Beheer van cookies: toestemming en trackers in e-commerce

De regelgeving rond cookies beperkt zich niet tot de AVG. Ze berust op een afzonderlijke tekst — de zogenoemde richtlijn betreffende privacy en elektronische communicatie, omgezet in Frans recht — die voorafgaande toestemming vereist voorafgaande voor elke lees- of schrijfhandeling van informatie op het toestel van de gebruiker, ongeacht of deze informatie al dan niet een persoonsgegeven vormt. Deze onafhankelijkheid verklaart de meeste ingebrekestellingen: een niet-persoonlijke tracker blijft onderworpen aan toestemming.

Wat er wel en niet onder valt

Het toepassingsgebied is ruimer dan het woord 'cookie' laat vermoeden. Alle procedés voor opslag van of toegang tot informatie op het toestel worden bedoeld: HTTP-cookies, lokale opslag, onzichtbare pixels, apparaat-identifiers, digitale vingerafdruk van de browser.

Twee categorieën vallen niet onder de toestemmingsplicht, en deze worden strikt uitgelegd:

• Trackers die strikt noodzakelijk zijn voor het leveren van een dienst die de gebruiker uitdrukkelijk heeft gevraagd door de gebruiker: winkelwagentje, sessie-identifier, onthouden van een taalkeuze, load balancing.
• Trackers die uitsluitend tot doel hebben elektronische communicatie mogelijk te maken of te vergemakkelijken elektronisch.

Bezoekersmeting bevindt zich in een bijzondere zone: ze kan van toestemming worden vrijgesteld onder strikt cumulatieve voorwaarden — doel beperkt tot alleen de meting, geen kruising met andere verwerkingen, geen doorgifte aan derden, beperkte bewaartermijn. Een veelgebruikte analyseoplossing die gegevens tussen sites kruist of doorgeeft aan haar uitgever, voldoet niet aan deze voorwaarden.

De regels voor het verzamelen van toestemming

Drie vereisten bepalen de vorm van de toestemmingsbanner, en elk daarvan heeft al tot sancties geleid.

De toestemming moet voorafgaand zijn. Geen enkele niet-vrijgestelde tracker mag worden geplaatst voordat de gebruiker een handeling verricht. Plaatsing bij het laden van de pagina, vóór elke klik, is op zichzelf al een inbreuk — dit is de meest vastgestelde overtreding.

Weigeren moet even eenvoudig zijn als aanvaarden. Een banner met een goed zichtbare knop 'Alles accepteren' die de weigering verwijst naar een tweede instellingenniveau, voldoet niet aan deze vereiste. Beide handelingen moeten op hetzelfde niveau en met hetzelfde aantal klikken toegankelijk zijn.

De toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Ze kan niet voortvloeien uit het voortzetten van het browsen, het scrollen van de pagina, of een vooraf aangevinkt vakje. Ze moet per doel worden verzameld, waarbij de gebruiker bezoekersmeting moet kunnen aanvaarden zonder gerichte reclame te aanvaarden.

Daarnaast is er de intrekking, die even eenvoudig moet zijn als de oorspronkelijke toestemming en op elk moment toegankelijk, wat een permanent toegangspunt op de website vereist.

Termijnen en bewaring

Twee afzonderlijke termijnen worden vaak verward.

De levensduur van trackers is in de praktijk beperkt tot dertien maanden, zonder automatische verlenging bij elk nieuw bezoek. De via deze trackers verzamelde gegevens worden daarna nog slechts een beperkte tijd bewaard.

De geldigheidsduur van de toestemming is daarvan te onderscheiden: de keuze van de gebruiker, positief of negatief, moet worden bewaard om hem niet bij elk bezoek opnieuw te vragen. De aanbevolen praktijk is om deze keuze ongeveer zes maanden te bewaren, waarbij een weigering niet vaker moet worden herbevraagd dan een aanvaarding.

De verantwoordelijke moet ten slotte in staat zijn om aan te tonen dat de toestemming geldig is verzameld. Dit bewijs vereist dat voor elke gebruiker de weergegeven versie van de banner, de gepresenteerde doeleinden en de uitgedrukte keuze worden gelogd. Zonder deze logging is de bewering 'wij verzamelen toestemming' niet aantoonbaar — dezelfde bewijslogica als die welke geldt voor de aanvaarding van de algemene voorwaarden.

Gedeelde verantwoordelijkheden

Een website die trackers van derden integreert — advertentieregie, sociaal netwerk, analysetool — is niet ontheven van zijn verantwoordelijkheid. De uitgever die beslist over de plaatsing van een tracker, bepaalt het doel ervan en draagt daarvoor verantwoordelijkheid, ook wanneer de tracker aan een derde toebehoort.

Twee praktische gevolgen. Een actuele inventaris van de daadwerkelijk geplaatste trackers is onmisbaar, en deze moet in reële omstandigheden worden gecontroleerd in plaats van op basis van de documentatie van dienstverleners: tags die door marketingtools worden toegevoegd, ontsnappen vaak aan de aangifte-inventaris. En de relaties met derden moeten contractueel worden vastgelegd, met identificatie van wie verwerkingsverantwoordelijke is en wie verwerker.

Sancties en controles

Overtreding van de regels rond trackers valt onder een eigen regime: ze wordt bestraft op basis van de specifieke tekst, waardoor de nationale toezichthouder direct kan optreden, zonder gebruik te maken van het Europese samenwerkingsmechanisme. Dit verklaart de snelheid en de hoogte van de op dit gebied uitgesproken beslissingen.

De controles richten zich voornamelijk op drie punten die van buitenaf objectief vast te stellen zijn: het plaatsen van trackers vóór toestemming, de ongelijkheid tussen aanvaarden en weigeren, en het voortbestaan van trackers na een weigering. Deze drie punten zijn binnen enkele minuten te controleren met de ontwikkelaarstools van een browser, wat de blootstelling permanent maakt.

Gebruiksscenario's

Online winkel met reclame. De doeleinden scheiden — werking, bezoekersmeting, reclame — en voor elk daarvan afzonderlijke toestemming mogelijk maken. De trackers van het winkelwagentje vallen niet onder toestemmingsplicht, die van retargeting-advertenties altijd. Dit is een structurerend punt van het juridisch kader van een webshop.

Website met bezoekersmeting. Nagaan of de gekozen configuratie de vrijstellingsvoorwaarden vervult. Zo ja, dan is voor dit doel geen banner nodig; zo niet, dan is toestemming vereist zoals voor elke andere tracker.

Herontwerp van een website. Voer de inventaris van trackers uit op de testomgeving vóór de livegang, en herhaal dit daarna in productie: de tools die de marketingteams na de oplevering toevoegen, zijn de meest voorkomende bron van afwijkingen. Deze discipline sluit aan bij de vereisten die worden beschreven voor de standaarden voor veilige betalingen.

Veelgestelde vragen

Vereisen alle cookies toestemming? Nee. Cookies die strikt noodzakelijk zijn voor een uitdrukkelijk gevraagde dienst — winkelwagentje, sessie, taalvoorkeur — zijn daarvan vrijgesteld, net als cookies die uitsluitend dienen om communicatie mogelijk te maken. De vrijstelling wordt strikt uitgelegd.

Geldt het voortzetten van het browsen als toestemming? Nee. De toestemming moet ondubbelzinnig zijn en voortvloeien uit een positieve handeling. Noch scrollen, noch het voortzetten van het browsen, noch een vooraf aangevinkt vakje is voldoende.

Moet weigeren even eenvoudig zijn als aanvaarden? Ja. Beide opties moeten op hetzelfde niveau worden gepresenteerd, met een gelijkwaardige inspanning. Het wegstoppen van de weigering achter een instellingenmenu is een duidelijke overtreding.

Hoe lang moet de keuze van de gebruiker worden bewaard? De keuze, zowel positief als negatief, wordt bewaard om te voorkomen dat de gebruiker bij elk bezoek opnieuw wordt bevraagd — in de praktijk ongeveer zes maanden. Dit is te onderscheiden van de levensduur van trackers, die is beperkt tot dertien maanden.

Is bezoekersmeting vrijgesteld? Alleen onder strikt cumulatieve voorwaarden: doel beperkt tot de meting, geen kruising, geen doorgifte aan derden, beperkte bewaring. De meeste consumentenoplossingen voldoen daar in de standaardconfiguratie niet aan.

Wie is verantwoordelijk voor trackers van derden? De uitgever van de website, zodra hij beslist over de plaatsing en het doel ervan. De verantwoordelijkheid wordt niet overgedragen aan de leverancier van de tracker.

Wat u moet onthouden

Drie overtredingen vormen het merendeel van de sancties, en alle drie zijn ze binnen enkele minuten van buitenaf vast te stellen: trackers die worden geplaatst vóór enige toestemming, een weigering die moeilijker uit te drukken is dan een aanvaarding, en trackers die blijven bestaan ondanks een weigering.

Twee maatregelen bieden hierop een duurzaam antwoord. Een inventaris van trackers die in reële omstandigheden wordt gecontroleerd en niet op basis van documentatie, opnieuw uitgevoerd na elke livegang. En een logging van toestemming die de versie van de banner, de gepresenteerde doeleinden en de uitgedrukte keuze registreert — zonder dit wordt naleving beweerd maar niet aangetoond, wat bij een controle op hetzelfde neerkomt.