De aanpak van foute cookiebanners wordt harder. Nederlandse bedrijven die hun gebruikers geen duidelijke ‘weigerknop’ aanbieden, lopen een grotere kans op een boete dan voorheen. De Autoriteit Persoonsgegevens (AP) heeft extra mensen en een ‘bot’ op de handhaving gezet. Voorzitter Aleid Wolfsen: „Het wordt nu menens.”
Cookies en cookiebanners die gebruikers misleiden door het heel complex te maken om cookies te weigeren, zijn onderwerpen waarover de AP wekelijks boze telefoontjes en mailtjes van burgers binnenkrijgt. In 2024 ruim tweehonderd. „Het is een omvangrijk probleem en we hebben het idee dat de trucs en volgmethoden geraffineerder worden”, vertelt AP-voorzitter Wolfen telefonisch.
Die ergernissen en problemen zijn er al heel lang. Cookies werden ruim 25 jaar geleden uitgevonden. Nederland heeft sinds 2011 een wet die strenge eisen aan het gebruik ervan stelt. En sinds zeven jaar is er bovendien de Europese privacywet AVG met aanvullende consumentenbescherming.
Woud aan misleidende banners
In reactie op de wetten stopten bedrijven niet met het online volgen van gebruikers, zoals de bedoeling was, maar kwamen ze met een woud aan misleidende banners om toestemming te krijgen voor het plaatsen van cookies en voor het doorverkopen van gegevens. Consumenten werden zo moe van de pop-ups dat ze die in de regel gedachteloos wegklikken.
Lees ook
dit verhaal over de 25-ste verjaardag van het cookie en hoe ze werken
Het lukt de AP en de Autoriteit Consument en Markt (ACM) – die samen verantwoordelijk zijn – tot nu toe amper om de wet te handhaven. Pas in 2024 zijn door de AP voor het eerst boetes opgelegd (voor Kruidvat en Coolblue) vanwege het tracken van mensen zonder ze daar helder over te informeren en ze daarvoor zelf te laten kiezen.
„Het had eerder de aandacht moeten krijgen”, zegt Wolfsen. Dat dit niet gebeurde, komt volgens hem door een tekort aan middelen en mensen. „Nu schalen we echt op.” De AP heeft de minister van Economische zaken op 26 maart in samenspraak met de ACM voorgesteld het toezicht alleen nog bij de Autoriteit Persoonsgegevens te beleggen.
Het budget van de AP is per 2025 verhoogd van 45,2 miljoen naar 49 miljoen per jaar. In september 2023 kreeg de privacytoezichthouder bovendien voor drie jaar een half miljoen extra per jaar, speciaal voor de strijd tegen volgsoftware en misleidende cookiebanners. Dat bedrag is onder meer gebruikt om de voorlichting aan bedrijven te verbeteren over hoe het wél moet.
‘Volgen als vanzelfsprekendheid’
Een van de boodschappen van de AP is dat een cookiebanner niet nodig is als een bedrijf zijn bezoekers niet profileert en blijft volgen. Louter statistieken bijhouden mag ook zonder banner. Het lijkt in de loop der jaren echter een soort vanzelfsprekendheid geworden om bij iedere website maar volgsystemen aan te leggen.
„Het gebeurt ook naïef en onnadenkend”, zegt Wolfsen: „En dat moet echt stoppen. Als je een winkel uitloopt, vind je het ook niet normaal om bij de uitgang te worden gevraagd welke producten je allemaal hebt overwogen en à propos, wie is uw partner? Bedrijven moeten zich afvragen of ze op zo’n manier online hun geld willen verdienen.”
Inmiddels heeft de AP met het extra geld ook een bot gebouwd die stelselmatig de banners controleert van tienduizend in Nederland gevestigde bedrijven. Die bot scant geautomatiseerd de instellingen van de cookiebanners. Daarop moet het net zo gemakkelijk zijn om cookies te weigeren als om die toe te staan. De vinkjes voor toestemming mogen niet vooraf zijn aangevinkt. De bot controleert ook wat voor cookies worden geplaatst en of dat al gebeurt voordat daarvoor toestemming is gegeven.
Tracking cookies blijven volgen
De grootste boosdoeners zijn de zogeheten tracking cookies. Die worden gebruikt om websitebezoekers te volgen terwijl ze surfen, dus niet alleen op de website waar ze op dat moment zijn, maar ook daarna. Die cookies worden gebruikt om profielen op te stellen en bijvoorbeeld gepersonaliseerde advertenties of aanbiedingen te tonen.
Dat lijkt misschien onschuldig, zegt Wolfsen, maar is dat niet. „Dat soort profielen kunnen ook gebruikt worden voor politieke targeting tijdens campagnes. Ze kunnen worden gekocht door buitenlandse inlichtingendiensten. Of bedrijven gaan selectief om met aanbiedingen. Die geven ze bijvoorbeeld niet aan mensen met bepaalde profielen of uit bepaalde postcodegebieden. Het kan tot uitsluiting leiden.”
Bedrijven met misleidende cookiebanners krijgen eerst een brief met een waarschuwing. De eerste vijftig gaan deze week de deur uit. Volgende maand de volgende vijftig. De bedrijven en organisaties krijgen drie maanden om hun cookiebeleid binnen de wet te brengen. Doen ze dat niet, dan start een formeel onderzoek, gericht op het opleggen van een boete. Die kan oplopen tot maximaal 4 procent van de jaaromzet van een bedrijf.
