Het instrument dat toestemming vraagt, vraagt zelf niets¶

Bij het uitsplitsen van de scan per toestemmingsmodule viel me iets op dat ik eerst voor een meetfout hield. De domeinen van de modules zelf stonden in de lijst van partijen die laden voordat de bezoeker iets heeft gekozen.

cookiebot.com          38 van 38 sites     100,0% pre-consent
google.com (Funding
  Choices, een CMP)    88 van 112 sites     78,6% pre-consent

Het is geen meetfout. Het is inherent aan hoe deze modules werken: om de vraag te kunnen stellen, moet de code van de leverancier eerst geladen worden, en dat is per definitie voor het antwoord.

Wanneer dat aanvaardbaar is en wanneer niet¶

Er is een verdedigbare kant. Als de module uitsluitend zijn eigen script laadt om de vraag te tonen, en verder niets vastlegt, dan is dat de dienst die nodig is om toestemming te kunnen vragen. Het is lastig een cookiebanner te tonen zonder een cookiebanner te laden.

De grens ligt bij wat er meekomt. Concreet moet je drie dingen controleren bij je eigen module:

1. Zet hij een identificerende cookie voordat je kiest? De cookie die je keuze onthoudt mag pas bestaan als er een keuze is. Een bezoeker-ID dat al bij het laden wordt gezet, is geen keuze-cookie. 2. Stuurt hij telemetrie terug? Veel modules rapporteren aan hun leverancier hoeveel bezoekers de banner zagen en wat ze klikten. Dat is een verwerking met een doel van de leverancier, niet van jou, en die valt niet onder de noodzakelijkheidsuitzondering. 3. Wie is de leverancier? Dit is het scherpst bij Google Funding Choices. Dat is een toestemmingsmodule van een advertentiebedrijf, geplaatst op 88 gemeten sites voor de toestemmingsvraag. De partij die vraagt of jij getraceerd wilt worden, is dezelfde partij die aan het traceren verdient. Dat is geen juridisch bezwaar op zich, maar het is een belangenpositie die je moet kennen.

Wat je in plaats daarvan doet¶

De schoonste oplossing is een toestemmingsmodule die volledig op je eigen server draait en geen enkel verzoek naar buiten doet. Dat is minder werk dan het klinkt: een banner is een stukje HTML, een keuze in localStorage of een first-party cookie, en een schakelaar die bepaalt of de rest van je scripts mag laden.

Wil je toch een leverancier, controleer dan drie dingen voordat je tekent:

1. laadt de module vanaf jouw eigen domein, of vanaf dat van de leverancier?
2. welke cookies zet hij voor de eerste keuze, en met welk doel?
3. welke gegevens gaan er terug naar de leverancier, en staat dat in de
   verwerkersovereenkomst?

Deze drie vragen kosten je een mail. Het antwoord bepaalt of je toestemmingsmodule je bescherming is of je eerste overtreding.