EU-voorstel voor cookietoestemming: wat verandert er?

Belangrijkste punten

• De Raad stelt een weigering met één klik of gelijkwaardig voor, waarbij na een weigering minstens vier maanden moet worden gewacht voordat opnieuw om toestemming voor hetzelfde doel wordt gevraagd. [2]
• De voorgestelde uitzonderingen voor publieksmeting zijn aan voorwaarden gebonden; ze vormen geen vrijstelling voor elke analyse- of advertentietool. [2]
• De Ierse Data Protection Commission (DPC) blijft stellen dat voor analytische cookies toestemming vereist is. Bedrijven moeten de huidige naleving testen en niet voortijdig een voorstel implementeren. [3][4]

Wat het voorstel van vier maanden feitelijk inhoudt

Het mandaat van de Raad, gepubliceerd bij de bijgewerkte aankondiging op 22 oktober, zou gebruikers in staat stellen een toestemmingsverzoek eenvoudig en begrijpelijk te weigeren via een knop met één klik of een gelijkwaardig middel. Bij weigering mag de aanbieder gedurende ten minste vier maanden niet opnieuw om toestemming voor hetzelfde doel vragen. Wanneer toestemming is verleend, mag deze niet opnieuw worden gevraagd voor dat doel gedurende de periode dat er rechtmatig op kan worden vertrouwd. [2]

De details doen ertoe. Dit is geen universele vervaldatum van vier maanden voor elke cookie. Het betekent ook niet dat een website een latere wijziging van voorkeuren mag negeren. Het richt zich op herhaalde verzoeken voor hetzelfde doel. Het mandaat voorziet ook in een latere nationale implementatieperiode; niemand zou de aankondiging van oktober moeten beschrijven als een plotselinge verandering in de Ierse wetgeving. [2]

Een cookie is een klein stukje informatie dat op een apparaat wordt opgeslagen. Sommige ondersteunen functies waar een persoon daadwerkelijk om heeft gevraagd; andere helpen bij het meten van activiteit of het richten van advertenties. Ze allemaal "essentieel" noemen omdat ze nuttig zijn voor een bedrijf, maakt die classificatie niet correct. [4]

Een hand houdt een telefoon vast naast een kopje koffie; het scherm is onleesbaar. Door AI gegenereerde redactionele illustratie; geen foto van een specifiek evenement of onderzoeksdeelnemer.

Meting is geen algemene vrijstelling

Het ontwerp bevat verschillende bepalingen voor metingen. Eén bepaling voor publieksmeting vereist dat gegevens na verzameling worden gepseudonimiseerd, beperkt hergebruik en tracking buiten de gemeten dienst of media-inhoud, en beperkt het delen van persoonsgegevens. Pseudonimisering is niet hetzelfde als onomkeerbare anonimisering. Het hele voorstel beschrijven als een vrijstelling voor "anonieme analytics" zou voorbijgaan aan belangrijke voorwaarden. [2]

Een andere bepaling betreft het meten van contextuele advertenties: advertenties die zijn geselecteerd op basis van directe inhoud of een enkele zoekopdracht, in plaats van een profiel van eerdere of toekomstige activiteiten. De voorwaarden hiervan beperken profilering en ander gebruik. Een bedrijf kan gedragsgestuurd adverteren niet simpelweg hernoemen naar "contextueel" en ervan uitgaan dat het binnen het voorstel valt. [2]

Het praktische onderscheid ligt tussen het vragen hoe een specifieke pagina presteert en het samenstellen van een doorlopend beeld van de activiteit van een identificeerbaar persoon. Of een specifiek hulpmiddel voldoet aan een toekomstige uitzondering, hangt af van wat het daadwerkelijk doet, niet van de bewoordingen op de verkooppagina. Deze bepalingen blijven voorstellen, geen kant-en-klare goedkeuring voor de naleving van een softwareproduct.

Wat Ierse bedrijven nu moeten doen

De huidige richtlijnen van de DPC antwoorden "ja" op de vraag of analytische cookies toestemming nodig hebben, ook in de discussie over first-party analytics. Het identificeert nauwe vrijstellingen voor strikt noodzakelijke functies die door de gebruiker zijn aangevraagd en voor de overdracht van communicatie. Het stelt dat cookies voor gericht adverteren en conversietracking niet zijn vrijgesteld. [3][4]

De DPC waarschuwt ook dat vooraf aangevinkte vakjes of schakelaars geen geldige toestemming opleveren. Een generieke link naar de cookie-uitleg van iemand anders is geen vervanging voor het uitleggen van het eigen gebruik door de exploitant. Mensen moeten hun toestemming kunnen intrekken of wijzigen, en intrekken moet even gemakkelijk zijn als het geven ervan. [4][5]

Dit is de reden waarom het veranderen van een knop niet genoeg is. Een cookiebanner is de interface; de scripts die erachter draaien bepalen of de keuze van de bezoeker wordt gerespecteerd. Een bedrijf moet weten welke tools worden geladen vóór een beslissing, welke worden geladen na een weigering en wat stopt na intrekking.

Drie collega's bespreken een laptop in een lichte werkruimte. Door AI gegenereerde redactionele illustratie; geen foto van een specifiek evenement of onderzoeksdeelnemer.

Een praktische audit zonder te wachten op nieuwe wetgeving

Neem als voorbeeld een bakkerij in Dublin die een boekingswidget, een bezoekerssteller en een advertentiepixel gebruikt. De eigenaar zou de ontwikkelaar moeten vragen om het doel, de gegevensontvangers, de bewaartermijn en het toestemmingsgedrag van elk hulpmiddel te documenteren. Men mag er niet vanuit gaan dat de boekingsfunctie en de marketingpixel een identieke behandeling vereisen. Dit is een hypothetisch voorbeeld, geen audit van een bestaand bedrijf.

Test de site vervolgens als een nieuwe bezoeker die optionele tracking weigert. Herhaal dit op mobiel en na het intrekken van een eerdere instemming. Controleer of het beleid de werkelijke hulpmiddelen beschrijft en of weigering niet stilletjes in toestemming verandert elders in de interface. Houd de test bij en win deskundig advies in voor onduidelijke gevallen. [4][5]

Voor makers en kleinere bedrijven kunnen minder opdringerige verzoeken nuttig zijn. Maar het meten van succes aan de hand van hoeveel mensen op "accepteren" klikken, beloont de verkeerde uitkomst. De betere test is of mensen de keuze begrijpen en of de site deze honoreert.

Een winkelier praat met een klant aan een toonbank. Door AI gegenereerde redactionele illustratie; geen foto van een specifiek evenement of onderzoeksdeelnemer.

Eenvoudiger keuzes vereisen nog steeds verantwoording

De nadruk van Safegram op privacy en gebruikerscontrole is relevant voor dat principe: een privacybelofte moet worden beoordeeld op de ervaring van iemand die "nee" zegt, niet alleen op een koptekst. Dit is een ontwerpstandaard die ook op Safegram van toepassing is, geen claim dat de technologie onafhankelijk is gecontroleerd of dat er nooit een specifiek hulpmiddel wordt gebruikt.

De Raad stelt dat onderhandelingen met het Europees Parlement de volgende stap zijn. Lezers elders moeten het EU-voorstel of de richtlijnen van de Ierse toezichthouder niet beschouwen als een automatische wijziging van de Britse, Amerikaanse, Braziliaanse of andere nationale wetgeving. Zelfs binnen Europa moet een specifieke implementatie worden gecontroleerd aan de hand van de toepasselijke regels en de uiteindelijke definitieve tekst. [1]

De nuttige volgende actie is nu al beschikbaar: test één echte weigering en één intrekking op uw website. Ga voor informatie over Safegram naar safegram.com (https://safegram.com/). Dit is een algemene redactionele analyse, geen individueel juridisch advies of een nalevingscertificaat.

Veelgestelde vragen

Heeft de EU in oktober 2026 de cookiebanners afgeschaft?

Nee. De Raad is overeengekomen over een onderhandelingspositie, niet over een definitieve wet die banners afschaft. Bestaande verplichtingen blijven van kracht. [1]

Wat betekent de voorgestelde periode van vier maanden?

Na het weigeren van een verzoek mag een persoon volgens de tekst van de Raad gedurende ten minste vier maanden niet opnieuw voor hetzelfde doel worden gevraagd. Dit is nog geen nieuwe Ierse regel. [2]

Kunnen Ierse sites nu analytische cookies plaatsen zonder toestemming?

Niet op basis van dit voorstel. De huidige DPC-richtlijnen stellen dat analytische cookies toestemming vereisen. De voorgestelde uitzonderingen hebben die richtlijnen niet vervangen. [3]

Is gepseudonimiseerde informatie anoniem?

Niet noodzakelijkerwijs. Het vervangen van identificatoren neemt op zichzelf de mogelijkheid niet weg om informatie aan een persoon te koppelen. De meetvoorwaarden in het ontwerp mogen niet worden gereduceerd tot de claim dat alle analytics anoniem zijn. [2]

Wat is contextueel adverteren?

Adverteren op basis van de inhoud die wordt bekeken of een specifieke zoekopdracht, in plaats van een profiel van de activiteiten van een persoon. De voorgestelde meetuitzondering bevat verdere beperkingen. [2]

Wat moet een bedrijf onmiddellijk veranderen?

Herstel huidige nalevingsproblemen: identificeer feitelijke trackers, verwijder ongeldige vooraf geselecteerde toestemming, leg doeleinden uit en bied een gemakkelijke route voor intrekking. Activeer voorgestelde vrijstellingen niet voordat ze van toepassing worden. [3][4][5]