Bezoekers meten zonder cookiebanner: wat mag er?

Wil je weten hoeveel mensen je site bezoeken en waar ze vandaan komen, dan liefst zonder cookiebanner. Dat kan, onder voorwaarden. De regels maken onderscheid tussen meten met weinig gevolgen voor de privacy en tracking, en ze gaan niet alleen over cookies. Dit artikel legt uit wat wel en niet mag, en waarom "zonder cookies" niet automatisch "buiten de regels" betekent.

Dit is uitleg, geen juridisch advies.

Welke meting mag zonder toestemming?

Ondernemersplein maakt onderscheid tussen soorten cookies:

Soort	Toestemming nodig?
Functionele cookies, die je site laten werken	Nee, wel informeren
Analytische cookies met weinig gevolgen voor de privacy	Nee, wel informeren
Cookies die privacygevoelige informatie verzamelen, zoals tracking cookies	Ja

Informeren kan in je privacyverklaring. De ACM zegt het net zo: analytische cookies met beperkte gevolgen voor de privacy mag je zonder toestemming plaatsen, als je vertelt dat je ze gebruikt. Privacygevoelige analytische cookies vragen altijd toestemming.

Wat telt niet als toestemming?

Heb je wel toestemming nodig, dan moet een bezoeker die actief geven. Volgens Ondernemersplein is het geen geldige toestemming als iemand niets doet, als iemand gewoon verder klikt nadat er een balk verscheen, of als het vakje al aangevinkt stond. Ook een cookiewall, waarbij weigeren de toegang tot je site blokkeert of beperkt, levert geen geldige toestemming op.

Vraag je toestemming, dan zegt je banner welke gegevens je verzamelt, waarvoor, hoe lang je ze bewaart, met wie je ze deelt en hoe iemand zijn toestemming weer intrekt.

Waarom is zonder cookies niet automatisch buiten de regels?

De regel waar het om draait, gaat over informatie die je op het apparaat van een bezoeker opslaat of daaruit ophaalt. Cookies zijn daarvan het bekendste voorbeeld, maar niet het enige.

De ACM noemt bij de privacygevoelige technieken ook "technieken zoals javascripts en web beacons die toegang geven tot informatie op de computer van de gebruiker". De Europese privacytoezichthouders, samen het EDPB, gaan in hun richtlijnen van oktober 2024 nog verder. Volgens hen valt ook JavaScript onder de regel als het de browser opdracht geeft gegevens te versturen, bijvoorbeeld bij een trackingpixel of een link met een eigen kenmerk erin. Zelfs een verwerking die eerst op het apparaat zelf gebeurt, telt mee zodra de uitkomst naar een server gaat. En soms geldt de regel ook voor volgen op basis van een IP-adres.

Dat betekent niet dat je dan altijd toestemming nodig hebt. Het EDPB zegt er uitdrukkelijk bij dat het in deze richtlijnen niet over de uitzonderingen gaat. Of een meting zonder toestemming mag, beoordeel je dus per geval. Maar "zonder cookies" betekent niet vanzelf "buiten de regels". Een meting zonder cookies is een goed begin, geen vrijbrief.

Hoe ziet een meting met weinig gevolgen voor de privacy eruit?

Ondernemersplein en de ACM geven geen afvinklijst. Hieronder staat hoe wij de statistieken van onze sites hebben gebouwd, als voorbeeld van keuzes die de gevolgen voor de privacy klein houden. Het is geen juridische toets.

• Geen cookies en niets in de browser. De site slaat niets op het apparaat van de bezoeker op.
• Geen code van derden. De site meet zelf, niet een advertentieplatform.
• Alleen wat nodig is. Per bekeken pagina: de pagina, de naam van de site waar de bezoeker vandaan kwam, de campagne, het land en het soort apparaat.
• Geen IP-adressen bewaren. Unieke bezoekers telt de site met een code waarvan de sleutel elke dag wordt gewist. Een dag later herkent de site niemand meer.
• Signalen van de browser respecteren. Staat Global Privacy Control of Do Not Track aan, dan maakt de site die code niet.
• Kort bewaren. Losse metingen drie maanden, dagtotalen zonder gegevens over personen 25 maanden.

Eerlijk is eerlijk: ook deze meting werkt met een klein script dat bij elke bekeken pagina een melding naar de eigen server stuurt. Dat is precies het soort techniek waar het EDPB over schrijft. Daarom zeggen we niet dat er nooit toestemming nodig is. Wel dat de meting zo is ingericht dat de gevolgen voor de privacy klein blijven.

Wat zet je in je privacyverklaring?

Ook zonder toestemming moet je bezoekers informeren. Noem in je privacyverklaring:

• wat je meet en waarom;
• of je cookies gebruikt, en zo ja welke;
• hoe je unieke bezoekers telt;
• hoe lang je de gegevens bewaart;
• wie de gegevens voor je verwerkt, zoals je hostingpartij.

Hoe dat er in de praktijk uitziet, lees je in onze eigen privacyverklaring.

Wie houdt toezicht?

De Autoriteit Persoonsgegevens behandelt klachten over tracking cookies en het gebruik van persoonsgegevens, als een website-eigenaar niet of niet goed reageert. De ACM geeft algemene informatie over cookies en behandelt daar ook klachten over. Gebruik je tracking cookies of vergelijkbare technieken, dan moet je volgens de AP ervan uitgaan dat je persoonsgegevens verwerkt, en dan geldt ook de AVG.

Wat betekent dit voor jouw site?

Tel je alleen bezoekers, houd het dan klein: weinig gegevens, geen code van derden, kort bewaren en duidelijk melden. Wil je meer, zoals bezoekers volgen met tracking cookies, vraag dan eerst toestemming.

Wil je een site met statistieken die zo zijn gebouwd? Lees meer bij gevonden worden, of doe de keuzehulp om te zien welke onderdelen bij je passen.