De regels voor het intrekken van cookie-toestemming op uw website

Heeft u een website en maakt u gebruik van cookies? Dan verwerkt u waarschijnlijk persoonsgegevens. Vaak doet u dit op basis van 'toestemming'. Bezoekers klikken op uw cookiebanner om hiermee akkoord te gaan. Maar let op: de privacywet, de Algemene Verordening Gegevensbescherming (AVG), stelt hier strenge regels aan. Eén van de belangrijkste regels is dat een bezoeker deze toestemming ook weer makkelijk moet kunnen intrekken.

De Autoriteit Persoonsgegevens (AP) heeft precies uitgelegd hoe u dit als website-eigenaar moet regelen. Op deze pagina leggen we u in begrijpelijke taal uit wat de wet van u verwacht en hoe u uw cookiebanner goed instelt.

De 4 basiseisen in het kort

Als u persoonsgegevens verwerkt via cookies, moet uw cookiebanner voldoen aan vier harde eisen uit de AVG. Dit zijn de belangrijkste regels voor het intrekken van toestemming:

• Vooraf informeren: U moet de bezoeker uitleggen dat de toestemming altijd kan worden ingetrokken en hoe dit werkt, vóórdat ze op 'accepteren' klikken.
• Geen nadelige gevolgen: Een bezoeker mag geen nadeel hebben als hij of zij de toestemming intrekt. De website moet normaal blijven werken.
• Op ieder moment: De bezoeker moet zich op elk moment kunnen bedenken en de instellingen kunnen aanpassen.
• Net zo makkelijk: Het intrekken van de toestemming moet precies even simpel zijn als het geven van de toestemming.

Wat zegt de wetgeving over cookies?

De regels voor cookies komen uit verschillende wetten. De belangrijkste zijn de AVG en de Telecommunicatiewet. We leggen kort uit hoe dit in elkaar zit.

Wanneer is toestemming geldig?

In de AVG (artikel 4) staat dat toestemming 'vrij, specifiek, geïnformeerd en ondubbelzinnig' moet zijn. Dit betekent dat de bezoeker een échte keuze moet hebben. Als website-eigenaar moet u kunnen bewijzen dat u deze toestemming op de juiste manier heeft gekregen.

Wat als iemand zijn toestemming intrekt?

Als een bezoeker de toestemming intrekt, betekent dit niet dat alles wat u daarvoor met de gegevens heeft gedaan ineens illegaal is. Maar vanaf het moment van intrekken, moet u wel direct stoppen met het verzamelen en verwerken van die gegevens. Ook moet u de al verzamelde gegevens verwijderen, tenzij er een andere wettelijke reden is om ze te bewaren.

De Telecommunicatiewet en niet-essentiële cookies

Naast de AVG is er de Telecommunicatiewet. Hierin staat dat u altijd duidelijke informatie moet geven en toestemming moet vragen voor het plaatsen van 'niet-essentiële' cookies. Dit zijn bijvoorbeeld tracking cookies voor advertenties of social media. Voor cookies die strikt noodzakelijk zijn om de website te laten werken (functionele cookies) hoeft u géén toestemming te vragen.

Hoe maakt u het intrekken van toestemming mogelijk?

U bent als website-eigenaar verplicht om technisch te zorgen dat mensen hun keuze kunnen aanpassen. Een speciale werkgroep voor privacy (de Cookie Banner Taskforce) heeft onderzocht hoe dit het beste kan. Zij kijken naar de volgende praktische zaken:

1. De feitelijke mogelijkheid

Het klinkt logisch, maar u moet er in de eerste plaats voor zorgen dat de techniek op uw website aanwezig is om de gemaakte keuze ongedaan te maken. Heeft iemand via een banner 'ja' gezegd? Dan moet er een technische route zijn om daar weer 'nee' van te maken.

2. Geen nadelige gevolgen of kosten

U mag het de bezoeker niet moeilijk maken. Het is streng verboden om geld te vragen voor het wijzigen van de privacy-instellingen. Ook mag u de service op uw website niet verslechteren. Als u wél kosten rekent of de website blokkeert, ziet de wet dit alsof de bezoeker nooit een 'vrije keuze' heeft gehad. De toestemming is dan per direct ongeldig.

3. Altijd beschikbaar (Te allen tijde)

Het maakt niet uit op welke pagina de bezoeker zich bevindt: het aanpassen van de cookies moet altijd binnen handbereik zijn. Een pop-up banner die na het klikken voorgoed verdwijnt, voldoet dus niet aan de wet. De bezoeker kan deze namelijk niet meer terughalen.

Goede oplossingen hiervoor zijn:

• Een klein, zwevend icoontje in de hoek van het scherm dat altijd zichtbaar blijft.
• Een duidelijke link onderaan de website (in de footer) die direct naar de privacy-instellingen leidt.

De regel: 'Even eenvoudig intrekken als geven'

Dit is één van de belangrijkste regels uit de AVG: afmelden mag niet moeilijker zijn dan aanmelden. Als iemand via de elektronische weg (met één klik op uw website) toestemming geeft, moet het intrekken via dezelfde weg en met vergelijkbare moeite gebeuren.

Gebruik dezelfde website

U mag bezoekers niet dwingen om een andere methode te gebruiken. Als ze via de website akkoord gaan, moeten ze het via de website kunnen uitzetten. U mag bijvoorbeeld niet vragen of ze een e-mail willen sturen naar de klantenservice om de cookies uit te zetten. Dit kost onnodig veel moeite en is in strijd met de wet.

Ook mag u niet simpelweg zeggen: "Verwijder de cookies maar in de instellingen van uw internetbrowser." U moet als website-eigenaar zelf de optie aanbieden, zodat u ook weet dát de toestemming is ingetrokken.

Let op het aantal muisklikken

Hoeveel moeite kost het om cookies te accepteren op uw site? Vaak is dit slechts één klik op de knop 'Alles accepteren'. Volgens de regels moet het afmelden of intrekken dan óók met ongeveer één of hooguit enkele klikken te regelen zijn. Ontwerpkeuzes die het expres moeilijk maken om te weigeren (ook wel 'deceptive design' genoemd) zijn niet toegestaan.

Afspraken met derde partijen (Adverteerders)

Werkt u met adverteerders of andere externe partijen die via uw cookies gegevens verzamelen? Als een bezoeker zijn toestemming bij u intrekt, bent u verantwoordelijk voor het doorgeven van deze wijziging aan die derde partijen. U mag niet van uw websitebezoeker verwachten dat zij zelf al die losse bedrijven gaan benaderen om zich af te melden.

Bezoekers vooraf de juiste informatie geven

Een bezoeker kan zijn rechten alleen gebruiken als hij weet dat deze rechten bestaan. Daarom verplicht de AVG u om bezoekers hierover te informeren. Dit moet gebeuren vóórdat zij hun toestemming geven.

Duidelijke en begrijpelijke taal

De privacywet eist dat u heldere en eenvoudige taal gebruikt. Geen ingewikkeld juridisch jargon, maar teksten die een gemiddelde persoon direct begrijpt. Een goed voorbeeld van een duidelijke tekst in een cookiebanner is: "Wilt u uw toestemming later weer intrekken? Dat kunt u op elk moment doen via het privacy-icoontje links onderin uw scherm."

Hoe verwerkt u dit in het ontwerp van uw banner?

De informatie over het intrekken moet in dezelfde 'laag' van de cookiebanner staan als waar de bezoeker toestemming geeft. Dit betekent dat de bezoeker niet eerst door allerlei tabbladen of menu's hoeft te klikken om deze informatie te vinden.

Soms kan een banner erg vol of onoverzichtelijk worden. In dat geval mag u werken met een gelaagde structuur. U geeft dan de belangrijkste informatie direct op de voorpagina van de banner, met een link naar meer gedetailleerde informatie. Maar de kernboodschap over het intrekken van de toestemming moet direct en duidelijk zichtbaar zijn voordat er op 'akkoord' wordt geklikt.

Samenvatting voor uw website

Om boetes en problemen te voorkomen, is het belangrijk dat u uw cookiebanner goed controleert. Zorg ervoor dat de banner niet alleen vraagt om toestemming, maar dat u een zwevende knop of duidelijke link op uw site plaatst. Vertel bezoekers vooraf duidelijk wat hun rechten zijn. Maak het uitschakelen van cookies gratis, snel, en net zo makkelijk als een simpele druk op de 'accepteer'-knop.