Cookiewet - cookies

Wat is de Cookiewet of Cookierecht?

De cookiewet is een wijziging van de Telecommunicatiewet die als doel heeft de gebruiker/internetter controle te geven over de cookies die op zijn of haar apparatuur worden geplaatst of gelezen.
In principe moet aan de gebruiker toestemming worden gevraagd voor het plaatsen of uitlezen van cookies. Er is echter geen toestemming nodig voor cookies die geen of weinig gevolgen hebben voor de privacy van de gebruiker. Denk hierbij aan cookies die de kwaliteit of effectiviteit van een website of dienst meten (analytische cookies) en cookies die nodig zijn om een webshop of dienst goed te laten functioneren (functionele cookies).

Bij het gebruik van cookies worden in de regel persoonsgegevens verwerkt. Dit betekent dat naast de Telecommunicatiewet ook de Algemene Verordening Gegevensbescherming (AVG) van toepassing is. De toestemming waarover in de Telecommunicatiewet wordt gesproken, moet dan ook voldoen aan de vereisten van toestemming zoals deze in de AVG zijn opgenomen. Omdat de gebruiker vóór het plaatsen of uitlezen van cookies toestemming moet geven (opt-in), moet hij dus ook vóóraf worden geïnformeerd over het feit dat zijn gegevens worden opgeslagen of gelezen. Dat informeren moet gebruiksvriendelijk gebeuren, eveneens in lijn met de informatieverplichting uit de AVG. Tevens moet worden gemeld met welk doel een cookie wordt geplaatst of gelezen.

De cookiewet is gebaseerd op de EU ePrivacy Richtlijn 2002/58/EC (richtlijn inzake gegevensbescherming in de sector elektronische communicatie).
Die richtlijn - ePrivacy Directive genoemd - is in elk betrokken EU-land omgezet in nationale wetgeving. In Nederland betreft dit een wijziging van de Telecommunicatiewet (artikel 11.7a).

Wat zijn cookies?

Een cookie was oorspronkelijk een tekstbestandje op de computer van de websitebezoeker. Het was een manier om gegevens op te slaan voor een volgend bezoek aan de website, zoals een klantnummer of het laatst bekeken artikel. Cookies kunnen reuzehandig zijn. Zo gebruikt een smart-tv cookies om de inloggegevens van bijvoorbeeld Netflix op te slaan zodat je niet bij elke sessie opnieuw moet inloggen.
Het cookiebestand wordt steeds vaker gebruikt om jou ook voor andere doeleinden te herkennen. Elke websitebezoeker krijgt een unieke identificatie (ID). Zodra een website of programma je ID herkent, worden de reeds bekende (eerder verzamelde) gegevens van jou gelezen. Deze data wordt gecombineerd met informatie over je actuele bezoek. En zo kun je gepersonaliseerde advertenties te zien krijgen.
De techniek waarmee advertenties worden gericht op specifieke doelgroepen, gebaseerd op de over hen verzamelde en geanalyseerde data, wordt microtargeting genoemd.
Cookies kwamen het eerst voor op pc's, vooral bij de browsers (zoals Internet Explorer, FireFox, Chrome en Safari). Inmiddels zijn er andere apparaten met een vergelijkbare functionaliteit, zoals smart-tv's, telefoons, tablets en spelcomputers.

Trackers

De wet is techniekneutraal en spreekt letterlijk over "via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker". De verzamelnaam hiervoor is trackers. Er hoeft dus geen echt (cookie)bestand meer aan te pas te komen. Ook andere manieren van herkenning (van de gebruiker), zoals device fingerprinting en de Facebook Like-button, vallen onder het begrip tracker.
In de praktijk worden de begrippen 'tracking cookie' en 'tracker' door elkaar gebruik, zo ook op deze pagina.

Mobiele-advertentie-ID

Cookies werken niet optimaal op mobiele apparaten. Apps op smartphones werken technisch anders dan webbrowsers, waardoor een gebruiker verschillende soorten cookies op één apparaat krijgt. Dat is voor de herkenning door adverteerders niet gunstig.
Een mobiel apparaat heeft een advertentie-ID die door alle apps op het apparaat gebruikt kan worden. Die unieke ID is daarom de favoriete herkenningsmethode op mobile devices. Het doel is hetzelfde als bij de traditionele cookies, vandaar dat ze onder de algemene noemer van 'cookies' vallen.
Android vraagt de gebruiker niet om toestemming voor het gebruik van zijn Android Advertising ID (IADD). Windows vraagt toestemming voor het gebruik bij installatie, Apple vraagt sinds iOS 14 of de ID for Advertisers (IDFA) aangezet mag worden. Ook laptops en tablets hebben een advertentie-ID. In Windows, Apple iOS en Android kunnen ze gereset worden. Alleen in iOS en Windows kan het gebruik van die ID definitief geblokkeerd worden.

Cookies: onderscheid naar inhoud

Cookies kunnen worden onderscheiden al naar gelang hun functionaliteit of inhoud:

• Zoals de naam al zegt zijn noodzakelijke cookies nodig om een website of app goed te laten functioneren. Bijvoorbeeld om de artikelen te onthouden die je geselecteerd hebt in een bestelproces. Noodzakelijke cookies worden ook wel functionele cookies genoemd, of technische cookies. Voor het gebruik van deze cookies is geen toestemming nodig. Veel van deze cookies verdwijnen vanzelf zodra je de website verlaat. Dit zijn sessiecookies, die voor tijdelijke opslag van gegevens gebruikt worden.
• Analytische cookies zijn cookies die worden gebruikt om bijvoorbeeld bezoekersstatistieken bij te houden. Deze cookies hebben in de regel weinig tot geen gevolgen voor de privacy en vereisen dan geen toestemming.
• Ditzelfde geldt niet voor tracking cookies. Deze 'volgcookies' stellen partijen in staat gebruikers tijdens het surfen over verschillende websites te volgen en zo gebruikersprofielen op te stellen. Deze cookies zijn juist wél privacygevoelig. Er zal dan ook altijd toestemming moeten worden gevraagd - én verkregen.

Cookies: onderscheid naar partij die de cookies gebruikt

Een tracking cookie is een cookie dat wordt geplaatst of uitgelezen door een derde partij - vaak een advertentienetwerk - met als doel de gebruiker gepersonaliseerde advertenties voor te schotelen. Vandaar de naam third-party cookies.

Om het verhaal compleet te maken: noodzakelijke en analytische cookies worden meestal geplaatst door de website zelf, dus niet door derden. Ze worden daarom first-party cookies genoemd.

Wat is het probleem met cookies en trackers?

Er is geen probleem met noodzakelijke of functionele cookies, maar wel met tracking cookies. Met laatstgenoemde wordt het surfgedrag van websitebezoekers in kaart gebracht en worden gebruikersprofielen aangemaakt door adverteerders of advertentienetwerken. Deze willen je herkennen als je van website naar website surft. Het herkennen doen ze door elke gebruiker een unieke ID te geven. Die ID -en meer- kan worden opgeslagen in een cookie. Beetje bij beetje verzamelen deze netwerken informatie over jou. Daarmee maken zij de profielen aan. Een gevolg van dit 'volgen' is bijvoorbeeld dat je advertenties te zien krijgt voor producten die je eerder op een andere website hebt bekeken.
Een voorbeeld ter illustratie: wanneer je op een schoenenadvertentie klikt, verschaf je de adverteerder beperkte informatie over jezelf (bijvoorbeeld: je houdt van schoenen met gespen). Dat wordt anders als die adverteerder ook fietsen verkoopt, of boeken en parfums. Heel geleidelijk worden je smaak en bestedingspatroon in beeld gebracht. Dit heet profilering. Wanneer de genoemde onschuldige onderwerpen worden aangevuld met bijvoorbeeld gezondheidsproducten of politieke voorkeur, wordt al snel de ongewenstheid van profilering duidelijk.

Cookie-ID's versus fingerprinting

Bij het zetten van een nieuw (tracking)cookie krijgt een gebruiker een unieke ID. Deze ID wordt gebruikt voor herkenning. Wanneer een cookie wordt verwijderd, vervalt daarmee de gebruikte ID en het daarbij behorende profiel. Wordt een website of dienst door diezelfde gebruiker daarna opnieuw gebruikt, dan wordt een nieuwe ID aangemaakt. Wanneer je geen persoonlijke advertenties wilt zien, dan is het een goed idee om de cookies bij het afsluiten van je browser automatisch te laten verwijderen.

De techniek fingerprinting staat voor het herkennen van een apparaat. De configuratie van jouw hardware en software levert een (vrijwel) unieke identificatie op. Dit is een alternatieve methode om gebruikers (beter: apparaten) te herkennen.

Toestemming geven voor het plaatsen van cookies?

Een websitebezoeker moet in lijn met de AVG door een ondubbelzinnige en actieve handeling toestemming geven voor het plaatsen en uitlezen van tracking cookies. Zo geldt een vooraf aangevinkt hokje niet als een geldige manier van toestemming vragen. Ook tekstbalken met teksten in de trant van 'als u verdergaat op deze website gaat u akkoord' zijn niet geldig. Websites gebruiken steeds vaker dark patterns, methoden om websitebezoekers via knoppen, kleuren en teksten een bepaalde (cookie-)richting op te sturen. Op deze manier worden bezoekers verleid om meer van hun privacy bloot te geven.

Voor noodzakelijke cookies is geen toestemming nodig, evenals voor analytische cookies die weinig impact op de privacy hebben. Hierdoor zijn cookies voor analyse van het gebruik van een website (statistieken) zonder toestemming toegestaan, mits aan bepaalde voorwaarden wordt voldaan. Ook cookies van affiliate-netwerken mogen zonder toestemming worden gebruikt. Dat geldt eveneens voor a/b-testing-cookies, die informatie geven over welke versie van een website de beste resultaten levert.

Saillant detail: ook het feit dat de websitebezoeker de cookiebanner heeft gezien en, al dan niet, toestemming heeft gegeven voor het gebruik van tracking cookies is informatie die wordt opgeslagen in een cookie. Dit geldt dus ook als de bezoeker géén toestemming geeft voor het gebruik van tracking cookies.

Wie kan een cookie lezen?

Een cookie kan alleen gelezen worden door de website of app die deze heeft geplaatst. Amazon kan dus niet de cookies van Bol.com inzien. Wanneer je een website bezoekt die gebruikmaakt van meerdere adverteerders of advertentienetwerken, dan plaatst ieder een eigen cookie. Het gevolg is een wildgroei aan cookies op je apparaat, maar erger nog: je gegevens worden aan evenzoveel partijen verstrekt.



Informeren van bezoekers/gebruikers

Ook al gebruikt een website of dienst cookies waarvoor geen toestemming nodig is, dan nog geldt dat er een informatieplicht is. Het verdient aanbeveling om daarom een cookieverklaring te publiceren, met uitleg over de (soorten) cookies die gebruikt worden en waarvoor. Vanuit een algemene cookiebalk kan hiernaar verwezen worden.
Een cookiebalk, cookiepop-up of andere duidelijke melding bij het openen van een website wordt vaak gebruikt voor het vragen van cookietoestemming. De opties mogen niet vooraf aangevinkt zijn.

Cookiemuur: totale blokkade

Een cookiemuur of cookie wall is een algehele blokkade van de website, app of dienst in het geval de bezoeker geen goedkeuring geeft voor het gebruik van cookies. De cookiemuur is een botte manier om goedkeuring te krijgen voor het gebruik van tracking cookies.
Overheidsdiensten mogen geen cookiemuur opwerpen omdat de gebruiker geen vrije keuze heeft.
Volgens de Autoriteit Persoonsgegevens is een dergelijke complete blokkade bij commerciële diensten evenmin toegestaan. Deze interpretatie wordt niet door iedereen gedeeld. Het is te hopen dat de (komende) ePrivacyverordening, die de (huidige) ePrivacyrichtlijn zal vervangen, hierin duidelijkheid biedt.

Toezichthouders cookiewet / cookierecht

Er zijn in Nederland meerdere toezichthouders die gezamenlijk bepalen hoe de cookieregels geïnterpreteerd worden. De Autoriteit Persoonsgegevens gaat over schending van de regels uit de AVG en de Autoriteit Consument & Markt houdt toezicht op naleving van het cookieverbod zoals opgenomen in de Telecommunicatiewet. Beide instanties kunnen boetes opleggen.

Controle op naleving

Een website of app die cookies plaatst of uitleest zal bij een controle door de toezichthouder laatstgenoemde moeten overtuigen dat hij alleen cookies heeft geplaatst of gelezen na het verkrijgen van toestemming van de gebruiker. Dit kan bijvoorbeeld worden aangetoond door het geven van een procesbeschrijving van de software. Een procesbeschrijving is ook adequaat als het cookies van derden betreft. Die derde partij kan alleen cookies plaatsen als de betrokken website of dienst hiertoe de gelegenheid heeft geboden. De verantwoordelijkheid ligt dus bij deze website of dienst. In veel gevallen zal dit dan ook de partij zijn die de gebruiker om toestemming vraagt.

Statistieken & Google Analytics

'Meten is weten', vandaar dat websites graag de gegevens van bezoekers bijhouden en analyseren om verbeteringen in de website of dienst aan te brengen.
Veel websites willen bovendien graag persoonlijke informatie opslaan om je gericht aanbiedingen te kunnen doen. Er zijn verschillende typen programma's voor het verzamelen van (bezoekers)gegevens.

Het raadplegen van de logboeken van de webserver en het gebruik van statistiekprogramma's die alleen informatie uit deze logboeken halen, is toegestaan zonder toestemming. Dit staat overigens los van de verplichting dat websitebezoekers hierover moeten worden geïnformeerd, bijvoorbeeld in de privacyverklaring op de website.

Als een externe partij wordt ingeschakeld voor het analyseren van bezoekersgegevens, zal hiermee in de regel een verwerkersovereenkomst moeten worden gesloten.

Zo'n analyseprogramma van een externe partij is bijvoorbeeld Google Analytics.
Het gebruik van Google Analytics op een website is toegestaan zonder toestemming van de bezoekers als aan bepaalde voorwaarden wordt voldaan. De Autoriteit Persoonsgegevens had hiervoor een handleiding geschreven maar heeft deze met de vervanging van GA3 door GA4 (midden 2023) offline gehaald. De belangrijkste wijzigingen in GA4 is dat ip-adressen altijd geanonimiseerd worden en dat de data maximaal 14 maanden bewaard kan worden in plaats van 64 maanden.
Enkele aandachtspunten:

• Er moet een verwerkersovereenkomst met Google worden afgesloten om de opslag van de data binnen de EU te regelen
• Het delen van de data van GA4 met andere Google producten moet worden uitgezet, of er moet hiervoor toestemming van de bezoeker verkregen worden

Een attentiepunt voor website-eigenaren die generators of tools gebruiken om hun website in te richten: vaak zijn hierin opties voor Google Analytics aanwezig. Controleer of Google Analytics of andere analysetools standaard aanstaan, en zo ja, met welke opties. Vergeet niet de privacyverklaring hierop aan te passen.

Besef dat er privacyvriendelijker alternatieven voor Google Analytics bestaan. Bijvoorbeeld: Matomo (voorheen Piwik), Piwik Pro en diverse andere websitestatistiekprogramma's.

Tools voor lezen, wijzigen en verwijderen van cookies

Met het (gratis) programma CCleaner kunnen cookies uit browsers verwijderd worden. Specifieke cookies kunnen gemarkeerd worden zodat ze bewaard blijven.
Op de website van NirSoft vind je voor alle bekende browsers programma's om cookies te lezen, wijzigen en verwijderen. Ook voor de zgn. flash- of supercookies die niet in alle browsers worden verwijderd.
Ghostery is een handig, gratis tooltje dat per pagina laat zien of er cookies, advertenties, Google Analytics of dergelijke aanwezig zijn. Alle volgmethoden worden door Ghostery trackers genoemd. Per website kun je uitzonderingen aangeven. Voor alle browsers is een versie beschikbaar, ook voor Android en iOS. Het enige nadeel van Ghostery is dat je bij veel websites schrikt van de hoeveelheid aanwezige trackers.
Met EditThisCookie zijn details van cookies te lezen en te wijzigen. Dat laatste is handig bij het testen van software of de werking van cookies in het bijzonder.
In browsers - ook op mobiel - kunnen cookies meestal verwijderd worden vanuit de optie om de geschiedenis te wissen.



Cookies - simpeler regels in de toekomst?

De huidige ePrivacy-richtlijn dateert van 2002 en is ernstig verouderd. Men is binnen de EU al jaren bezig om deze richtlijn te vervangen door nieuwe regelgeving. De plannen hiervoor zijn inmiddels in een vergevorderd stadium. De ePrivacy-richtlijn zal worden vervangen door de ePrivacy-verordening. Voordeel hiervan is dat de nieuwe regelgeving niet in alle EU-lidstaten hoeft te worden omgezet in nationale wetgeving (een verordening is rechtstreeks van toepassing). Het ziet ernaar uit dat de ePrivacy-verordening in de loop van 2023-2024 wordt vastgesteld, met waarschijnlijk eenvoudiger cookieregels.

Bijzondere tracker: Facebook Like-knop

Het Europees Hof van Justitie heeft in juli 2019 besloten dat websites bezoekers moeten informeren over het gebruik van de Like-knop van Facebook. Er is toestemming nodig van de bezoeker. Je gegevens worden namelijk doorgestuurd naar Facebook, ook al klik je niet op de button. Zelfs als je niet eens een Facebook-account hebt. De Like-button heeft een zelfde soort werking als een cookie en dus gelden daar dezelfde regels voor.

Cookie-icoon van adverteerders

Een aantal grote (netwerken van) Europese adverteerders plaatst een klein icoontje bij hun advertenties die met tracking cookies werken. Klikken op het icoontje brengt de bezoeker naar de website your online choices waar informatie over third-party cookies te vinden is.

De toekomst van trackers - Chrome's Topics en Fledge & Apple's APT

Apples Safari blokkeert trackers en cookies van derden. Ook Firefox kent dergelijke restricties. Googles Chrome gaat hetzelfde doen in 2025. Google loopt achter in vergelijking met de concurrentie. Dat is vanwege het belang van de inkomsten uit advertenties van het eigen Adsense / Doubleclick (die baat hebben bij het volgen van gebruikers).
Google heeft in 2021 geëxperimenteerd met het systeem FloC: Federated Learning of Cohorts waarbij gebruikers in groepen werden ingedeeld via hun browserhistorie. Tezamen met de fingerprint van de browser leidde dit toch tot een zeker mate van herkenning van gebruikers. Daarom werd FloC in 2022 vervangen door een test met Topics: gebruikers krijgen advertenties te zien op basis van hun voornaamste interessegebieden, die worden herleid uit de browserhistorie/websitebezoek. Topics zal alleen in browsers werken die de techniek Chromium ondersteunen (zoals Chrome en Edge), in combinatie met websites die dit systeem ondersteunen. Gebruikers kunnen hun interesses aanpassen of Topics compleet blokkeren. Topics is inmiddels uitgerold. In de Nederlandse versie van Chrome is het te vinden onder Privacy en beveiliging | Advertentieprivacy.
Een ander voorstel van Google was Fledge, inmiddels omgedoopt in Protected Audience (werkt ook alleen in Chromium-browsers). Websites geven hun interessegroep door aan de browser van de gebruiker. Op een volgende site waar hetzelfde advertentieplatform actief is, worden de interessegroepen vanuit de browser van de gebruiker gecombineerd met o.a. informatie van de website en op de advertentieveiling omgezet in een advertentie. Bij Protected Audience blijft de data in de browser van de gebruiker in plaats van dat die naar het advertentieplatform gaat. Maar echt privacyvriendelijk is het nog steeds niet.
In IOS 14.5 introduceerde Apple de App Tracking Transparency. Dat is een privacy-tool waarmee gebruikers per (third-party) app kunnen kiezen of ze die app toestaan om data te verzamelen waarmee de gebruiker te identificeren is. Onderzoekers hebben vastgesteld dat diverse eigen apps van Apple die data altijd opslaan.

Opmerkingen over cookies en de cookiewet

• Cookies van affiliate-netwerken zijn toegestaan zonder toestemming. Ze werken anders dan tracking cookies. Ze houden bij of, en zo ja wanneer, je de website van een adverteerder hebt bezocht. Het doel is dat de adverteerder de website (de 'affiliate') herkent waar de bezoeker vandaan kwam. Als een bezoeker binnen een bepaalde termijn een aankoop doet bij de adverteerder, krijgt de affiliate hiervoor namelijk een vergoeding.
• Een gebruiker kan zijn voorkeuren voor advertenties in Google aangeven: instellingen voor Google-advertenties
  Voor het vastleggen van zoekinstellingen en het personaliseren van advertenties in Google ('privéresultaten') zie: zoekinstellingen in Google
• Als je toestemming of weigering in een cookie wordt opgeslagen, kan dit antwoord verloren gaan. Programma's die je computer schoonmaken bevatten vaak ook een functionaliteit om cookies te verwijderen. Een verwijderd cookie heeft tot gevolg dat bij een volgend bezoek aan de betreffende website opnieuw zal worden gevraagd om toestemming.
• Als meerdere gebruikers van dezelfde pc gebruikmaken en één van hen heeft een bepaald tracking cookie voor een website geaccepteerd, dan krijgen de volgende gebruikers van die pc (met hetzelfde gebruikersaccount) het acceptatieverzoek van die adverteerder of zijn netwerk vermoedelijk niet meer te zien.
• Cookies zijn browserafhankelijke bestanden. Zo kan Google Chrome niet het cookie van een bepaalde website lezen dat door FireFox is geplaatst.
• Wanneer de websitebeheerder of webdeveloper nieuwe functionaliteit toevoegt aan de website waardoor het cookiegebruik verandert, moet er opnieuw toestemming worden gevraagd aan de bezoeker. Bij het gebruik van standaardsoftware (bijvoorbeeld een cms) moet de website-eigenaar opletten dat er niet ongemerkt nieuwe functionaliteit geïntroduceerd wordt.
• De cookiewet geldt ook voor buitenlandse websites die zich op Nederlandse bezoekers richten.
• Diverse browsers kunnen third-party cookies blokkeren via een 'Do Not Track'-optie (DNT). Er zijn weinig websites die deze instelling respecteren. Om die reden is DNT uit Chrome verwijderd.
• Het is meer regel dan uitzondering dat websites meerdere cookies plaatsen. Dat kan om allerlei redenen zijn. Dit gebeurt bijvoorbeeld met websites die met plug-ins werken voor extra functionaliteit. Iedere plug-in kan een eigen cookie gebruiken.

Cookiemonster heeft een andere kijk op cookies

Heb je het helemaal gehad met cookies? Hieronder een video van Cookiemonster van Sesamstraat dat zijn eigen manier heeft om met cookies om te gaan: