door Google zelf gepositioneerd binnen de marketing stack. Dat is misleidend, temeer daar Google Analytics al eerder betrapt is op misbruik van persoonsgegevens. Er wordt geen toestemming voor gevraagd en toch betaal je ongemerkt met je privacy. De tool is inmiddels door de waakhonden van vier Europese landen verboden. De AP gaf een paar jaar geleden aan snel een standpunt in te nemen. Helaas is dat nooit gebeurd. U had toch al een goede ad-blocker?
Gelijke knoppen
Wat me nog meer opviel zijn exact gelijke Accepteren en Weigeren knoppen in de voorbeelden. Er zijn alweer websites met een groene opvallende knop om alle cookies te accepteren. Dat is precies niet de bedoeling. Het maken van een goed geïnformeerde expliciete keuze betekent dat de bezoeker niet alleen overduidelijk voor Accepteren moet kiezen, het mag ook niet zo zijn dat als de bezoeker niet goed oplet of dingen weg klikt, deze daarmee te gemakkelijk (impliciet) voor cookies kiest. Daarom moet de Weigeren knop opvallender en makkelijker klikbaar zijn. De Accepteren knop mag standaard niet geselecteerd staan. Je moet er echt je best voor doen!
Anders wordt het helaas nooit veilig…
Hans van Buuren is enterprise architect bij Reclassering Nederland
