Een cookiebanner hebben betekent niet dat je website GDPR-correct is
Een cookiebanner tonen is eenvoudig. Zorgen dat niet-noodzakelijke cookies pas na geldige toestemming worden geplaatst, is iets anders. Dit moeten Belgische websites weten.
Een banner is geen bewijs van compliance
Veel websites hebben ondertussen een cookiebanner. Dat is goed, maar het zichtbare venster is slechts een deel van het verhaal.
De Belgische Gegevensbeschermingsautoriteit (GBA) maakt duidelijk dat toestemming voor cookies die toestemming vereisen vrij, specifiek, geïnformeerd en ondubbelzinnig moet zijn. De bezoeker moet een echte keuze krijgen en die keuze moet technisch worden gerespecteerd.
Een mooie banner bovenop een website die ondertussen al marketing- of trackingcookies plaatst, lost dus weinig op.
Wat moet een goede cookiebanner kunnen?
Voor niet-strikt noodzakelijke cookies waarvoor toestemming vereist is, hoort de bezoeker eerst te kunnen kiezen. Toestemming ontstaat door een actieve handeling; verder surfen, vooraf aangevinkte vakjes of algemene voorwaarden aanvaarden volstaan niet.
De GBA wijst ook op het ontwerp van de banner. Een opvallende knop om alles te aanvaarden terwijl weigeren wordt verstopt, kan de vrije keuze ondermijnen. Volgens de GBA hoort een mogelijkheid om alle niet-strikt noodzakelijke cookies te weigeren op dezelfde laag beschikbaar te zijn als de knop om alles te aanvaarden.
Daarnaast moet duidelijk worden uitgelegd wie verantwoordelijk is, waarvoor cookies worden gebruikt, welke gegevens worden verzameld en hoe lang cookies actief blijven.
De technische kant wordt vaak vergeten
Een cookiebeleid kan perfect geschreven zijn en toch niet overeenkomen met wat de website werkelijk doet.
Daarom moet je niet alleen de tekst controleren, maar ook de implementatie. Worden analytics- of marketingtools al geladen vóór toestemming? Wordt een weigering effectief gerespecteerd? Kan iemand zijn keuze later wijzigen of intrekken? Komen de categorieën in de banner overeen met de gebruikte tools?
Dat zijn technische vragen, geen puur juridische teksten.
Niet iedere cookie heeft toestemming nodig
Ook daar is nuance belangrijk. Cookies die strikt noodzakelijk zijn voor een uitdrukkelijk gevraagde dienst kunnen anders worden behandeld dan tracking- of marketingcookies. Een winkelmandje technisch laten functioneren is bijvoorbeeld iets anders dan bezoekers over verschillende websites volgen voor advertenties.
Daarom is een standaardbanner die voor iedere website exact hetzelfde doet zelden de beste aanpak.
Wat betekent dit voor Belgische ondernemingen?
Wie een website laat bouwen, doet er goed aan om privacy niet pas op het einde als een extra pagina toe te voegen. Formulieren, analytics, embeds, marketingpixels en andere externe diensten kunnen allemaal invloed hebben op de gegevensverwerking.
Een goede website koppelt daarom drie zaken aan elkaar: wat er in de privacy- en cookie-informatie staat, welke keuze de bezoeker krijgt en wat de website technisch werkelijk uitvoert.
Hoe kijkt Jolly Worx hiernaar?
Bij Jolly Worx behandelen we een cookiebanner niet als decoratie. We proberen de technische werking, de zichtbare keuzes en de informatie voor bezoekers op elkaar te laten aansluiten.
Dat betekent niet dat een webbouwer voor iedere onderneming juridisch advies kan vervangen. De exacte verplichtingen hangen af van de gebruikte diensten en gegevensverwerkingen. Maar een website mag ook niet doen alsof alles geregeld is omdat onderaan ergens een link 'Cookies' staat.
Een goede cookiebanner vraagt niet alleen toestemming. De website moet die keuze daarna ook werkelijk respecteren.