Wat moet je als sitebeheerder doen voor cookiewet?

Gisteren is een nieuwe wet rond cookies gestemd. Wat moet je aan je site veranderen om weer helemaal legaal te zijn? ZDNet vroeg het een advocaat.

Bart Van den Brande van advocatenkantoor Sirius Legal volgt het cookiedebat al enige tijd. Nu de wet gestemd is, maakt hij een stand van zaken op over wat je als webmaster nog mag met cookies en aan welke verplichtingen je moet voldoen.

Wat zegt de nieuwe wet? Vanaf nu zullen website-eigenaars (voor first party cookies) of adverteerders (voor third party cookies) voorafgaand aan het plaatsen van zo"n cookie de uitdrukkelijke toestemming moeten krijgen van de surfer alvorens zij een cookie op diens computer mogen plaatsen. De surfer zal bovendien op elk ogenblik de mogelijkheid moeten hebben om die toestemming in te trekken.

[related_article id=”158578″]

Tot zover de theorie, maar wat moet je nu concreet doen om in regel te zijn? Om te zien hoe de regels concreet gaan ingevuld worden, zullen we geduld moeten oefenen. Afwachten dus.

De tekst van de wet is immers erg vaag en laat erg veel ruimte voor interpretatie. Slechts één artikel gaat over de cookies en dit herneemt enkel de verplichting uit de Europese ePrivacy-richtlijn om de gebruiker vooraf te informeren en zijn toestemming te bekomen. Over de manier waarop die opt-in door de surfer moet gebeuren zegt de wet voorlopig niets…

Een soortgelijke kersverse Nederlandse wet maakt ons evenmin veel wijzer. Ook daar beperkt de wetgever zich tot het invoeren van een opt-in regime, zonder te zeggen hoe een en ander in de praktijk uitgewerkt moet worden en is het nog steeds onduidelijk of nu inderdaad voor elke cookie een pop-up vereist zal zijn.

Werkbare oplossingen
Gelukkig zijn er wel signalen die duiden op een redelijke en voor de sector werkbare oplossing, volgens Bart Van den Brande. Europees Commissaris Neelie Kroes heeft al vaker gezegd dat een duidelijke keuze in de browsersettings wat haar betreft moet volstaan voor de minst invasieve cookies. Voor echte trackingcookies zou dan weer wel voorafgaande toestemming vereist zijn.

Eenzelfde geluid krijgt Sirius Legal te horen bij de Belgische Privacycommissie, die ook een onderscheid maakt tussen first party cookies en tracking cookies, waarbij vooral voor deze laatste categorie streng moet opgetreden worden. Het lijkt er dus op dat voor de meeste e-commercewebsites, die enkel gebruik maken van technische of first party cookies het probleem al bij al beperkt zal blijven. Een duidelijke keuze in de browser settings zou daar in de toekomst normaal voldoende moeten kunnen zijn.

Ook de Article 29 Working Party (een Europese werkgroep rond gegevensbescherming, nvdr) gaat de weg op van een uitsplitsing tussen "ongevaarlijke" cookies en tracking cookies en maakt een onderscheid in de wijze waarop voor elk van die categorieën de toestemming kan verkregen worden.

Het is dus nog even afwachten om te zien welke precies de nieuwe verplichtingen zullen zijn voor website eigenaars en adverteerders die gebruik maken van cookies.

Zelfregulering in de sector
Overigens blijft de sector zelf verder werken aan een zelfregulerende code, waarbij in reclamebanners die tracking cookies gebruiken een logo en link aangebracht zal worden naar www.youronlinechoices.eu, waar de consument informatie over het gebruik van cookies zal vinden en een opt-out zal kunnen doorgeven.