Verwerking die zich beveiliging noemt, staat buiten elke keuze die je krijgt aangeboden
Toestemmingsvragen gaan over marketing en meting. Alles wat als fraudebestrijding, foutopsporing of veiligheid is geclassificeerd, valt er per ontwerp buiten en blijft dus draaien nadat je alles hebt geweigerd. Vaak is dat verdedigbaar, want zo'n functie beschermt je ook. Het gevolg is wel een hele categorie verwerkingen waarvan de gebruiker het bestaan niet kent, de omvang niet ziet en de bewaartermijn niet kan navragen.
De categorie zonder knop¶
Een toestemmingsvenster gaat over marketing, personalisatie en meting. Dat is geen toeval en ook geen slordigheid: de wet vraagt toestemming voor het plaatsen en uitlezen van gegevens op je apparaat, met een uitzondering voor wat strikt noodzakelijk is voor de gevraagde dienst.
Rond die uitzondering is een hele klasse verwerkingen ontstaan die zichzelf beveiliging noemt. Fraudebestrijding. Botdetectie. Foutopsporing. Misbruikpreventie. Risicoscoring bij betalen. Ze vallen per ontwerp buiten de toestemmingsvraag en blijven dus draaien nadat je alles hebt geweigerd.
Waarom dit vaak terecht is¶
Dit is geen ontmaskering, en ik wil het ook niet als ontmaskering brengen.
Een betaalpagina die controleert of jouw sessie afwijkt van het normale patroon, beschermt jou. Een dienst die botverkeer weert, houdt de dienst overeind. Een systeem dat foutmeldingen verzamelt, repareert de bug die jij tegenkwam. In veel gevallen zou je die functies aanzetten als je het gevraagd werd.
Het probleem zit niet in het bestaan van de categorie. Het zit in wat er met een categorie gebeurt die niemand hoeft te verantwoorden.
Wat er misgaat¶
Drie dingen, en ze volgen uit elkaar.
De gebruiker kent het bestaan niet. Er is geen scherm waarop het langskomt, want er valt niets te kiezen. Wie de banner leest, denkt de volledige lijst te zien.
De omvang is onbegrensd. Fraudebestrijding is geen scherp afgebakende handeling. Er zit een sterke prikkel om er zoveel mogelijk onder te scharen, want alles wat erbuiten valt kost een toestemmingsvraag en dus conversie.
De bewaartermijn is onbekend. Wat er nooit is gevraagd, wordt zelden gedocumenteerd. Voor de toestemmingsplichtige categorieën staat er tegenwoordig een tabel in de cookieverklaring. Voor deze staat er meestal één zin.
De praktische kant¶
Voor een meting betekent dit: het verkeer dat na weigeren doorloopt, is niet automatisch een overtreding. Een deel ervan is de noodzakelijke laag, en die hoort er te zijn.
De vraag die je wél kunt stellen, is of de classificatie klopt. Een fraudedienst die tegelijk advertentieprofielen voedt, is niet strikt noodzakelijk. Een foutopsporingsdienst die de volledige schermopname meestuurt, gaat verder dan de fout. Dat is te meten aan wat er in het verzoek zit, niet aan hoe de dienst zichzelf noemt. Zie De woorden waarmee tracking zich vermomt, Cookies weigeren scheelt echt, maar reken er niet blind op en Session-recording legt je scherm-interactie vast, en maskering moet je bewijzen.
Wie alleen naar de cookiebanner kijkt, mist precies het deel van het verkeer dat zich niets van die banner aantrekt.