Cookiebeheer: Toestemming en Trackers in E-commerce

De regelgeving over cookies beperkt zich niet tot de RGPD. Ze berust op een afzonderlijke tekst — de zogenaamde richtlijn “privacy en elektronische communicatie”, omgezet in het Franse recht — die een voorafgaande toestemming vereist voor elke lezing of registratie van informatie op het toestel van de gebruiker, ongeacht of deze informatie al dan niet een persoonsgegeven is. Net die zelfstandigheid verklaart de meeste ingebrekestellingen: een niet-persoonlijke tracker blijft onderworpen aan toestemming.

Wat onder de regeling valt, en wat niet

Het toepassingsgebied is ruimer dan het woord “cookie” laat vermoeden. Het gaat om alle procedés voor de opslag van of toegang tot informatie op het toestel: HTTP-cookies, lokale opslag, onzichtbare pixels, apparaat-identificatoren, digitale vingerafdruk van de browser.

Twee categorieën vallen buiten de toestemmingsverplichting, en ze worden strikt geïnterpreteerd:

• Trackers die strikt noodzakelijk zijn voor het leveren van een dienst die uitdrukkelijk is aangevraagd door de gebruiker: winkelwagentje, sessie-ID, het onthouden van een taalkeuze, load balancing.
• Trackers waarvan het enige doel erin bestaat een communicatie mogelijk te maken of te vergemakkelijken op elektronische wijze.

Webstatistieken bevinden zich in een bijzondere zone: ze kunnen worden vrijgesteld van toestemming onder strikte cumulatieve voorwaarden — een doel dat beperkt blijft tot de meting zelf, geen kruising met andere verwerkingen, geen doorgifte aan derden, een beperkte bewaartermijn. Een veelgebruikte analyse-oplossing die gegevens tussen websites kruist of doorgeeft aan haar uitgever, voldoet niet aan deze voorwaarden.

De regels voor het verzamelen van toestemming

Drie vereisten bepalen de structuur van de toestemmingsbanner, en elk daarvan heeft al tot sancties geleid.

De toestemming moet voorafgaand zijn. Geen enkele niet-vrijgestelde tracker mag geplaatst worden vóór de gebruiker een handeling heeft gesteld. Het plaatsen van trackers bij het laden van de pagina, vóór elke klik, is op zich al een inbreuk — dit is de meest vastgestelde overtreding.

Weigeren moet even eenvoudig zijn als aanvaarden. Een banner met een goed zichtbare knop “Alles aanvaarden” die de weigering doorverwijst naar een tweede instellingenniveau, voldoet niet aan deze vereiste. Beide acties moeten op hetzelfde niveau en met hetzelfde aantal klikken toegankelijk zijn.

De toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Ze kan niet voortvloeien uit het verderzetten van het browsen, het scrollen op de pagina of een vooraf aangevinkt vakje. Ze moet per doel worden verzameld, waarbij de gebruiker de webstatistieken moet kunnen aanvaarden zonder de gerichte reclame te aanvaarden.

Daarbij komt nog de intrekking, die even eenvoudig moet zijn als de initiële toestemming en op elk moment toegankelijk moet zijn, wat een permanent toegangspunt op de website vereist.

Termijnen en bewaring

Twee afzonderlijke termijnen worden vaak met elkaar verward.

De levensduur van de trackers wordt in de praktijk beperkt tot dertien maanden, zonder automatische verlenging bij elk nieuw bezoek. De via deze trackers verzamelde informatie wordt daarna nog slechts een beperkte periode bewaard.

De geldigheidsduur van de toestemming is daarvan verschillend: de keuze van de gebruiker, positief of negatief, moet bewaard worden zodat er niet bij elk bezoek opnieuw om gevraagd wordt. De aanbevolen praktijk is om deze keuze ongeveer zes maanden te bewaren, waarbij een weigering niet vaker opnieuw bevraagd mag worden dan een aanvaarding.

De verantwoordelijke moet ten slotte in staat zijn om aan te tonen dat de toestemming op geldige wijze werd verzameld. Dat bewijs vereist dat voor elke gebruiker wordt gelogd welke versie van de banner werd weergegeven, welke doeleinden werden voorgesteld en welke keuze werd uitgedrukt. Zonder deze logging is de bewering “wij verzamelen toestemming” niet aantoonbaar — dezelfde bewijslogica als die welke geldt voor de aanvaarding van de algemene voorwaarden.

Gedeelde verantwoordelijkheden

Een website die trackers van derden integreert — advertentienetwerk, sociaal netwerk, analysetool — wordt daardoor niet van haar verantwoordelijkheid ontheven. De uitgever die beslist om een tracker te plaatsen, bepaalt het doel ervan en draagt de verantwoordelijkheid, ook wanneer de tracker toebehoort aan een derde partij.

Dit heeft twee praktische gevolgen. Een actuele inventaris van de effectief geplaatste trackers is onmisbaar, en die moet in reële omstandigheden worden gecontroleerd, en niet op basis van de documentatie van de leveranciers: tags die door marketingtools worden toegevoegd, ontsnappen vaak aan de aangegeven inventaris. En de relaties met derde partijen moeten contractueel worden vastgelegd, met een duidelijke identificatie van wie verwerkingsverantwoordelijke is en wie verwerker.

Sancties en controles

Het niet naleven van de regels rond trackers valt onder een eigen regime: de sanctionering gebeurt op grond van de specifieke tekst, waardoor de nationale toezichthoudende autoriteit rechtstreeks kan optreden, zonder via het Europese samenwerkingsmechanisme te moeten gaan. Dit verklaart de snelheid en de hoogte van de beslissingen die op dit vlak worden genomen.

De controles richten zich in de eerste plaats op drie punten die van buitenaf objectief kunnen worden vastgesteld: het plaatsen van trackers vóór toestemming, de onevenwichtigheid tussen aanvaarden en weigeren, en het blijven bestaan van trackers na een weigering. Deze drie punten kunnen binnen enkele minuten worden gecontroleerd met de ontwikkelaarstools van een browser, waardoor het risico op blootstelling permanent is.

Praktijkscenario's

Onlinewinkel met reclame. Splits de doeleinden — werking, webstatistieken, reclame — en voorzie voor elk daarvan een afzonderlijke toestemming. De trackers van het winkelwagentje vallen niet onder de toestemmingsplicht, die van retargeting reclame wel altijd. Dit is een structurerend element van het juridisch kader van een webshop.

Vitrinewebsite met webstatistieken. Ga na of de gekozen configuratie voldoet aan de vrijstellingsvoorwaarden. Is dat het geval, dan is voor dit doel geen banner nodig; is dat niet het geval, dan is toestemming vereist zoals voor elke andere tracker.

Herwerking van een website. Maak vóór de productiestart een inventaris van de trackers op de testomgeving, en herhaal dit daarna in productie: tools die na de oplevering door de marketingteams worden toegevoegd, zijn de meest voorkomende bron van afwijkingen. Deze discipline sluit aan bij de vereisten die beschreven zijn voor de standaarden voor beveiligde betalingen.

Veelgestelde vragen

Vereisen alle cookies toestemming? Nee. Cookies die strikt noodzakelijk zijn voor een uitdrukkelijk aangevraagde dienst — winkelwagentje, sessie, taalvoorkeur — zijn daarvan vrijgesteld, net als die welke uitsluitend dienen om een communicatie mogelijk te maken. Deze vrijstelling wordt strikt geïnterpreteerd.

Staat het verderzetten van het browsen gelijk aan toestemming? Nee. De toestemming moet ondubbelzinnig zijn en voortvloeien uit een positieve handeling. Noch scrollen, noch het verderzetten van het browsen, noch een vooraf aangevinkt vakje zijn voldoende.

Moet weigeren even eenvoudig zijn als aanvaarden? Ja. Beide opties moeten op hetzelfde niveau worden weergegeven, met een gelijkwaardige inspanning. De weigering verstoppen achter een instellingenmenu is een duidelijke inbreuk.

Hoelang moet de keuze van de gebruiker bewaard worden? De keuze, zowel positief als negatief, wordt bewaard om te vermijden dat er bij elk bezoek opnieuw om gevraagd wordt — in de praktijk ongeveer zes maanden. Dit is te onderscheiden van de levensduur van de trackers, die beperkt is tot dertien maanden.

Zijn webstatistieken vrijgesteld? Enkel onder strikte cumulatieve voorwaarden: een doel dat beperkt blijft tot de meting, geen kruising van gegevens, geen doorgifte aan derden, een beperkte bewaartermijn. De meeste populaire oplossingen voldoen hier in hun standaardconfiguratie niet aan.

Wie is verantwoordelijk voor trackers van derden? De uitgever van de website, zodra hij beslist over de plaatsing en het doel ervan. De verantwoordelijkheid wordt niet overgedragen aan de leverancier van de tracker.

Om te onthouden

Drie inbreuken vormen de kern van de sancties, en alle drie kunnen ze binnen enkele minuten van buitenaf worden vastgesteld: trackers die worden geplaatst nog vóór er toestemming is, een weigering die moeilijker uit te drukken is dan een aanvaarding, en trackers die blijven bestaan ondanks een weigering.

Twee maatregelen bieden hierop een duurzaam antwoord. Een inventaris van de trackers die in reële omstandigheden wordt gecontroleerd, en niet op basis van documentatie, en die na elke productie-uitrol opnieuw wordt opgemaakt. En een logging van de toestemming die de versie van de banner, de voorgestelde doeleinden en de uitgedrukte keuze registreert — zonder deze logging wordt de conformiteit wel beweerd, maar niet aangetoond, wat bij een controle op hetzelfde neerkomt.