Tracking cookies

Uit de informatie over bezochte websites kunnen persoonlijke interesses worden afgeleid. Daarmee kunnen organisaties hun websitebezoekers bijvoorbeeld gerichte advertenties tonen.

Aan de AVG voldoen met tracking cookies

Verwerkt u met tracking cookies persoonsgegevens van de bezoekers aan uw website? Dan moet u aan de regels van de Algemene verordening gegevensbescherming (AVG) voldoen.

De belangrijkste vereisten zijn dat u:

• een grondslag heeft voor de gegevensverwerking;
• bezoekers op tijd en goed informeert;
• de gegevens goed beveiligt.

Om rechtsgeldige toestemming te krijgen voor het plaatsen van tracking cookies, moet u uw websitebezoekers eerst informeren over:

• de soorten persoonsgegevens die u via de cookies verzamelt en verwerkt;
• de doeleinden van de gegevensverwerking;
• de categorieën bedrijven of derde partijen waaraan u de gegevens verstrekt;
• de bewaartermijn;
• zo veel nadere informatie als nodig is om uw bezoekers een eerlijk beeld te geven van de gegevensverwerking.

Soorten persoonsgegevens

Geef informatie over de soorten persoonsgegevens die u verzamelt en verwerkt met tracking cookies. Denk daarbij in ieder geval aan:

• bezochte webpagina's;
• IP-adressen;
• cookie-inhoud;
• referrer-URL;
• eventuele overige gegevens die u verzamelt, zoals gegevens over de gebruikte randapparatuur en instellingen van de software op het apparaat.

Doeleinden gegevensverwerking

Laat uw bezoekers weten waarvoor u hun persoonsgegevens verzamelt en verwerkt. Bijvoorbeeld:

• het (laten) tonen van gerichte advertenties;
• het gebruik van social media, websitestatistieken;
• het opstellen van interesseprofielen;
• het tonen van aanbevelingen, marktanalyse, doelgroepanalyse;
• verbetering van de navigatie op uw website.

Let op: een algemeen doeleinde als 'verbeteren van de dienstverlening' is niet specifiek genoeg.

Derde partijen

Informeer over de soorten derde partijen waaraan u de persoonsgegevens verstrekt. Noem advertentienetwerken, eventuele social media en andere partijen die via uw website tracking cookies plaatsen bij naam. Geef ook de namen van de cookies en informatie over het doeleinde van de verwerking.

Bewaartermijn

Informeer bezoekers per cookie over de bewaartermijn. Controleer de levensduur van de tracking cookies die via uw website worden geplaatst. Beoordeel vervolgens of de bewaartermijn noodzakelijk is voor het doeleinde.

Een bewaartermijn van een half jaar of langer is snel te lang. Dat komt ook doordat de termijn elke keer met een half jaar wordt verlengd bij bezoek aan uw website of een andere website die deze cookie plaatst.

Alleen social media

Wilt u op uw website alleen een paar social media-buttons opnemen, zodat uw bezoekers artikelen kunnen delen? En gebruikt u geen andere tracking cookies? Dan kunt u bijvoorbeeld werken met niet-actieve social media-knoppen.

Bezoekers moeten dan bewust op deze ‘grijze’ knoppen klikken om toestemming te geven. Door te klikken bepalen de gebruikers of zij de functionaliteit van de knop willen activeren. En daarmee dus of zij gebruik willen maken van de social media plug-in cookies. Ook in dit geval moet u de bezoekers informeren waar zij toestemming voor geven.

Grondslag: toestemming

Er zijn in de AVG meerdere grondslagen mogelijk voor de verwerking van persoonsgegevens. Verwerkt u met tracking cookies persoonsgegevens? Dan moet u zich kunnen beroepen op een specifieke grondslag, namelijk ondubbelzinnige toestemming.

Toestemming vragen

Dit betekent dat u uw websitebezoekers om toestemming moet vragen om tracking cookies te plaatsen. En dat de bezoeker een duidelijke keuze moet hebben om toestemming te geven of te weigeren.

Volgens de AVG is toestemming alleen geldig als deze vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven.

Dat betekent dat:

• de bezoekers van uw website ook toestemming moeten kunnen weigeren (anders is het geen vrije keuze);
• het duidelijk moet zijn waarvoor u precies toestemming vraagt;
• uw bezoekers voldoende informatie moeten krijgen over wat er met hun gegevens gebeurt als zij toestemming geven;
• uw bezoekers daadwerkelijk en met een actieve handeling toestemming moeten geven.

Als u uw bezoekers een informatiebalk aanbiedt met een duidelijke keuze tussen ‘ja’ en ‘nee’, voldoet u in ieder geval aan het keuzevereiste voor ondubbelzinnige toestemming. Mits u geen cookies plaatst voordat de bezoeker een keuze heeft gemaakt.

Geen geldige toestemming

In de volgende voorbeelden is er geen sprake van geldige toestemming:

• Een cookiewall, waarbij uw bezoekers geen toegang krijgen tot uw website als zij cookies weigeren.
• Het nalaten van een handeling door uw bezoekers. Hieruit kunt u geen toestemming afleiden. Bijvoorbeeld als bezoekers niet via hun browser hebben gekozen om tracking cookies te weigeren. Ook als u alleen verwijst naar uw privacybeleid, is dit onvoldoende.
• Uitgaan van de toestemming van uw bezoekers als zij doorgaan met het gebruik van uw site (verder scrollen of swipen) nadat een informatiebalk in beeld is verschenen (‘Door verder gebruik te maken van deze website gaat u akkoord met het plaatsen van tracking cookies’). Dit zijn geen actieve handelingen waaruit ondubbelzinnige toestemming blijkt.
• Standaardinstellingen waarbij alle categorieën cookies al zijn aangevinkt.

Let op: u moet kunnen aantonen dat bezoekers daadwerkelijk toestemming hebben gegeven voor het plaatsen van cookies.

Anonimiseren van tracking cookies

Ook al heeft u zelf geen naam en adres van uw websitebezoekers, u verwerkt doorgaans toch hun persoonsgegevens met tracking cookies. Bij het plaatsen en uitlezen van tracking cookies worden namelijk altijd andere gegevens verzameld, zoals IP-adressen, gegevens over eerder bezochte websites en soms gegevens waarmee de randapparatuur uniek kan worden herkend op internet.

Indirect herleidbaar

Deze gegevens zijn persoonsgegevens, los of in combinatie met elkaar. Ook als u als website-eigenaar er zelf geen naam of adres aan vast kunt plakken. Bij de definitie van persoonsgegevens gaat het namelijk niet alleen om gegevens die u zelf kunt gebruiken om iemand te identificeren, maar ook om gegevens die een ander kan gebruiken om iemand te identificeren. Dat noemen we indirecte herleidbaarheid.

Los daarvan is het doeleinde van tracking cookies juist om het gedrag van een specifieke persoon op internet te volgen. En op basis van dit internetgedrag anders te kunnen behandelen.

Dat u (of het advertentienetwerk dat via uw website tracking cookies plaatst) de naam van de websitebezoeker niet kent, doet niets af aan het feit dat u (of het advertentienetwerk) informatie kan combineren over het surfgedrag van één specifieke persoon. En die persoon ook gericht kan benaderen via advertenties.

Nog steeds persoonsgegevens

Het anonimiseren van persoonsgegevens is een verwerking van persoonsgegevens. Ook als u de gegevens meteen anonimiseert, moet u dus bij het verzamelen nog toestemming vragen op basis van adequate informatie die u de bezoeker geeft.

Daadwerkelijk onomkeerbaar anonimiseren is overigens niet eenvoudig. In de praktijk is vaak sprake van pseudonimisering. Dat kan een goede maatregel zijn om bijvoorbeeld beveiligingsrisico's te verkleinen. Maar ook pseudoniemen (versleutelde gegevens) blijven  persoonsgegevens, omdat deze nog steeds herleidbaar zijn tot personen.

Zie voor meer informatie: opinie van de Europese Artikel 29-werkgroep over anonimisering.