Autoriteit Persoonsgegevens en cookies: waar let de AP op?

Kort antwoord: de Autoriteit Persoonsgegevens (AP) let bij cookies vooral op geldige toestemming. Laadt je site trackers voordat een bezoeker kiest, is weigeren moeilijker dan accepteren of staat er een vooraf aangevinkt vakje, dan is je cookiebanner niet in orde. Dat is ook precies wat je zelf in tien minuten kunt controleren.

Wat doet de AP met cookies?

De AP is de toezichthouder op privacy in Nederland. Voor cookies betekent dat: zij kijkt naar cookies waarmee persoonsgegevens worden verwerkt. Bij trackingcookies, advertentiepixels en veel analytics is dat bijna altijd het geval. De ACM houdt daarnaast toezicht op de cookiebepaling in de Telecommunicatiewet. De regels zelf, zoals de toestemmingsplicht, staan uitgelegd in de cookiewet uitgelegd.

De AP doet dit niet alleen als er een klacht binnenkomt. Ze controleert ook actief websites, en daar kan een waarschuwing uit volgen. Bij ernstige of aanhoudende overtredingen kan een onderzoek volgen dat tot een boete leidt. Onder de AVG zijn boetes mogelijk tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Voor een gemiddeld mkb-bedrijf begint het in de praktijk met een waarschuwing, maar je wilt het niet zover laten komen.

Waar let de AP op?

De eisen zijn goed te vatten in zes punten. Dit zijn de plekken waar banners het vaakst falen.

1. Tracking vóór de keuze

Trackers die al vuren terwijl de banner nog in beeld staat, maken de hele banner zinloos. Denk aan Google Analytics, de Meta Pixel of een advertentiescript dat los in het thema of in Google Tag Manager staat.

2. Weigeren is moeilijker dan accepteren

Een grote knop "Alles accepteren" en een verstopte link "Instellingen" is niet in orde. Weigeren hoort op de eerste laag te staan, even groot en even duidelijk.

3. Vooraf aangevinkte vakjes

Het Europese Hof van Justitie bepaalde in 2019 (het Planet49-arrest) dat een vooraf aangevinkt vakje geen geldige toestemming is. Alles behalve noodzakelijke cookies staat dus standaard uit.

4. Een cookiewall

Toegang tot je website afhankelijk maken van het accepteren van trackingcookies levert volgens de AP geen vrije toestemming op.

5. Doorscrollen als toestemming

Verder klikken of scrollen op de pagina telt niet als "ja". Toestemming moet een duidelijke handeling zijn.

6. Keuze niet te wijzigen of niet vastgelegd

Een bezoeker moet zijn keuze later makkelijk kunnen aanpassen, bijvoorbeeld via een link in de footer. En jij moet kunnen aantonen wie waarvoor toestemming gaf. Waarom een banner nodig is, staat in is een cookiebanner verplicht in Nederland.

Test zelf in tien minuten

Je hoeft geen jurist te zijn om de basis te controleren:

1. Open je website in een nieuw privévenster, zodat er geen oude keuze is opgeslagen.
2. Open de ontwikkelaarstools van je browser en ga naar het tabblad Netwerk.
3. Klik nog niets aan en zoek naar requests richting Google Analytics, Meta, TikTok of andere advertentiepartijen. Zie je die al, dan laadt er iets vóór de keuze.
4. Controleer of Weigeren op de eerste laag staat en even duidelijk is als Accepteren.
5. Klik op Weigeren en kijk of er nog steeds geen trackers laden.
6. Herlaad de pagina. De banner moet weg blijven en de keuze moet onthouden zijn.
7. Zoek een link om de keuze later te wijzigen.

Wil je het sneller? De gratis cookie checker laat in een paar seconden zien of er een banner staat en welke trackers er laden. Wat zo'n scan wel en niet vindt, lees je in cookie scanner: wat scant het en wat mis je.

Wat te doen als je iets mist?

Dat komt vaak voor, en meestal is het goed te herstellen. Een vaste volgorde helpt:

• Zet eerst alle niet-noodzakelijke scripts achter toestemming. Een cookie consent tool die scripts echt blokkeert, doet dit voor je.
• Pas de banner aan zodat Weigeren en Accepteren gelijkwaardig zijn. Zie cookiemelding op je website plaatsen.
• Werk je cookieverklaring bij. Maak er een met de cookiebeleid generator en lees cookiebeleid opstellen voor wat erin hoort.
• Gebruik je Google Ads of Analytics? Laat de keuze dan doorgeven via Consent Mode v2.

CookieKompas doet het blokkeren van scripts, de gelijkwaardige knoppen en het vastleggen van de keuze standaard. Het kost €9,95 per website per maand, de setup-service is gratis bij een abonnement. De details staan op de prijzenpagina.

Kortom

De AP vraagt niets exotisch: eerst vragen, dan pas meten, weigeren even makkelijk maken en de keuze vastleggen. Wie die vier dingen op orde heeft, zit op de goede lijn. Doe de test hierboven en los op wat je tegenkomt.

Dit artikel is algemene informatie, geen juridisch advies. Twijfel je over jouw situatie, kijk dan op de website van de Autoriteit Persoonsgegevens of vraag een jurist.