Voor wie een informatieverzoek of waarschuwing heeft ontvangen

Brief van de AP over je cookies? Kijk eerst wat er echt afvuurt

Een informatieverzoek of waarschuwing van de Autoriteit Persoonsgegevens geeft je meestal een paar weken om iets te herstellen. Het lastige is dat je in je cookiebanner niet kunt zien wat er onder de motorkap gebeurt. De banner kan er keurig uitzien terwijl de trackers al draaien. Deze pagina legt uit waar de AP als eerste naar kijkt, en hoe je dat zelf meet voordat je antwoordt.

Waar de AP als eerste naar kijkt

De AP heeft haar cookiecontroles de afgelopen jaren toegespitst. Twee punten staan bovenaan, en het zijn allebei technische punten, geen tekstuele:

• 1. Tracking vóór toestemming. Vuren er trackingverzoeken af terwijl de bezoeker nog niets heeft aangeklikt? Dit is het punt waar de meeste sites op vallen. Het gebeurt vaak zonder dat iemand het weet, bijvoorbeeld doordat een tagmanager buiten de banner om laadt.
• 2. Werkt weigeren echt. Is er een weigeren-knop, is die net zo makkelijk te vinden als accepteren, en stopt de tracking daadwerkelijk als je erop drukt? Een knop die wel bestaat maar niets doet telt niet.

Daarnaast wordt er gekeken naar de informatie die je geeft voordat er toestemming wordt gevraagd, en naar de vraag of weigeren net zo eenvoudig is als accepteren. Maar punt 1 en 2 zijn de punten die met een meting hard te maken of te weerleggen zijn.

Wat onze scan doet

Wij laden je homepagina precies zoals een gewone bezoeker dat doet: één keer, vanaf een Nederlands IP-adres, niet ingelogd, met de cookiebanner onaangeraakt. Elk verzoek naar een trackingdomein dat in die toestand afvuurt, leggen we vast met naam en leverancier. Daarna kijken we of er een weigeren-knop is en of die gevonden kan worden.

Wat je met de uitslag kunt

De uitslag is een momentopname van je eigen site, geen oordeel van een toezichthouder. Praktisch gebruik je hem op drie manieren:

• Voor je antwoordt. Je weet dan of het probleem er nog is, en zo ja welke leverancier het veroorzaakt. Dat scheelt een ronde heen en weer.
• Om je leverancier of bureau aan te sturen. Een lijst met domeinnamen en tijdstippen is concreter dan "onze cookies kloppen niet".
• Om te controleren of de fix werkt. Scan opnieuw nadat er iets is aangepast. Als er niets meer afvuurt vóór toestemming, is dat te zien.

Eerlijk over wat dit niet is

Wij zijn geen toezichthouder en geen jurist. Een schone scan is geen goedkeuring en geen verklaring dat je aan de wet voldoet, want daar hoort meer bij dan wat een scanner kan meten: je verwerkingsregister, je grondslagen, je bewaartermijnen, de tekst van je cookieverklaring. Wat wij wel doen is één concreet en controleerbaar deel meten: vuurt er tracking af voordat de bezoeker toestemming geeft, en is er een weigeren-knop. Dat is toevallig ook het deel waar een controle mee begint.

We scannen de homepagina. Sites waar het probleem achter een login of in een checkout zit, vragen om handmatig werk dat een scan niet vervangt.

Veelgestelde vragen

Slaan jullie mijn scan op? De uitslag staat op een eigen, niet te raden adres en verdwijnt na zeven dagen. Betaalde rapporten bewaren we dertig dagen. Zie de privacyverklaring.

Belast dit mijn site? Nee. Het is één paginaverzoek, hetzelfde als één bezoeker die je homepagina opent.

Mag ik ook een site scannen die niet van mij is? Voor onderzoek naar naleving mag dat, binnen de grenzen in onze voorwaarden. Bulkgebruik vraagt om schriftelijke toestemming.

Ik ben journalist of onderzoeker. Mail info@consentchecker.eu. Geverifieerde datasets uit ons sectoronderzoek stellen we kosteloos beschikbaar.