Cookies zijn juist alleen een probleem in de webbrowser. En daar gaat deze wet over.
Dat klopt niet. De wet gaat over alle vormen van tracking. Het woord 'cookie' staat niet in de wet.
Maar op technisch gebied is dit helemaal niet simpel. Omdat je het niet makkelijk kan bewijzen. Hierdoor zit je als website bouwer altijd te twijfelen of je gevaar loopt voor de mega-boetes die er aan hangen.
Dat zie ik als feature en doel van de wet. Niet de onzekerheid op zich natuurlijk, maar al die bedrijven zitten in de klem omdat ze willen tracken op een manier die de wetgever wil ontmoedigen. Het is de bedoeling dat de bedrijven zeggen "dit is niet te doen, laat maar, we zullen iets anders moeten bedenken". Een wet waarbij iedereen kan blijven doen wat ze willen heeft geen zin.
Dingen als passieve tracking zijn niet op afstand te detecteren (op enkele javascript methodes na zoals WebGL canvas detectie).
Dat maakt het inderdaad erg lastig, maar dat alleen is geen reden om het maar toe te staan.
Dit is precies het probleem met wetten die betrekking hebben op de IT. Het is niet duidelijk waar je aan moet voldoen.
Dat is eigenlijk altijd zo bij de wet. De wet beschrijft in ruime woorden een bepaald doel. De wet gaat maar zelden in op de kleine details. Zo staat er in de verkeerswet dat je niet onveilig mag rijden. Wat 'onveilig' is wordt echter niet uitgelegd, het is aan de rechter om vast te stellen of bepaald gedrag in een bepaalde situatie onveilig is.
De wet is geen ISO-standaard waar je aan kan voldoen door een checklist af te lopen.
Ik snap dat bedrijven liever absolute zekerheden hebben, maar dat is gewoon niet te doen, je krijgt nooit alles afgedekt en wat overblijft kun je dan niet meer aanpakken.
Wat is er verder mis met zo'n wet regelmatig updaten om de ongewenste praktijken te verbieden?
Dat past niet in ons huidige systeem, dat is gewoon veel te traag. Het systeem verbeteren is een mooi doel op zich, maar andere wetgeving kan daar moeilijk op gaan wachten wat het kan decennia duren.
De IT wereld verandert nu eenmaal snel. Dan kan je als jurist de kop in het zand steken en met vage termen gaan rommelen, of je kan de wet dynamischer maken, bijvoorbeeld een webpagina maken waar bepaalde technieken staan die verboden zijn. Komen er nieuwe bij, heb je een maand om het aan te passen, klaar.
Je vond dat de cookiewet al veel onzekerheid gaf maar op deze manier is de onzekerheid ingebouwd. Op ieder moment kan je opdracht krijgen om je hele bedrijven binnen een maand op z'n kop te zetten. Stel dat we de huidige coookiewet zo hadden doorgevoerd: "Jullie hebben 1 maand te tijd om alle tracking-cookies opt-in te maken. ktnxbye". Dat was toch een nog veel grotere chaos en paniek geworden dan hoe het nu is gegaan?
Op zich is je idee niet verkeerd, maar je moet het anders regelen. De gebruikelijke manier is dat de wet alleen zegt "het moet veilig zijn". Vervolgens gebeurt er niks tot een slachtoffer of toezichthouder een rechtszaak begint. Dan zal de beklaagde zeggen "maar ik voldoe aan standaard XYZ" waarna de rechter aangeeft of Standaard XYZ voldoende is om aan de wet te voldoen of niet. Als dat zo is gaan alle concurrent ook snel Standaard XYZ volgen in de hoop dat ze dan ook aan de wet voldoen. Dat ontslaat echter niemand van de verplichting om zelf na te denken.
Bedrijven die er genoeg van hebben richten samen een vereniging of keurmerk op om hun eigen werk te keuren zodat je als bedrijf redelijke zekerheid hebt dat je goed zit.
Er zullen echter altijd uitzonderingen blijven, ofwel omdat de situatie net even anders is ofwel omdat een of andere slimmerik in gat in de regels ziet. Die komen voor de rechter en daarna worden (hopelijk) de standaarden aangepast. Dat alles kan zonder 1 letter in de wet te veranderen. Via marktwerking komen de nuttige en betrouwbare standaarden bovendrijven. De overheid hoeft ze niet zelf te schrijven maar alleen de kaders aan te geven.