Cookies

Er zijn verschillende soorten cookies, wij lichten de meest voorkomende cookies die worden gebruikt toe: functionele, analytische, tracking en affiliate cookies.

1. Functionele cookies
   De functionele cookies zijn nodig om websites technisch goed te laten functioneren, hierdoor is toestemming niet nodig. Dit zijn cookies die gebruikt worden om de items van een winkelmandje te onthouden en bijvoorbeeld ook om inloggegevens te onthouden, een taal of land te herkennen of te zien of je de site bezoekt vanaf een pc, tablet of telefoon. Voor functionele cookies is geen toestemming nodig.
   
2. Analytische cookies
   Analytische cookies zijn niet nodig voor het functioneren van de website, maar worden wel gebruikt voor de analyse ervan zoals Google Analytics. Deze verzamelen cijfers zoals het aantal website bezoekers, het klikgedrag en populaire onderwerpen. Hiermee kunnen organisaties hun websites onder de loep nemen om hun marketing te kunnen verbeteren. Als u de data samenvoegt (aggregatie) dan heeft dit weinig impact op de privacy van de webbezoeker en hoeft u geen toestemming te vragen voor deze cookies. Maar als de cookies wel unieke identifiers bevatten en bezoekers volgen, dan moet toestemming gevraagd worden.
3. Tracking cookies
   De tracking cookies hebben wel invloed op de privacy. Ze zijn niet nodig om een website goed te laten functioneren. Ze worden ingezet om een bezoeker lange tijd binnen de site en soms op andere sites te volgen. Via deze cookies worden profielen gebouwd van webbezoekers zodat organisaties specifieke inhoud of reclames kunnen tonen om zo in te spelen op de persoonlijke voorkeuren van de webbezoeker. Toestemming vragen voor deze cookies is noodzakelijk.
4. Affiliate cookies
   Affiliate cookies meten de effectiviteit van een advertentie. Ze houden bij welke advertentie leidt tot een aankoop, zodat degene die deze advertentie heeft getoond (de affiliate oftewel tussenhandelaar) hiervoor een beloning kan ontvangen. Hierdoor hebben ze geringe privacy impact en wordt voor deze cookies geen toestemming gevraagd.

Organisaties gebruiken cookies om websites gebruikersvriendelijker te maken en om informatie te verzamelen over de webbezoekers. Met het doel om webbezoekers persoonlijk te benaderen of gericht te adverteren. Deze informatie is indirect herleidbaar tot een persoon waardoor de Algemene Verordening Gegevensbescherming (AVG) in beeld komt. De Cookiewet (opgenomen in de Telecommunicatiewet artikel 11.7a) zoomt verder in op het gebruik van de techniek.

De Cookiewet verplicht organisaties om webbezoekers te informeren en om toestemming te vragen.

Informeren

Als uw website cookies plaatst moet u de bezoekers hierover duidelijk en volledig informeren. De wettelijke toezichthouder Autoriteit Consument & Markt (ACM) zegt hierover het volgende:

Informeren mag niet door een vage verwijzing naar een privacy of cookiestatement. Een cookiestatement is wel geschikt om nadere uitleg te verstrekken en bijvoorbeeld de werking van de cookies die uw website plaatst te benoemen. In uw privacy statement moet u dan de volgende zaken vermelden:

Welke cookies worden geplaatst;

• Voor welk doel (analytics, conversie-attributie, online advertising of personalisatie);
• Welke informatie wordt met een cookie vastgelegd;
• Of de informatie verstrekt wordt aan derden.

De informatie over het plaatsen van cookies moet op een zichtbare plek op de website staan, met een begrijpelijke uitleg waarom u de cookie plaatst en welke informatie met welk doel wordt verzameld moet terug te vinden zijn in uw cookie statement.

Toestemming

De tweede verplichting is dat u toestemming moet vragen voor het plaatsen van cookies. De toestemming geldt niet voor cookies die noodzakelijk (functioneel) zijn.

Voorbeelden van noodzakelijke cookies zijn:

• Cookies die gebruikt worden bij het onthouden van items in een winkelmandje;
• Cookies om inloggegevens te onthouden.

U kunt op dit moment op meerdere manieren toestemming vragen voor het plaatsen van de cookies. Dit kan bijvoorbeeld via een pop-up of een banner waarmee u toestemming of geen toestemming kunt vragen voor het plaatsen van cookies. Let hierbij op om een onderscheid te maken in de verschillende soorten cookies, zodat de webbezoeker hiervoor apart zijn of haar toestemming kan geven.

• Cookie statement: biedt een cookiestatement aan. Een soort privacy statement waarin u alle cookies die geplaatst kunnen worden benoemd, samen met hun functie, welke informatie ze verzamelen en hun bewaartermijn. Zorg dat het cookiestatement makkelijk te vinden is op uw website, bijvoorbeeld door een hyperlink in de footer.
• Cookiebanner: als u tracking cookies plaatst of analytics cookies met een unieke identifier dan moet u toestemming vragen. Dat kunt u doen met een cookiebanner: een soort pop-up op de website waarin de webbezoeker kan aangeven of hij wel of geen cookies wilt. Voor de voornoemde cookies moet de toestemming actief gegeven worden, dit mag dus niet default aan staan. Onze privacy toezichthouder de Autoriteit Persoonsgegevens geeft ook aan dat een cookiewall niet mag. Dit is het model waarbij mensen die een website willen bezoeken of app willen gebruiken, de vraag krijgen om cookies te accepteren voordat zij toegang krijgen tot de website. Geven zij geen toestemming, dan krijgen zij geen toegang. Volgens de toezichthouder kan deze toestemming niet vrij worden gegeven.
• Cookie procesbeschrijvingen: documenteer welke cookies in gebruik zijn en weet welke impact deze hebben op de privacy van bezoekers, zodat het inzichtelijk is voor de organisatie en ook aantoonbaar is voor toezichthouders zoals de ACM. En vraag uzelf af of deze gebruikte (vooral third-party) cookies wel passen bij uw organisatiecultuur.

Cookies stellen een adverteerder in staat om gericht te adverteren binnen hun eigen site of op een site van derden. Op een generieke webpagina zoals nu.nl of marktplaats herkent de cookie bijvoorbeeld de schoenenliefhebber en kan hem of haar een persoonlijke advertentie worden getoond. Dit is handig want je hebt zo meer effectieve advertentieruimte. Het maakt namelijk niet uit of u op de homepage staat met uw advertentie.

Cookie-marketing duidt dus op de praktijk waarbij webbezoekers gericht en persoonlijk worden benaderd met content of aanbiedingen op basis van hun surfgedrag. Dit kan binnen de eigen site van een organisatie en op de sites van derden, waar de adverteerder een advertentie uitserveert aan bepaalde profielen. Dit mag op basis van toestemming die wordt uitgevraagd in de cookiebanner van de adverteerder of de derde website indien een adverteerder daar adverteert.

Er bestaat ook zoiets als re-marketing. Bij re-marketing wordt op de site van een adverteerder een third party cookie geplaatst bijvoorbeeld van Facebook of Google, die de bezoeker die de site van de adverteerder heeft verlaten, op een later moment herkent op het Facebook of Google platform en hem hier nog eens een advertentie van de adverteerder laat zien. Dit mag op basis van toestemming die wordt uitgevraagd in de cookiebanner en de toestemming die de platformen hebben gevraagd voor deze advertenties in hun platform.

Er bestaan (voorlopig nog) first-party cookies en third-party cookies. De first-party zijn cookies die worden geplaatst vanuit de website die een bezoeker bezoekt. Third-party cookies worden door andere partijen geplaatst vanuit de website die iemand bezoekt. De website zelf kan deze cookies niet uitlezen.

Inmiddels zijn deze third-party cookies in opspraak. De browsers (Firefox, Edge, Safari) weigeren deze al standaard of gaan dit doen (Chrome). Third-party cookies zijn daarom in rap tempo aan het verdwijnen. Dat leidt ertoe dat adverteerders alleen nog informatie kunnen verzamelen met first-party cookies en hierop kunnen targetten.

Dat betekent dat adverteerder A gerichte content of advertenties kan laten zien aan webbezoekers binnen zijn eigen websites. Adverteerder A kan ook nog adverteren op sites van derden, maar ook die zijn afhankelijk van first-party cookies of eigen data en moeten dus voldoende bereik hebben. Dat werkt dus voordelig voor online platformen (immers Google en Facebook hebben ingelogde gebruikers). Het schaalvoordeel geldt ook voor bepaalde uitgevers met een groot aantal websites en bezoekers.

Re-marketing wordt zeer moeizaam door het afschaffen van third-party cookies omdat het niet meer mogelijk is iemand over websites te volgen.

Er spelen een aantal ontwikkelingen in cookie marketing. Zo verdwijnen de privacy onvriendelijke ‘third party cookies’ en stappen veel organisaties over op server-side tagging of tracking, wat ook de privacy van de webbezoeker beter borgt.

Server-side tracking houdt in dat een cookie, die geplaatst wordt vanuit een website, niet meteen wordt uitgelezen van het apparaat van de gebruiker, maar via een server naar één van de trackers (Google Analytics, Facebook, Bing) wordt gestuurd. De adverteerder is dan in de lead ten aanzien van de informatie die zij deelt met de platformen.

Dat is even de vraag. De platformen zijn bezig met het ontwikkelen van technieken waarbij targetting en re-targetting mogelijk blijft maar niet meer op individueel niveau, maar op groepsniveau.

Privacy technisch zijn er wel wat onduidelijkheden. Het is nu al mogelijk om gedragsmodellering te doen op basis van niet identificeerbare pings die naar een platform worden gestuurd: zoals timestamp, user agent, referrer en geaggregeerde informatie zoals click informatie en page loads. Op basis van die anonieme data wordt dan een gedragsmodel voor een bezoeker gemaakt op basis waarvan hem toch gerichte content kan worden getoond. Dus ook met gedragsmodellering wordt een profiel gemaakt dat bedoeld is om bezoekers te individualiseren, ook al kan je hem niet identificeren.

Daarnaast valt de techniek, het sturen van pings, vermoedelijk onder de reikwijdte van de cookiewet. Die geeft aan dat als je informatie uitleest van de randapparatuur van een bezoeker, hiervoor toestemming vereist is. Behalve als dit noodzakelijk is voor het leveren van de dienst of om communicatie over een netwerk mogelijk te maken. Die pings kunnen wel technisch noodzakelijk zijn maar worden nu ook commercieel gebruikt. De vraag luidt dus of gedragsmodellering de tand de tijds doorstaat.

De Autoriteit Consument & Markt (ACM) ziet toe dat websites die surfgedrag van webbezoekers volgen, zich aan de regels van de Cookiewet houden en kunnen ook boetes uitdelen mochten organisaties dit niet doen. De Autoriteit Persoonsgegevens kan ingrijpen als cookies gebruikt worden om persoonsgegevens te verwerken en dit niet volgens de AVG gebeurt.

De toezichthouder AP ziet IP-adressen als een persoonsgegeven. Het maakt niet uit of deze adressen gebruikt worden op een B2B of B2C website.  Zeker omdat deze (al dan niet in combinatie met andere data) kunnen worden gebruikt om bezoekers te individualiseren of identificeren. Let op ze hoeven hier niet voor gebruikt te worden, alleen de mogelijkheid maakt volgens de AP van IP-adressen opslaan al een verwerking van persoonsgegevens. Dit is specifiek benoemd in het rapport van de toezichthouder over de cookies van de Nederlandse Publieke Omroep. Zij maakten gebruik van de zogenaamde comScore cookie. Hier werden ook IP-adressen opgeslagen. Deze cookies werden gebruikt om geaggregeerd publieksbereik te meten. Maar omdat IP-adressen met de cookies werden opgeslagen en omdat bezoekers (zij het geaggregeerd) getrackt werden bij het gebruik van de site, heeft een organisatie hier volgens de AP toestemming voor nodig.

Er kan bij doorsurfen sprake zijn van toestemming, mits de cookiebanner dit aangeeft. Er zijn een aantal essentiële elementen voor die ‘eerste laag’, de banner:

• in de eerste laag wordt kort de identiteit bekendgemaakt van degene(n) die de cookies plaatst en uitleest [indien van toepassing: plaatsen en uitlezen];
• als er ook toestemming wordt gevraagd voor andere websites, moet dat duidelijk worden gemaakt, de exacte identiteit van de andere websites kan in de tweede laag worden bekendgemaakt;
• er moet kort worden medegedeeld van welke categorieën van cookies gebruik wordt gemaakt;
• ook moet kort worden medegedeeld voor welke doelen de cookies worden gebruikt; voor commerciële cookies kan worden medegedeeld dat het gaat om gebruik voor het aanbieden van gepersonaliseerde advertenties;
• als gebruik wordt gemaakt van andere technieken dan cookies, moet ook dat worden aangegeven, bijvoorbeeld door verwijzing naar ‘vergelijkbare technieken’; die worden vervolgens toegelicht in de tweede laag;
• het moet in de eerste laag ook duidelijk zijn door welke actie de websitebezoeker toestemming geeft, bijvoorbeeld door het aanklikken van een akkoord- of oké-knop of door verder gebruik te maken van de webpagina. Dit is sowieso doorsurfen naar een tweede pagina, scrollen op dezelfde pagina valt hier niet onder, uiteraard ook niet het doorklikken naar de cookie-instellingen;
• uiteraard moet er een link zijn naar de tweede laag om de uitgebreidere informatie te kunnen bekijken of om, als dat van toepassing is, gedifferentieerde toestemming te geven (bijvoorbeeld wél voor social media, niet voor andere websites).