Koekje erbij? Cookies, cookiebanners en toestemming.
We worden er inmiddels allemaal moedeloos van: je bezoekt een website en het eerste wat je te zien krijgt is een gigantische pop-up die vraagt om je digitale ziel. De meesten van ons klikken uit pure frustratie maar op de grote groene knop 'Alles accepteren'. Maar wat geef je dan eigenlijk weg? En waarom hangt de Belastingdienst hierdoor nu alweer de vuile was buiten? In de nieuwste PRISM-podcast duiken Rogier Verdier en privacyjurist Mick Jongert in de wondere, ondoorzichtige wereld van cookies en toestemming.
1. Van Star Trek tot databestand: Wat is een cookie eigenlijk?
Voordat we naar de juridische pijnpunten kijken, helpt een klein stukje geschiedenis. Want waarom noemen we digitale volgbestandjes in hemelsnaam 'cookies'?
Mick legt uit dat de term ooit is bedacht door programmeur Lou Montulli, die ze vernoemde naar de zogenaamde magic cookies: kleine datapakketjes die destijds veilig informatie uitwisselden tussen softwaresystemen. Een ander hardnekkig gerucht is dat het woord afstamt van het oude computerprogramma Fortune, dat willekeurige quotes uit onder andere Star Trek en The Hitchhiker's Guide to the Galaxy op je scherm toverde. Dit werden gekscherend 'gelukskoekjes' genoemd, omdat je nooit wist wat voor rare boodschap je kreeg.
Vandaag de dag zijn cookies helaas een stuk minder romantisch. Juridisch gezien is het een verzamelnaam voor alle kleine tekstbestandjes en vergelijkbare technologieën die informatie van jouw apparaat aflezen of daarop opslaan. Sommige zijn puur functioneel (zoals het onthouden van de producten in je winkelwagentje of het laten uitvouwen van een menu), maar de meesten zijn er voor één specifiek doel: jou over het hele internet volgen.
2. Het Nieuwsbericht: De Belastingdienst en het Adobe-lek
Hoe mis het kan gaan met deze tracking-technologie, bewijst het recente nieuwsbericht dat Mick heeft meegenomen. Wat blijkt? De Belastingdienst heeft zoekgedrag van slachtoffers van de toeslagenaffaire gedeeld met het Amerikaanse databedrijf Adobe.
Een bekende privacy-onderzoeker, Mick Beer, besloot de herstelwebsite (herstel.toeslagen.nl) 'onder de motorkap' uit te lezen om te kijken welke datastromen er lopen. Tot zijn schrik ontdekte hij dat er, zonder dat dit transparant was gemeld, gegevens werden uitgewisseld met Adobe in de Verenigde Staten. De Belastingdienst claimde dat ze deze tracking uit voorzorg hadden uitgeschakeld, maar de techniek liet iets heel anders zien.
Waarom is datadelen met de VS zo gevaarlijk?
"Amerika is een ontzettend lastig land als het gaat om gegevensuitwisseling," legt Mick uit. De Amerikaanse inlichtingsdiensten hebben op basis van hun nationale wetgeving de bevoegdheid om via geheime procedures toegang te eisen tot alle data die door Amerikaanse bedrijven (zoals Adobe) worden verwerkt. Als burger heb je geen enkel rechtsmiddel om je hiertegen te verzetten, en de bedrijven krijgen een permanent spreekverbod opgelegd. Dat nota bene de Belastingdienst de gegevens van een toch al zwaar gedupeerde doelgroep via cookies naar de VS laat stromen, is dan ook een enorme privacy-misstap.
3. Wat geef je weg bij 'Alles Accepteren'?
Veel mensen denken: "Wat kan het voor kwaad dat een bedrijf weet welke websites ik bezoek?" Het antwoord is: angstwekkend veel. Cookies meten niet alleen je klikgedrag, ze hebben in sommige gevallen toegang tot je locatie, je openstaande tabbladen, je browsing-geschiedenis en kunnen theoretisch zelfs bij bestanden op je device komen.
De zwangere tiener: Voorspellen tot in detail
Door al die duizenden datapunten geautomatiseerd aan elkaar te koppelen, ontstaat er een digitaal profiel (profilering). Bedrijven weten daardoor soms dingen over jou voordat je het zelf weet.
Mick haalt een klassiek, maar treffend voorbeeld aan van een Amerikaanse supermarktketen. De keten stuurde gerichte advertenties en kortingsbonnen voor babykleertjes naar een jonge tiener. Haar vader was woedend en begon een rechtszaak tegen de supermarkt vanwege 'zwangerschapspropaganda'. Wat bleek? De supermarkt had op basis van de veranderde aankoop- en zoekpatronen van het meisje allang berekend dat zij zwanger was—nog voordat ze het zelf aan haar vader had verteld. Dat is het detailniveau waar we het over hebben.
4. De Illusie van Keuze: Dark Patterns en Pay-or-Okay
De Europese privacywetgeving (AVG) stelt dat je als websitebeheerder pas tracking cookies mag plaatsen nadat een gebruiker hier vrije, specifieke en ondubbelzinnige toestemming voor heeft gegeven. De praktijk is echter een mijnenveld van overtredingen.
Veel websites maken gebruik van Dark Patterns: misleidende ontwerptricks die jou richting de 'Ja'-knop duwen. Denk aan een reusachtige, felgroene knop voor 'Alles accepteren' en een verstopt, grijs linkje voor 'Weigeren'. Of websites die claimen: "Door verder te surfen op deze website gaat u akkoord met onze cookies." Mick is duidelijk: "Dat mag dus sowieso absoluut niet."
De 'Gerechtvaardigd Belang'-valkuil
Een andere grote frustratie is de 'gerechtvaardigd belang'-route. Kies je in een cookiebanner voor 'Instellingen', dan zie je dat de marketingcookies netjes uitstaan. Maar scroll je verder, dan staat er een hele lijst met cookies ingeschakeld onder het kopje 'Gerechtvaardigd belang'. Soms moet je honderden leveranciers handmatig langslopen om ze alsnog uit te zetten. Juridisch gezien is dit een enorme overtreding, omdat tracking voor advertenties vrijwel nooit onder een 'gerechtvaardigd belang' kan vallen.
Betaal met je portemonnee of je fotorol
Tegenwoordig zie je ook steeds vaker het 'Pay-or-Okay'-model, zoals bij Instagram of Buienradar. Je krijgt de keuze: betaal een maandelijks bedrag, óf gebruik de app gratis en sta toe dat we je persoonlijke data tracken. Hoewel het de bewustwording vergroot ("als het gratis is, ben jij het verdienmodel"), blijft het de vraag of dit juridisch gezien écht 'vrije toestemming' is. Want in feite betaal je niet met geld, maar met toestemming om in je digitale fotorol of locatiegeschiedenis te kijken.
5. De Verantwoordelijkheid van de Websitebeheerder
Als organisatie ben je zélf verantwoordelijk voor alle cookies die via jouw website worden geplaatst, ook de zogenaamde Third Party Cookies van externe partijen. Embed je een YouTube-filmpje of een Google Maps-kaartje op je contactpagina? Dan plaatst Google direct tracking cookies bij jouw bezoeker. Zelfs de 'YouTube No Cookie'-optie (Enhanced Consent Mode) houdt tracking alleen tegen totdat de bezoeker daadwerkelijk op afspelen klikt. Daarna begint de datamachine alsnog te draaien.
Waarom automatische tools niet genoeg zijn
Om cookies te managen, gebruiken veel bedrijven een Cookie Management tool. Maar Mick waarschuwt: "De automatische classificaties die in zo'n tool zitten, zijn meestal simpelweg niet zo goed." Hierdoor worden tracking-cookies soms onterecht als 'functioneel' bestempeld.
Om dit te controleren, moeten beheerders handmatig cross-referencen met externe cookie-databases. Een leuk voorbeeld uit de praktijk dat Mick noemt, is de Fanboy's Annoyance List. Dit is een database die puur is voortgekomen uit de frustratie van een internetgebruiker ('Fanboy') die ontdekte dat zijn device stiekem werd uitgelezen. Door dit soort onafhankelijke lijsten te gebruiken, kun je als organisatie controleren of je tool de cookies wel eerlijk classificeert.
6. Wat kun je zelf doen als gebruiker?
Ben je het zat om constant te worden gevolgd en handmatig banners weg te klikken? Gelukkig kun je op browseniveau stappen ondernemen om je cookies drastisch te minimaliseren.
- Gebruik een privacyvriendelijke browser: Browsers zoals DuckDuckGo hebben ingebouwde 'Do Not Track'-signalen. Wanneer je een website bezoekt, herkent de browser de cookiebanner, weigert automatisch alle leveranciersvoorkeuren en marketingcookies, en klikt de banner direct weer voor je weg zonder dat je zelf actie hoeft te ondernemen.
- Steek je geschiedenis in de fik: DuckDuckGo heeft een speciale 'fire'-knop. Met één druk op de knop—inclusief een bevredigende animatie—verbrand je al je browsegeschiedenis en worden alle mappen met trackingbestanden direct leeggegooid.
- Handmatige grote schoonmaak: Gebruik je een traditionele browser? Zorg er dan voor dat je eens in de zoveel tijd handmatig je browsergeschiedenis, cookies en tijdelijke downloads volledig wist. Let wel op: signalen van browsers worden helaas nog niet door alle websites geaccepteerd, dus handmatige controle blijft af en toe nodig.
Conclusie
Cookiebanners zijn het perfecte voorbeeld van hoe een goedbedoeld privacyrecht in de praktijk kan verzanden in inefficiënte keuzes en frustratie. Toch is klakkeloos 'alles accepteren' gevaarlijk. De techniek achter tracking is krachtig en de handel in onze profielen is een miljardenindustrie.
Als websitebeheerder is het jouw taak om de AVG te respecteren, cookies correct te classificeren en het aantal trackers tot een minimum te beperken. En als consument? Neem de controle terug op browsertool-niveau, vermijd de misleidende groene knoppen en bescherm je device.
Wil je exact weten hoe je jouw website cookie-proof maakt, of wil je meepraten over de classificatie van third-party cookies? Beluister de volledige aflevering van de PRISM-podcast op
