Google Analyics cookies plaatsen zonder toestemming

Het voorstel om de ‘cookiewet’ te versoepelen is vandaag in werking getreden. Voortaan kunnen onder andere cookies voor Google Analytics worden geplaatst zonder toestemming, mits aan bepaalde voorwaarden is voldaan. Lisette Meij van ICTRecht geeft tekst en uitleg.

Tekst: Lisette Meij
 
Er is veel ophef geweest over de zogenoemde cookiewet. De hoofdregel is dat toestemming van de bezoeker nodig is om cookies te mogen plaatsen. Slechts functionele cookies - dat zijn cookies die technisch noodzakelijk zijn om een website te laten functioneren - mogen geplaatst worden zonder toestemming van de bezoeker.

Een wettelijk compromis heeft ertoe geleid dat u ook zonder toestemming cookies mag plaatsen als u dat doet met als doel ‘informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij’. Daar komt bij dat de privacy van de bezoeker niet, of slechts een klein beetje, mag worden geschonden door het plaatsen en uitlezen van cookies.

Na het nemen van bepaalde maatregelen mogen cookies afkomstig van Google Analytics zonder toestemming van de bezoeker geplaatst worden. Dit blijkt uit een recent gepubliceerde handleiding van het College bescherming persoonsgegevens (Cbp) over het ‘privacyvriendelijk instellen van Google Analytics’ (pdf). Dat kan door de volgende vier stappen te nemen:

1. Accepteer het ‘Amendement gegevensverwerking’ in uw Analytics-account (via ‘Beheer’ -> ‘Account instellingen’ en dan helemaal onderaan);

2. Blokkeer het meezenden van volledige IP-adressen (ga('set', 'anonymizeIp', true);) en forceer tevens SSL (ga('set', 'forceSSL', true););

3. Zet het delen van gegevens met Google uit (‘Beheer’ > ‘Account instellingen’ en dan vier instellingen uitvinken);

4. Informeer uw bezoekers in een cookieverklaring of privacyverklaring over het gebruik van Google Analytics.
 
Na het nemen van de bovenstaande vier stappen kan wat betreft Google Analytics worden gesproken van een ‘geringe inbreuk op de privacy’, zodat een cookiebanner of pop-up voortaan kan worden weggelaten.

Als bovenstaande stappen worden toegepast bij andere derde partijen die analytische-, A/B testing- of affiliate cookies plaatsen, dan kan beargumenteerd worden dat ook voor deze cookies geen toestemming meer gevraagd hoeft te worden. De informatieverplichting blijft desondanks wel bestaan, op grond van de Wet bescherming persoonsgegevens.

Er zal dus nog steeds in een privacy- en of cookieverklaring uitgelegd moeten worden welke cookies geplaatst worden en waarvoor.

Let op: op het moment dat een cookie gebruikt wordt voor tracking - doeleinden of profiling van gebruikers, blijft de toestemmingseis van kracht. Dit valt namelijk buiten de doelstelling ‘informatie over kwaliteit of effectiviteit’. Bovendien is dat écht meer dan een geringe inbreuk op de privacy. Hetzelfde geldt voor andere analytics-achtige tools waarbij u wél IP-adresgebonden informatie logt en analyseert.

Het is met de wijziging van de cookiewet aan bedrijven zelf om te bepalen of er bij de geplaatste cookies gesproken kan worden van ‘geen of een geringe inbreuk op de privacy’ van bezoekers. Controleer daarom vóór u besluit om geen toestemming meer te vragen de huidige afspraken met derde partijen en de doeleinden waarvoor de cookies worden gebruikt.
 
Tekst: Lisette Meij is juridisch adviseur bij ICTRecht. Deze informatie is onttrokken aan een factsheet dat eerder verscheen op Cookierecht.nl.