Waarom de vrijstelling ertoe doet

Volgens de ePrivacy-richtlijn (artikel 5, lid 3) is voor het opslaan of uitlezen van informatie op het apparaat van een gebruiker normaal gesproken voorafgaande toestemming nodig. Er zijn twee uitzonderingen, en de uitzondering waarop uitgevers het vaakst steunen, betreft opslag die strikt noodzakelijk is om een dienst te leveren die de gebruiker uitdrukkelijk heeft gevraagd. Alles wat niet onder die vrijstelling valt, hoort achter je toestemmingsbanner.

Veel sites rekken deze vrijstelling op tot analytics, A/B-tests, frequency capping van advertenties en personalisatie. Toezichthouders hebben die lezing herhaaldelijk afgewezen, dus het loont om precies te begrijpen waar de grens ligt.

De tweedelige toets

De vrijstelling gaat niet over wat voor jou handig is. Ze stelt twee vragen:

1. Heeft de gebruiker de dienst uitdrukkelijk gevraagd? Een artikel laden is een verzoek. Een product in een winkelmand leggen is een verzoek. Een chatwidget openen die je op elke pagina opdringt, is dat niet.
2. Is de opslag strikt noodzakelijk om precies die dienst te leveren? Als de dienst ook zonder de cookie of identifier zou werken, zij het minder gemakkelijk, is de opslag waarschijnlijk niet strikt noodzakelijk.

Houd er rekening mee dat 'noodzakelijk voor ons businessmodel' niet hetzelfde is als 'noodzakelijk voor de dienst waar de gebruiker om vroeg'. Advertentie-inkomsten houden een gratis site in leven, maar identifiers voor advertentietargeting zijn niet nodig om een artikel te tonen.

Algemeen geaccepteerde voorbeelden

• Sessie- en authenticatiecookies die een ingelogde gebruiker tijdens een sessie ingelogd houden.
• Winkelmandcookies die items onthouden terwijl de gebruiker afrekent.
• Load-balancing-identifiers die een verzoek naar de juiste server sturen.
• Beveiligingscookies die worden gebruikt om herhaalde mislukte inlogpogingen te detecteren of zich te beschermen tegen vervalste verzoeken.
• De toestemmingsregistratie zelf, omdat het onthouden van de keuze van de gebruiker nodig is om die te respecteren.
• Interfacevoorkeuren die de gebruiker bewust heeft ingesteld, zoals de taal, wanneer ze voor de sessie worden opgeslagen of omdat de gebruiker ze heeft gekozen.

Vaak verkeerd ingedeelde voorbeelden

• Analytics-cookies. Sommige autoriteiten staan onder strikte voorwaarden beperkte, privacyvriendelijke publieksmeting toe, maar standaard analytics-tags vereisen over het algemeen toestemming. Raadpleeg de richtlijnen van de autoriteit die voor jouw publiek geldt.
• Advertentie- en retargeting-identifiers. Deze zijn nooit nodig om de content zelf te leveren.
• Social-sharingknoppen en ingesloten widgets die bij het laden van de pagina cookies van derden plaatsen.
• A/B-testen en personalisatie waar de gebruiker niet om heeft gevraagd.
• Frequency capping voor advertenties. Het verbetert de gebruikerservaring, maar is niet essentieel om de pagina te leveren.

Duur en reikwijdte blijven belangrijk

Een cookie die echt essentieel is, kan toch problematisch worden als hij langer leeft of meer verzamelt dan de functie nodig heeft. Een sessiecookie die een jaar blijft bestaan, of een beveiligingscookie die ook een marketingprofiel schrijft, verliest zijn bescherming. Houd de levensduur kort en de inhoud minimaal.

Documenteer je redenering

Noteer voor elke cookie of opslagitem die je als strikt noodzakelijk indeelt drie dingen: de door de gebruiker gevraagde functie die het ondersteunt, waarom die functie zonder het zou haperen, en de levensduur. Een korte tabel naast je cookie-inventaris is voldoende. Zet bij het doorlopen van de lijst elke regel ter discussie: als het enige argument 'we doen het al jaren zo' is, verplaats het dan achter toestemming.

De vrijstelling geldt ook voor meer dan cookies. Local storage, session storage, device fingerprinting en SDK-identifiers in apps vallen onder dezelfde logica van artikel 5, lid 3, neem ze dus mee in je beoordeling.

Waar FlexyConsent past

FlexyConsent is een door Google gecertificeerde CMP (CMP ID 317), gecertificeerd door IAB Europe en IAB Canada, met een banner in 57 talen. Met een CMP kun je niet-essentiële tags vasthouden tot de gebruiker heeft gekozen, terwijl je echt essentiële items gewoon blijven laden. Bepalen in welke categorie elke cookie valt, blijft jouw taak, dus houd je gedocumenteerde redenering actueel.

Belangrijkste punten

• De vrijstelling dekt opslag die strikt nodig is voor een dienst waar de gebruiker uitdrukkelijk om vroeg, niet opslag die nodig is voor je inkomsten.
• Sessie-, winkelmand-, load-balancing-, beveiligings- en toestemmingsregistratiecookies zijn de typische voorbeelden.
• Analytics, advertenties, social widgets en personalisatie vereisen over het algemeen toestemming.
• Levensduur en inhoud tellen: houd essentiële cookies kortlevend en minimaal.
• Pas dezelfde toets toe op local storage, session storage en app-identifiers.
• Documenteer de redenering voor elk item dat je als strikt noodzakelijk indeelt en beoordeel die regelmatig opnieuw.