Wat staat er in de cookiewet?
Artikel 11.7a gaat over het opslaan van of toegang krijgen tot informatie op het apparaat van een gebruiker, zoals een computer of smartphone. Dat mag alleen als de gebruiker duidelijke en volledige informatie heeft gekregen, in ieder geval over het doel. Daarnaast moet de gebruiker toestemming hebben gegeven. De bepaling is techniekneutraal: ze geldt niet alleen voor een cookie, maar ook voor scripts en web beacons. Er zijn drie uitzonderingen:
- Communicatie: opslag of toegang die alleen dient om communicatie over het netwerk uit te voeren.
- Strikt noodzakelijk: opslag of toegang die nodig is voor de dienst waar de gebruiker om vraagt, zoals een winkelwagen of een opgeslagen taalkeuze.
- Kwaliteit of effectiviteit meten: bijvoorbeeld analytische cookies, mits die geen of weinig gevolgen hebben voor de privacy.
Verzamel, combineer of analyseer je gegevens over het gebruik van verschillende diensten, zodat je iemand anders kunt behandelen? Dan geldt dat als verwerking van persoonsgegevens, tenzij je het tegendeel aantoont. Je moet dan ook voldoen aan de AVG. Websites van overheidsinstanties mogen de toegang niet afhankelijk maken van toestemming. Een cookiemuur is daar dus verboden. Het toezicht op artikel 11.7a ligt bij de ACM.
Hoe is de cookiewet ontstaan?
Artikel 11.7a is de Nederlandse uitwerking van artikel 5, derde lid, van de Europese e-Privacyrichtlijn (2002/58/EG). Bij een herziening van die richtlijn veranderde het Europees Parlement een recht om te weigeren in een eis van toestemming. Nederland was laat met de invoering: de deadline van 25 mei 2011 was al ruim verstreken. De wet trad daarom direct na publicatie in werking, op 5 juni 2012. Het vermoeden van verwerking van persoonsgegevens volgde op 1 januari 2013.
In de eerste jaren vroegen sites ook toestemming voor onschuldige analytische cookies. Volgens de regering verloor het verzoek om toestemming daardoor aan betekenis. Een wetswijziging van februari 2015 voegde daarom de uitzondering toe voor cookies met geen of weinig gevolgen voor de privacy. Bij die wijziging kwam ook het verbod op cookiemuren voor publieke instellingen in de wet.
Voorbeeld: de cookiewet bij een bakkerij met webshop
Bakkerij Korenaar uit Zutphen verkoopt taarten via een webshop met een winkelwagen. De site gebruikt daarnaast Google Analytics en een pixel voor advertenties op sociale media. De winkelwagencookie is functioneel en mag zonder toestemming, zolang de bakkerij dat vermeldt.
Voor de analytische cookies hangt het af van de instellingen. Alleen bij weinig gevolgen voor de privacy mogen ze zonder toestemming. De advertentiepixel volgt bezoekers en mag pas laden na toestemming. Die vraagt Korenaar in de cookiebanner, zonder vooraf aangevinkte vakjes.
Veelgestelde vragen over Cookiewet
Bestaat er echt een wet die cookiewet heet?
Nee. Cookiewet is de gangbare naam voor artikel 11.7a van de Telecommunicatiewet. Dat artikel heet ook wel de cookiebepaling.
Wie houdt toezicht op de cookiewet?
De Autoriteit Consument & Markt (ACM) houdt toezicht op de cookieregel in de Telecommunicatiewet. Verwerk je met cookies persoonsgegevens, dan geldt ook de AVG. Daarop houdt de Autoriteit Persoonsgegevens toezicht.
Mag ik analytische cookies plaatsen zonder toestemming?
Alleen als ze geen of weinig gevolgen hebben voor de privacy van bezoekers. Je moet bezoekers dan wel informeren. Voor privacygevoelige analytische cookies is toestemming verplicht.