AVG-conforme toestemmingsbanners ontwerpen

Cookiebanners achtervolgen ons als een zwerm vervelende vliegen. Sommige zijn overbodig, andere wekken alleen de indruk dat ze aan de AVG voldoen en de meeste schieten tekort. Dit zijn de belangrijkste aandachtspunten.

1. Niet alles komt door de AVG!

De verplichting om voor bepaalde websitediensten vooraf toestemming te vragen, komt niet uit de AVG zelf, maar uit artikel 5, lid 3, van de ePrivacyrichtlijn:

De lidstaten dragen er zorg voor dat de opslag van informatie of de toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of gebruiker, alleen is toegestaan indien de betrokken abonnee of gebruiker daarmee heeft ingestemd op basis van duidelijke en volledige informatie die hem is verstrekt, onder meer over de doeleinden van de verwerking. .....

Omdat de ePrivacyrichtlijn voorrang heeft op de AVG, kunnen deze diensten niet steunen op een gerechtvaardigd belang volgens artikel 6, lid 1, onder f, AVG. Hiervoor geldt toestemming op grond van artikel 6, lid 1, onder a.
De AVG bepaalt vervolgens hoe je die toestemming moet verkrijgen.

2. Wanneer heb je toestemming nodig?

a. Toestemming is bijvoorbeeld niet vereist voor

• Apparaatgegevens, zoals het IP-adres, de schermresolutie en het besturingssysteem, die nodig zijn om een website of app weer te geven of te beveiligen
• Strikt noodzakelijke cookies voor taal- en lettertype-instellingen, inloggen, gebruikersvoorkeuren, winkelmandjes en online formulieren (sessiecookies)
• Diensten die de weergave verbeteren, laadtijden verkorten of de website optimaliseren, zoals content delivery networks (CDN’s) en webfonts

In het algemeen is geen toestemming nodig voor cookies of diensten die nodig zijn om de website te laten werken of een uitdrukkelijk gevraagde dienst te leveren. Gebruik je uitsluitend zulke functies, dan heb je geen cookie- of toestemmingsbanner nodig. Je hoeft alleen de bijbehorende informatie in je privacyverklaring op te nemen.

De bekende banners met “Wij gebruiken cookies, bla bla bla… OK” zijn overbodig. Ze verwarren bezoekers en zorgen ervoor dat mensen er steeds minder aandacht aan besteden.

Ook voor tools die uitsluitend statistische webanalyses uitvoeren, bijvoorbeeld om de website te verbeteren, is meestal geen toestemming nodig. Matomo valt hieronder, zeker omdat je het op eigen servers kunt hosten. Zulke diensten kunnen steunen op een gerechtvaardigd belang volgens artikel 6, lid 1, onder f, AVG. Soms is het verstandig de belangenafweging uit te voeren en vast te leggen. Dat is echter een privacyvraagstuk, geen kwestie van bannerontwerp.

Google Analytics vormt een uitzondering: toezichthouders beschouwen het als een trackingtool, ook wanneer de websitebeheerder alleen bezoekersstatistieken wil verzamelen. Voor Google Analytics is daarom toestemming nodig.

b. Toestemming is nodig voor:

• Statistische analyse en bereikmeting
• Advertenties op basis van gedrag of locatie
• Socialemediaplugins

Een alternatief voor socialemediaplugins is de tweekliksoplossing van Heise, de Shariff-knop. Je kunt ook afbeeldingen of pictogrammen gebruiken die alleen naar het betreffende platform linken. Daarvoor is geen toestemming nodig; de relevante informatie in je privacyverklaring volstaat. Eventueel kun je bij het aanwijzen een melding tonen, zoals “Je gaat naar de Facebook-pagina”. Zo weet de bezoeker wat er gaat gebeuren.

Voor elke functie waarvoor toestemming nodig is, geldt: vraag die toestemming VOORDAT je gegevens verzamelt of doorstuurt.

3. Kaarten, video en streamingdiensten

In de periode waarop dit artikel betrekking heeft, bestond hierover nog geen overeenstemming. Sommige privacydeskundigen verwachtten dat de geplande ePrivacyverordening, die oorspronkelijk tegelijk met de AVG zou ingaan, ook voor deze diensten voorafgaande toestemming zou eisen. Volgens hen wezen de uitspraken van het Hof van Justitie van de EU uit het najaar van 2019 en van het Duitse Bundesgerichtshof uit mei 2020 in dezelfde richting.

De Beierse privacytoezichthouder voor de niet-publieke sector (BayLDA) schreef op zijn website dat video’s zonder voorafgaande toestemming konden worden ingesloten als ze pas na een bewuste klik afspeelden en er daarvoor geen gegevens werden doorgestuurd. Dat kon met een tweekliksoplossing of Embetty. Voor YouTube adviseerde de toezichthouder bovendien de privacymodus (no-cookie).

Voor Google Maps hanteerde de BayLDA een vergelijkbaar uitgangspunt: kaartinhoud mocht pas laden als de bezoeker daar actief om vroeg, bijvoorbeeld met een extra klik via een tweekliksoplossing.

Ik heb hierover navraag gedaan bij de BayLDA. De toezichthouder bevestigde destijds deze uitleg, maar moest de motivering van de rechterlijke uitspraken nog grondig bestuderen. Dat kon tot een ander standpunt leiden.

Wil je vooruitdenken, dan kun je ook voor deze diensten toestemming vragen. Je kunt altijd extra maatregelen nemen om persoonsgegevens te beschermen.

4. Voorwaarden voor geldige toestemming

Toestemming moet VOORAF worden gegeven, GEÏNFORMEERD zijn en VRIJWILLIG worden verleend. Concreet:

a. VOORAF:
Wanneer iemand de website voor het eerst opent, moeten scripts die gebruikersgegevens kunnen verzamelen en aan derden doorgeven uitgeschakeld blijven.
b. GEÏNFORMEERD:
Leg kort uit welke diensten je gebruikt, in duidelijke taal en met een overzichtelijke indeling. Het doel is informeren, niet afschrikken.
c. VRIJWILLIG:
Vink toestemmingsvakjes niet vooraf aan. Bezoekers moeten actief instemmen en niet eerst zelf een vinkje hoeven weghalen.

Opmerking:
Algemene teksten als “Deze site gebruikt cookies voor analyse en reclame” of “…om je surfervaring te verbeteren” zijn op zichzelf niet voldoende. Ze maken niet duidelijk wat er met de gegevens gebeurt.

Een echte keuze betekent ook dat bezoekers de website kunnen gebruiken als ze optionele diensten weigeren.

5. Toestemming vastleggen en aantonen

Je moet toestemming vastleggen en kunnen aantonen. Volgens veel privacydeskundigen volstaat technische documentatie, zoals de gedateerde toestemmingstekst, de code en versie van de banner, tijdstempels en de cookie-ID van de gebruiker. Extra persoonsgegevens verzamelen alleen om toestemming te bewijzen is onnodig en in strijd met dataminimalisatie.

6. Toestemming intrekken: de opt-out

Gebruikers mogen hun toestemming op ieder moment intrekken. Elke dienst die je inzet moet daarom een werkende opt-out bieden die altijd gemakkelijk te vinden en te gebruiken is.

7. Hoe ziet een goede toestemmingsbanner eruit?

De volgende inhoud is verplicht in de banner:

• De verwerkingsverantwoordelijke, als die nog niet duidelijk op de website staat
• Naam van de tool
• Doel van de verwerking
• Ontvanger van de gegevens
• De vermelding dat toestemming vrijwillig is en kan worden ingetrokken, met een opt-outmogelijkheid
• Link naar het privacybeleid
• Let op de plaatsing: de banner mag de toegang tot de wettelijke bedrijfsinformatie of privacyverklaring niet blokkeren.

De verplichte informatie ligt vast, maar het ontwerp kun je zelf kiezen. Met submenu’s voorkom je dat de banner te vol wordt. Zo zou een eerste informatielaag met de minimaal vereiste informatie eruit kunnen zien:

Dit is slechts één mogelijke vorm voor de eerste informatielaag, geen verplicht sjabloon.

Er zijn veel consentmanagementplatforms (CMP’s). Online kun je hun functies vergelijken. Bekende voorbeelden zijn Cookiebot, Borlabs Cookie, Usercentrics en Consentmanager.

Een toestemmingstool moet aan deze basisvoorwaarden voldoen:

• De banner meteen tonen wanneer iemand de website of app bezoekt
• Wettelijk verplichte informatie toegankelijk houden, waaronder bedrijfsgegevens, algemene voorwaarden en de privacyverklaring
• Cookies pas plaatsen of mobiele advertentie-ID’s pas verwerken nadat de gebruiker actief heeft ingestemd. Verder navigeren, de banner wegklikken of de banner na een bepaalde tijd automatisch laten verdwijnen geldt niet als toestemming.
• De website of app bruikbaar houden als iemand cookies of advertentie-ID’s weigert
• Opt-out functie
• Logboeken en rapportages bieden om toestemming te kunnen aantonen

Meer uitleg vind je in de richtsnoeren voor aanbieders van telemediadiensten van de Duitse Datenschutzkonferenz en de veelgestelde vragen over cookies en tracking van de privacytoezichthouder in Baden-Württemberg.

Kies de oplossing die bij je website past, eventueel met hulp van je webbureau. Wil je geen eigen oplossing bouwen, vergelijk dan de aanbieders en hun functies.
Controleer vanuit privacyoogpunt of de aanbieder zijn claims over AVG-naleving kan onderbouwen en waar de servers staan.

8 En de marketing?

Veel bezoekers willen niet worden gevolgd en klikken op “Alles weigeren”. Dat is misschien vervelend voor marketing en analyse, maar zij oefenen hun wettelijke recht uit om zelf over hun informatie te beslissen.

Tijdens een informatiebijeenkomst die ik bijwoonde, deelde een medewerker van het Zweedse Jaohawi AB, de aanbieder van Consentmanager, enkele interessante cijfers:

Uit hun analyses bleek dat gemiddeld 40–50% van de bezoekers voor “Alle diensten accepteren” koos. Dat betekent dat 50–60% geen toestemming gaf.

Volgens de spreker kon een betere banner het acceptatiepercentage verhogen tot ongeveer 65%, of tot circa 70% onder trouwe terugkerende klanten.

Hij schatte dat na invoering van een toestemmingsbanner ongeveer de helft van de marketinggegevens in rapportages ontbreekt. Zijn advies was om bij prognoses statistisch rekening te houden met die ontbrekende gegevens.

Je kunt privacy respecteren en tegelijk de plaatsing, kleuren en tekst van je banner verbeteren om meer bezoekers te laten instemmen met optionele diensten.