Let op: AP intensiveert controle op cookiebanners – Voldoet jouw website nog aan de eisen?
- Product Manager Data Analytics
Websites gebruiken regelmatig cookies om persoonsgegevens te verwerken, bijvoorbeeld via tracking cookies die het surfgedrag volgen. Als verwerkingsverantwoordelijke ben je verplicht om aan strenge eisen te voldoen bij het verzamelen van deze gegevens. In dit artikel bespreken we de belangrijkste wijzigingen en aandachtspunten waar je op moet letten.
Belangrijke wijziging: Gerechtvaardigd belang herzien
Een van de meest impactvolle wijzigingen betreft de interpretatie van de grondslag ‘gerechtvaardigd belang’.
In april 2025 heeft de AP haar standpunt moeten herzien na een uitspraak van het Europese Hof van Justitie.
Let wel op: er gelden nog steeds twee andere voorwaarden voor deze grondslag:
- De verwerking moet noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang
- De belangen, rechten en vrijheden van de betrokkene mogen niet zwaarder wegen
Voor functionele cookies en beperkt analytische cookies kun je gerechtvaardigd belang gebruiken als grondslag. Voor tracking cookies en meer invasieve vormen van gegevensverwerking blijft toestemming vereist!
Cookies intrekken: Strengere eisen voor toegankelijkheid
De AP heeft een normuitleg gepubliceerd over het intrekken van toestemming bij cookiebanners. Deze stelt duidelijke eisen aan de manier waarop gebruikers hun toestemming moeten kunnen intrekken.
Vier essentiële vereisten voor het intrekken van toestemming:
- De betrokkene moet vooraf informatie krijgen over het intrekken van toestemming en hoe dat kan
- Toestemming intrekken moet zonder nadelige gevolgen kunnen
- Toestemming intrekken moet op ieder moment mogelijk zijn
- Het intrekken van toestemming moet even eenvoudig zijn als het geven ervan
Vergeet niet dat het intrekken van toestemming ook op jouw cookie policy pagina mogelijk moet zijn. Hier moeten bezoekers hun voorkeuren eenvoudig kunnen aanpassen.
Vereisten voor een correcte cookiebanner
Uw cookiebanner moet aan de volgende eisen voldoen:
- Aantal partners vermelden: Als je gegevens deelt met derden, moet je per doel aangeven met hoeveel derden je dit doet. Dit moet direct zichtbaar zijn in de eerste laag van jouw cookiebanner.
- Duidelijke omschrijving per cookie: Alle cookies in iedere categorie (statistiek, marketing, functioneel) moeten voorzien zijn van een duidelijke omschrijving. Let op dat geen enkele cookie zonder omschrijving in jouw cookielijst staat.
- Goede categorisering: Cookies moeten in de juiste categorie worden ingedeeld. Pas op met ‘unclassified cookies’ – deze komen bij veel websites voor maar worden zelden goed bijgehouden.
- Geen automatisch aangevinkte opties: Vinkjes mogen niet vooraf aangevinkt zijn. De gebruiker moet actief toestemming geven.
- Eerlijke presentatie: De ‘weigeren’ en ‘accepteren’ knoppen moeten op dezelfde laag staan en even duidelijk gepresenteerd worden.
Cookie policy pagina is verplicht
Een grote tekortkoming bij veel websites is het ontbreken van een complete cookie policy pagina. Deze pagina is verplicht en moet:
- Een compleet overzicht bieden van alle gebruikte cookies
- Per cookie aangeven wat het doel is, welke gegevens worden verzameld en hoe lang deze worden bewaard
- De mogelijkheid bieden om toestemming in te trekken
- Duidelijk maken hoe de bezoeker contact kan opnemen bij vragen over de verwerking
Verwijderen van cookies na intrekking toestemming
Een vaak vergeten aspect: wanneer een gebruiker de toestemming intrekt, moeten de bijbehorende cookies daadwerkelijk worden verwijderd. Het intrekken van toestemming moet ook direct worden doorgegeven aan derde partijen die op basis van die toestemming gegevens verwerken.
Unclassified cookies: Een verborgen risico
Een van de meest voorkomende problemen bij websites zijn de zogenaamde ‘unclassified cookies’. Dit zijn cookies die niet in een specifieke categorie zijn ingedeeld. De AP ziet dit als een tekortkoming omdat:
- Het voor gebruikers onduidelijk is waarvoor deze cookies dienen
- Er geen duidelijke toestemming kan worden gegeven zonder te weten wat het doel is
- Het suggereert dat de website-eigenaar zelf niet precies weet welke cookies worden geplaatst
Het is essentieel om regelmatig jouw cookie-inventarisatie bij te werken en alle cookies correct te categoriseren.
Conclusie: Neem nu actie met je cookiebanner
Met de intensievere controles door de AP is het belangrijker dan ooit om jouw cookiebeleid op orde te hebben. De boetes voor overtredingen kunnen oplopen tot aanzienlijke bedragen. Neem daarom de volgende stappen:
- Controleer of je cookiebanner aan alle eisen voldoet
- Implementeer een duidelijke methode om toestemming in te trekken op elke pagina
- Zorg voor een complete cookie policy pagina
- Verifieer dat cookies daadwerkelijk worden verwijderd bij intrekking toestemming
- Categoriseer alle cookies correct en voorkom ‘unclassified cookies’
- Zorg dat alle cookies een duidelijke omschrijving hebben
Heb je hulp nodig bij het updaten van je cookiebanner om aan alle eisen te voldoen? Neem contact op, we helpen graag!
Dit artikel is gebaseerd op de meest recente richtlijnen van de Autoriteit Persoonsgegevens. Voor specifiek juridisch advies raden wij aan contact op te nemen met een privacyspecialist.
