AVG en cookies: wat mag zonder toestemming

Functionele opslag mag zonder toestemming: je winkelwagen, je taalkeuze, het onthouden dat je bent ingelogd, en de beveiliging van een formulier. Zonder die dingen werkt de site niet, en daar is de uitzondering voor bedoeld.

Voor alles wat volgt, meet of adverteert is wél toestemming nodig — en die moet vooraf gegeven worden, net zo makkelijk in te trekken zijn als te geven, en niet afgedwongen worden met een balk waarop alleen 'akkoord' staat.

Een balk zonder weigerknop is dus geen toestemming. Datzelfde geldt voor vooraf aangevinkte vakjes en voor scripts die al draaien voordat er iets gekozen is.

Er bestaan statistiekprogramma's die geen persoonlijke profielen opbouwen en geen gegevens delen met advertentienetwerken. Daarmee weet je hoeveel bezoekers je hebt, waar ze vandaan komen en welke pagina's werken — zonder toestemmingsbanner.

Dat scheelt niet alleen juridisch gedoe: elke banner kost bezoekers en snelheid, en de cijfers die je overhoudt na een banner zijn sowieso onvolledig.

Wil je toch adverteren en conversies meten in advertentieplatforms, dan is toestemming vragen onvermijdelijk. Regel dat dan goed, in plaats van half.

Cookies zijn maar één onderdeel. Elk formulier, elke nieuwsbriefaanmelding en elk ingesloten filmpje verwerkt gegevens van je bezoeker. Het uitgangspunt is simpel: vraag alleen wat je nodig hebt, en leg op een privacypagina uit wat je ermee doet, hoe lang je het bewaart en met wie je het deelt.

Met partijen die namens jou gegevens verwerken — hosting, mailsysteem, een formulierdienst — sluit je een verwerkersovereenkomst. Houd gegevens binnen de EU, of zorg dat er een geldige grondslag is als dat niet zo is.

En denk aan de praktijk: wie kan er bij de inbox met aanvragen, wat gebeurt er met oude gegevens, en kan iemand zijn gegevens laten verwijderen als hij daarom vraagt?