Lex Bruinhof, 26 maart 2015

Hoera: de nieuwe cookiewet is er

Vorige week is de nieuwe cookiewet in werking getreden. Het gaat maar om een klein wetje, waarin alleen artikel 11.7a van de Telecommunicatiewet enigszins wordt aangepast. Maar er is reikhalzend naar uitgezien. Het was vele sitebeheerders een doorn in het oog dat Nederland bij de implementatie van de Europese cookierichtlijn het braafste jongetje van de klas was geweest. Namelijk door óók toestemming te laten vragen voor het plaatsen van relatief onschuldige cookies (zoals cookies voor het bijhouden van bezoekersaantallen en -gedrag), terwijl de richtlijn dat niet expliciet voorschrijft. Kunnen zij de pop-ups met toestemmingsverzoeken nu eindelijk van hun site halen?

Dat hangt nog altijd af van de soort cookies die worden geplaatst. Maar de groep cookies waarvoor geen toestemming meer gevraagd hoeft te worden is wél uitgebreid met een belangrijke categorie. Cookies die “strikt noodzakelijk zijn om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij” mogen voortaan ook zonder toestemming worden geplaatst, “mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker“. Iets simpeler uitgedrukt: voor cookies die dienen om het effect van de website te meten op een manier die weinig privacy-impact heeft hoeft voortaan geen instemming meer te worden gevraagd.

Dus alle cookies voor gebruiksanalyse, zoals het veel (en ook door ons) gebruikte Google Analytics mogen voortaan zonder toestemming worden geplaatst?

Nou… nee, dat is te kort door de bocht. Veel analytische software, waaronder online aangeboden software-diensten als Google Analytics, is potentieel tot zóveel in staat dat niet gesproken kan worden van een geringe privacy-impact. Zo worden bij Google Analytics de verzamelde gegevens standaard gedeeld met Google zelf en wordt ook het volledige IP-adres van de bezoeker verwerkt. Wie zo'n pakket gebruikt zal dus nog steeds toestemming moeten vragen.

Gelukkig zijn de meeste gebruikers minder geïnteresseerd in die potentieel privacy-schendende toepassingen en daarom is het mogelijk óók met Google Analytics in aanmerking te komen voor het mogen plaatsen van toestemmingsvrije cookies. Sterker: het College Bescherming Persoonsgegevens heeft een heuse handleiding (pdf) opgesteld waar in staat wat u als Analytics gebruiker moet doen om die status te bereiken. Een vierstappenplan leidt u door het instellingenmenu van Analytics en zorgt onder andere dat het IP-adres wordt geanonimiseerd en het delen-met-Google wordt uitgeschakeld. Vervolgens moet u nog wel ergens op uw website (op de privacy-pagina bijvoorbeeld) vermelden dat u Analytics gebruikt, maar dan heeft u verder ook de zegen van het CBP.

Is het CBP document u te ingewikkeld? Ik vond een gemakkelijkere handleiding bij marketingfacts.nl. Maar daar krijgt u die bovengenoemde zegen mogelijk niet bij.

Vragen?