Cookiebanner ja of nee?

Cookies zijn overal op het internet. En in de digitale wereld van vandaag is privacy een meer besproken onderwerp dan ooit.

Strenge regels worden opgelegd aan Google, Bing, … maar ook voor u als website eigenaar werd het er niet gemakkelijker op de laatste jaren. Je bent immers verplicht om open kaart te spelen naar richting over de tracking op uw website en de gegevens die je bewaart. Maar doe je dat ook op de juiste manier?

Een van de meest zichtbare aspecten van alle nieuwe regelgeving is de cookie banner. Maar wat zijn cookies en hoe werken ze precies? En heb ik als website-eigenaar echt een cookie banner nodig?

In deze blogpost gaan we dieper in op deze vragen en proberen we u een duidelijk beeld te geven van wat cookies zijn, hoe ze werken en waarom u (mogelijk) een cookie banner nodig heeft op uw website.

Wat zijn cookies precies?

Cookies zijn kleine tekstbestanden die op een computer of mobiele apparaat worden opgeslagen wanneer iemand een website bezoekt die gebruik maakt van cookies. Ze worden gemaakt door de webserver en bevatten informatie over uw online activiteiten, zoals de pagina’s die u heeft bezocht, de tijd die u op de site heeft doorgebracht en uw voorkeuren.

Cookies kunnen erg nuttig zijn, omdat ze websites toelaten om uw ervaring te personaliseren en te verbeteren. Maar… ze liggen ook meer en meer onder vuur omwille van privacy overwegingen.

Welke soorten cookies zijn er?

Cookies kunnen op verschillende manieren worden ingedeeld. Volgens herkomst, volgens duur of volgens doel.

Cookies ingedeeld volgens doel

1. Strikt noodzakelijke cookies of functionele cookies: Deze cookies zijn essentieel voor gebruikers om toegang te krijgen tot uw website en om de kernfuncties ervan te kunnen gebruiken (bijv. account login). Hoewel er geen toestemming nodig is om dergelijke cookies te implementeren, bent u verplicht om uit te leggen wat ze doen en waarom ze nodig zijn.
2. Functionele cookies: Deze zijn essentieel voor het goed functioneren van een website. Ze onthouden bijvoorbeeld uw taalvoorkeur of de inhoud van uw winkelmandje.
3. Analytische / prestatiecookies: Deze helpen website-eigenaars om inzicht te krijgen in het gedrag van bezoekers, zoals welke pagina’s het meest bezocht worden. Dit helpt hen om de website te optimaliseren.
4. Marketingcookies: Deze volgen uw online gedrag over verschillende websites heen, vaak voor advertentiedoeleinden. Ze worden meestal geplaatst door derde partijen, zoals advertentienetwerken.

Een goede cookiebanner zal de mogelijkheid bieden om cookies te aanvaarden of te weigeren gebaseerd op hun doel, maar meer later hierover.

Cookies ingedeeld volgens herkomst : First-party vs. third-party cookies

Een belangrijk onderscheid is dat tussen first-party en third-party cookies.

1. First-party cookies, dat zijn cookies die rechtstreeks door uw website op de apparaten van gebruikers worden geplaatst.
2. Third-party cookies Dit zijn cookies die door een geïntegreerde dienst van derden (bijv. analyse- of advertentieplatforms) op de apparaten van gebruikers worden geplaatst.. Third-party cookies zijn vaak gericht op tracking en advertenties, en het zijn natuurlijk net deze laatste die meer ter discussie vanuit privacy oogpunt.

Cookies ingedeeld volgens duur

1. Sessiecookies: Dit zijn tijdelijke cookies die verlopen zodra de sessie van een gebruiker eindigt of de browser wordt gesloten.
2. Permanente cookies: Zoals de naam al aangeeft, blijft deze categorie cookies voor een langere periode op het apparaat van een gebruiker staan, totdat ze handmatig door de gebruiker worden verwijderd of totdat de vervaldatum is verstreken.

Gebruikt mijn website één of meerdere cookies?

Dit is de eerste vraag die je uzelf moet stellen. Als uw website geen cookies zou gebruiken, dan is er ook helemaal geen reden om een cookiebanner te implementeren.

Als website-eigenaar is het niet alleen belangrijk of er al dan niet cookies gebruikt worden, maar ook welke cookies op uw site worden gebruikt. Je mag er echter vanuit gaan dat er altijd wel cookies aanwezig zullen zijn. Er zijn quasi geen websites meer waar dit niet het geval is.

Hoe scan je uw website op cookies?

Er zijn wel wat tools online beschikbaar, maar gelukkig werden we van de meesten niet. Vele geven onvolledige resultaten of werken helemaal. Ook pretenderen ze allemaal gratis te zijn, maar uiteindelijk kom je toch bij betalende versies terecht.

Na een groot aantal van de scanners te hebben geevalueerd, besloten wij met Fresh Blend om Cookie Scanner van CookieScript (https://cookie-script.com/cookie-scanner) te gebruiken. Deze scant uw website en geeft een duidelijk overzicht geven van alle aanwezige cookies. Zo kunt u beter geïnformeerde beslissingen nemen over uw cookiebeleid.

Het is belangrijk dat je de scan uitvoert voor je een cookie consent banner hebt geïnstalleerd, anders zullen er (wanneer alles conform is) geen cookies gescand worden. Heb je toch al een cookie consent geïnstalleerd, dan moet je deze tijdelijk deactiveren alvorens te scannen.

De scan is volledig gratis, maar Cookie Script probeert natuurlijk achteraf wel hun eigen cookie consent banner / integratie te verkopen.

Waarom (moet ik) een cookie banner gebruiken?

Zonder cookiebanner zouden cookies een vrij stille manier zijn om de activiteiten van uw gebruikers online bij te houden. Ze zijn er immers zonder dat de gebruiker het zelf beseft.

De wetgevende instanties in Europa, maar ook elders in de wereld, wilden niet noodzakelijk een einde maken aan het gebruik van cookies, maar ze creëerden hiervoor wel een wettelijk kader met vooral verplichtingen voor website eigenaars en hun partners (bv. Google Analytics 4) om gebruikers beter te informeren.

Cookies worden gereguleerd in twee verschillende “wettelijke kaders”.

1. De EU Cookie Directive (2002)

De EU-cookierichtlijn daarentegen houdt zich meer rechtstreeks bezig met (niet alleen) cookies, en met vergelijkbare technologieën die informatie opslaan of ophalen op apparaten van gebruikers. Veelvoorkomende voorbeelden zijn pixeltags (bv. van Meta of Facebook), en advertentie-ID’s (bv. Google Ads maar hier gebruik van), enzovoort.

Strikt genomen heeft de EU-cookierichtlijn meer zeggenschap dan de AVG als het gaat om naleving van cookies. Dit komt omdat de richtlijn belangrijke aspecten behandelt over de vertrouwelijkheid van elektronische communicatie en specifieke regels bevat over cookies en vergelijkbare technologieën, vandaar de naam “EU cookie directive”.

Bij de invoering van de richtlijn werd ook het (verplicht) gebruik van pop-ups voor cookietoestemming op grote schaal ingevoerd, zodat websites eerste toestemming van gebruikers kunnen krijgen voordat ze cookies aanbieden.

Bovendien vereist de cookierichtlijn dat website-eigenaren gebruikers informeren over het type, het gebruik en het doel van de cookies die ze gebruiken. Dit geldt voor alle websites die zich richten op EU-gebruikers, ongeacht hun locatie.

Hoewel de EU-cookierichtlijn al sinds 2002 van kracht is, heeft de invoering van de AVG in 2018 geleid tot een hernieuwde focus op cookiecompliance. Websites die zich richten op EU-gebruikers, moeten nu voldoen aan zowel de cookierichtlijn als de AVG om boetes en sancties te voorkomen.

• GDPR of ook wel AVG (2018)

De AVG (Algemene Verordening Gegevensbescherming) is momenteel het meest robuuste juridische kader ter wereld en heeft als zodanig alle nodige grondslagen weten te dekken om de bescherming van persoonsgegevens en digitale privacy in de huidige wereld aan te pakken.

De verordening heeft ook een breed toepassingsgebied, aangezien ze van toepassing is op bedrijven en websites buiten de EU, zolang ze persoonsgegevens verzamelen van of gebruikers volgen die in de EU wonen.

Hoewel cookies slechts eenmaal worden genoemd in de 99 artikelen en 173 overwegingen van de AVG, zijn de implicaties aanzienlijk voor websites die ze gebruiken om de surfactiviteit van gebruikers te observeren.

Dit is een letterlijke vertalen naar het Nederlands van de originele tekst uit de GDPR, in artikel 30:

“Natuurlijke personen kunnen worden gekoppeld aan online-identificatoren die worden geleverd door hun apparaten, applicaties, tools en protocollen, zoals IP-adressen, cookie-ID’s of andere identificatoren zoals RFID-tags. Hierdoor kunnen sporen ontstaan die, met name wanneer zij worden gecombineerd met unieke identificatoren en andere door de servers ontvangen informatie, kunnen worden gebruikt om profielen van natuurlijke personen op te stellen en deze te herkennen.”

In wezen stelt de AVG dat cookies kunnen worden gebruikt om gebruikers te identificeren, en daarom vallen ze onder de definitie van persoonsgegevens. Bijgevolg moeten websites die cookies gebruiken, voldoen aan de principes en vereisten van de AVG, waaronder:

1. Het verkrijgen van geldige toestemming van gebruikers voordat cookies worden geplaatst (tenzij ze strikt noodzakelijk zijn).

2. Het bieden van duidelijke en transparante informatie over het gebruik van cookies.

3. Het geven van gebruikers de mogelijkheid om hun toestemming voor cookies in te trekken.

4. Het implementeren van passende technische en organisatorische maatregelen om de persoonsgegevens die via cookies worden verzameld, te beschermen.

Waaraan moet een cookiebanner voldoen?

Als we de EU cookie directive en de GDPR wetgeving willen respecteren, zouden we we dit als basisvereisten kunnen beschouwen voor een conforme cookiebanner :

1. De kennisgeving (banner) moet getoond worden alvorens een cookie te activeren. (met uitzonderijk van noodzakelijke cookies)
2. De banner moet de mogelijkheid keuze bieden tussen “accepteren” en “afwijzen” (ook wel “weigeren”).
3. De keuze mag niet ‘alles of niets’ zijn. Een gebruiker moest dus bepaalde cookies kunnen wijzigen of accepteren. Dit is meestal onder “voorkeuren”.
4. De mogelijkheden “accepteren” of “weigeren” moet op een gelijkwaardige manier worden weergegeven. Beide knoppen moeten dezelfde afmetingen, lettertypen, … hebben zodat er geen beïnvloeding is van de gebruiker.
5. De keuze van de gebruiker mag niet permanent zijn. Gebruikers moeten nadat ze een keuze hebben gemaakt, deze kunnen aanpassen.
6. De keuze van de gebruiker moet veilig bewaard worden en moet na tenlaatste 1 jaar vernieuwd worden.
7. Linken naar een cookie- en privacybeleid

Tips voor een effectieve cookie banner

1. Wees transparant: Leg duidelijk uit welke cookies u gebruikt en waarom.

2. Geef gebruikers controle: Laat bezoekers toe om bepaalde cookies te weigeren, zonder dat dit hun ervaring op uw site drastisch beïnvloedt.

3. Maak het niet te storend: Zorg ervoor dat de banner de gebruikerservaring niet verstoort, bijvoorbeeld door hem niet te groot te maken of de hele pagina te blokkeren.

4. Houd het simpel: Gebruik duidelijke, begrijpelijke taal en vermijd juridisch jargon.

Conclusie : Een cookiebanner voor uw website? Ja.

Cookies zijn (nog steeds) een belangrijk en meestal verplicht onderdeel van het moderne web, maar brengen ook verantwoordelijkheden met zich mee voor u als website-eigenaar.

Door transparant te zijn over uw gebruik van cookies, inclusief het onderscheid tussen first-party en third-party cookies, en uw bezoekers controle te geven over hun gegevens, kunt u hun vertrouwen winnen en een betere gebruikerservaring bieden.

Het scannen van uw website op cookies en het implementeren van een goed ontworpen cookie banner zijn hierbij essentiële stappen.