Marjolein Kampschreur van het Digital Team over de acute implicaties van de nieuwe Cookiewet.
Met het door de Tweede en Eerste Kamer aangenomen wetsvoorstel tot herziening van de Telecommunicatiewet, een gevolg van Europese richtlijnen, worden ook de bepalingen rondom het plaatsen van cookies* aangepast. De ‘Cookiewet’, die per eind mei a.s. ingaat, heeft invloed op de volledige online branche. Want vrijwel iedere website of online service zet cookies.
Wat zijn de consequenties van deze wet voor u en uw online activiteiten? Gebruikt u bijvoorbeeld Google Analytics op uw website? Sluit u wel eens informatie van andere sites in, in uw eigen pagina (via iframes o.i.d.)? Heeft u adwords campagnes? Adverteert u met banners? Slaat u op een andere manier informatie van bezoekers op? Dan gebruikt u cookies. Al is nog niet duidelijk wat de exacte uitwerking van de wet in de praktijk zal zijn; dat er restricties komen ten opzichte van het plaatsen en gebruiken van cookies, is iets dat vaststaat.
* Een cookie is een hoeveelheid data die een server naar de browser stuurt met de bedoeling dat deze opgeslagen wordt en bij een volgend bezoek weer naar de server teruggestuurd wordt. Zo kan de server de browser opnieuw herkennen en bijhouden wat de gebruiker, c.q. de webbrowser, in het verleden heeft gedaan. (Bron: Wikipedia)
Opt-in
Er zijn verschillende soorten cookies: permanente cookies die op je computer worden bewaard en tijdelijke cookies die worden verwijderd als de ‘sessie’ afgelopen is (ook wel sessiecookies genoemd). Permanente cookies kunnen van je eigen website afkomstig zijn (first party cookies) of van andere websites of netwerken, bijvoorbeeld van adverteerders (third party cookies).
Per eind mei a.s. is een zogenaamde ‘opt-in’ (volgens de wet: een vrije, specifieke op informatie berustende wilsuiting; dus vooraf, en expliciet gevraagd) verplicht voor het plaatsen van cookies, tenzij deze bedoeld zijn voor het technisch goed laten werken van een dienst. Een aankoop mag bijvoorbeeld nog steeds via een online winkelwagentje verlopen zonder aparte toestemming (dit gebeurt via zogenaamde ‘sessiecookies’), maar voorkeuren en interesses tracken om gerichter te kunnen adverteren, mag vanaf eind mei alleen nog met toestemming.
Hierdoor moet iedereen die in Nederland cookies zet nu dus een manier vinden om hier expliciet toestemming voor te vragen aan hun bezoekers. Dit geldt niet alleen voor de eigen cookies, maar ook bij ‘third party cookies’.
Analytics
Een voorbeeld van webdiensten die problemen kunnen geven onder de nieuwe wet, zijn analytics-pakketten. Zo zullen vele bedrijven en organisaties Google Analytics gebruiken om de statistieken van hun site bij te houden. Er is nog veel onduidelijkheid over de vraag of gebruik hiervan is toegestaan onder de nieuwe wet.
In principe is het namelijk niet direct mogelijk om de statistieken in Analytics te herleiden naar een persoon. Wel kan je bijvoorbeeld aan een IP-adres aflezen welk bedrijfsnetwerk de site heeft bezocht. Het is de vraag of hiermee direct individuele privacy wordt geschonden, maar toch: er worden van elkaar onderscheidbare bezoekers vastgelegd in IP-adressen. Dat Google deze informatie vervolgens allemaal doorgestuurd krijgt, helpt natuurlijk ook niet. Iedereen die Javascript geactiveerd heeft in de browser stuurt namelijk individuele gegevens naar Google op basis van zijn of haar IP-adres. En dit is dus tegen de wet. Met een kleine aanpassing is het mogelijk om de toevoer van persoonlijke informatie aan Google te anonimiseren. Maar deze anonymize functie ontslaat websitebeheerders niet van het vragen van toestemming. De cookies die gezet worden voor de analytics zijn namelijk niet noodzakelijk voor een goed gebruik van de website, zo legde de minister desgevraagd uit.
Impact
Het is nog niet bekend welke impact dit precies heeft op online marketing en online adverteren. De hoogte van de mogelijke boetes is nog niet bekend. Minister Verhagen heeft toezichthouder OPTA verzocht om de ingevoerde regels pas vanaf 2013 te handhaven, in afwachting van de ontwikkeling van Europese ‘Do-Not-Track’ richtlijnen. OPTA zelf geeft echter aan dat de handhaving van cookieregels in 2012 prioriteit zal hebben, en er in principe vanaf 1 juli zal worden gehandhaafd. De OPTA heeft hier echter naar verluidt nog geen beleid voor ontwikkeld. Wel heeft de OPTA extra mankracht gekregen voor de handhaving van deze wet. Ze zullen echter nooit in staat zijn om alle Nederlandse websites op cookies te controleren.
Hoe nu verder?
Over de exacte manieren om met deze wet om te gaan en bezoekers van je site te waarschuwen dat er cookies worden gebruikt, is nog volop debat gaande. De meest besproken manier om toestemming te vragen is door het gebruik van een pop-up zoals te zien is in dit voorbeeld van Nu.nl.
Bron: Sanoma Media
Hoe de page eruit zien na een klik op ‘annuleren’ valt dan nog te bezien. Dit kan een site zijn met random (dus niet gepersonaliseerde) ads en adwords, maar het verhaal gaat dat sommigen in protest tegen deze maatregelen ook zullen kiezen voor een paardenmiddel: de hele site op zwart.
Ook op andere manieren kan toestemming vooraf verkregen worden. Zo kunnen in de toekomst bijvoorbeeld browserinstellingen hiervoor aangewend worden. De huidige mogelijkheden van browsers voldoen echter nog niet aan de in de wet gestelde voorwaarden. De browsers moeten zich hierop dus verder doorontwikkelen.
Er is dus ook ruimte om manieren te vinden om collectief toestemming te vragen. Op het moment slaat het ‘volg-me-niet-register’ de keuzes van gebruikers nog via opt-out op, maar wellicht dat dat in de toekomst opt-in en collectief (dus voor meerdere sites en cookies tegelijkertijd) kan worden vastgelegd.
Heb ik hiermee te maken?
Veel bedrijven en organisaties blijken er niet van op de hoogte te zijn dat deze maatregelen hen ook direct raken. In principe trackt iedere website cookies, en met de verandering van de wet is dus eenieder die een website beheert verplicht om hier vooraf melding van te maken en toestemming voor te vragen.
Om na te gaan welke cookies uw site track en of actie ondernemen verstandig is, kunt u de volgende stappen ondernemen:
- Ga na bij uw sitebouwer of webbeheerder welke cookies op uw site zijn geplaatst en/of worden getrackt.
- Zijn dit ‘onschuldige’ sessiecookies? (nodig voor het goed laten werken van een online dienst) of ‘tracking’ cookies?
- Bepaal uw beleid. Wacht u de ontwikkeling van de Do Not Track regulering af? Of beslist u om vooraf toestemming te vragen aan de bezoekers van uw website?
- Welke aanpak u ook kiest, het is in ieder geval raadzaam om een privacy-pagina aan te maken op uw website waarop wordt uitgelegd welke data van bezoekers wordt vastgelegd met welk doel. Ook zou daarbij vermeld moeten worden welke data die op deze manier verkregen is ook aan derden wordt verstrekt.
Er zal de komende tijd ongetwijfeld veel discussie ontstaan omtrent de nieuwe cookiewetgeving. Fleishman-Hillard volgt deze discussie op de voet en zal regelmatig updates over de implicatie en uitwerking van deze wet plaatsen op de website. Ook kunt u ons uiteraard altijd om advies vragen in specifieke gevallen.
