Dat eerste ("het hoeft natuurlijk niet") ben ik met je eens. Maar dat laatste ("tegen beter weten in") is wat lastiger, want ook als je de gebruiker wel mag tracken wegens het ontbreken van die opt-out DNT-header, dan moet je van de wet alsnog die cookiemuur tonen.
We zijn het helemaal eens. Ik had het alleen over het eerste geval, namelijk dat de gebruiker een DNT-header heeft met de 'do not track bit' aan. Ik heb nergens gezegd dat je wel mag tracken als je geen DNT-header hebt. Interessanter is de vraag of het wel mag als je een DNT-header hebt die staat op "je mag mij wel tracken", dat kan namelijk. Dat is wettelijk gezien denk ik grijs gebied waar je zou kunnen redeneren dat je toestemming hebt. Volgens mij voldoet het niet om dat de gebruiker niet exact weet waar toestemming voor wordt gegeven.
Wat natuurlijk inderdaad een gemiste kans is, want de wetgevers hadden met de cookiewet (2015) en/of de daarop volgende AVG (2019) gewoon browsers moeten verplichten deze optie op een bepaalde
manier in te bouwen, en websites verplichten om deze te volgen.
Eens, we hebben hier een combinatie een technische en juridische maatregelen nodig. Het liefst heb ik technische maatregelen die het "gewoon" doen zonder dat je de andere kant hoeft te vertrouwen maar dat gaat niet lukken op dit gebied, mensen helemaal anoniem maken en nooit informatie laten lekken kan haast niet, zeker niet als die mensen op social media willen posten.
Om een enorm dure maar zinloze wapenwetloop te voorkomen zijn die juridische maatregelen nodig.
Ik vind het nog steeds absoluut van de zotte dat - in plaats van de 3 grote browserbouwers aan te pakken - van honderd miljoen websites wordt verwacht dat ze zich wel even schikken naar de Europese wet door een developer een goede implementatie van een cookiewall te laten maken.
Ik ben het met je eens dat het een gemiste kans is en dat het veel beter kan door browser en website samen te laten werken, maar de Do-Not-Track header is niet genoeg.
1. AVG/GDPR gaat om meer dan alleen tracking
2. de DNT-header is alles of niet, alles is toegestaan of niks is toegestaan, geen ruimte voor nuance
DNT is namelijk alles of niets.
3. de gebruiker moet geinformeerd worden over waar toestemming voor gegeven wordt. Als de gebruiker alles weigert is dat geen probleem, maar om ergens geinformeerd toestemming voor te geven zal er toch een stuk tekst getoond moeten worden, daar ontkom je haast niet aan.
4. iedere website zal nog steeds werk moeten doen om zo'n DNT-header te herkennen en er op te reageren. Het maken van een popup is een kleine moeite, dat kan iedere webdeveloper wel. Het grote werk zit in je hele site splitsen in delen met en zonder cookies. Dat blijft hetzelfde met DNT.
Punten 1 t/m 2 zijn overigens eenvoudig op te lossen met een verbeterde versie van DNT die onderscheid kan maken tussen verschillende soorten cookies/tracking, die zijn niet fundamenteel. Punt 4 is wel fundamenteel, maar omdat dit hetzelfde is voor DNT of een popup maakt het ook niet uit.
Punt 3 is volgens mij waar veel winst kan worden geboekt. Ik kan me namelijk geen systeem bedenken waarin mensen wel lange juridische teksten gaan lezen voor iedere website die ze bezoeken. Mijn voorstel is om een aantal standaard contractteksten op te laten stellen door de overheid. Daarbij zorgt de overheid er uiteraard voor dat het goede teksten waarbij de burger voorop staat en zonder addertjes onder het gras. Iedere standaardtekst geven we een naam en een icoon.
Vervolgens bieden we websites de mogelijkheid om gebruik te maken van die standaardteksten. Als ze dat doen hoeven ze alleen maar via een speciale headers/html-code aan te geven welke standaardteksten ze gebruiken en we passen de browsers aan om die codes te herkennen.
In dat geval kan de browser zelfstandig beslissen op grond van de voorkeuren van de gebruiker.
De gebruiker moet dus eenmalig z'n browser aangeven welke standaardvoorwaarden acceptabel zijn, daarna kan de browser dit zelf beslissen. Natuurlijk zullen er altijd website zijn die niet uit de voeten kunnen met zo'n standaardtekst. Dan blijft de oude wet gewoon gelden en moet er zo'n uitgebreide popup komen met uitleg en toestemming.
Een helemaal automatisch systeem kan ik me nog niet voorstellen want er zijn altijd situaties te bedenken waarbij de klant iets wil wat onder andere omstandigheden onacceptabel is. De meeste mensen zouden bijvoorbeeld nooit toestemming geven om een camera in hun slaapkamer te hangen, maar er zijn er die dat juist wel willen. Een ander voorbeeld is dat ik mensen ken die zeggen dat ze reclame leuk en nuttig vinden en getracked willen worden zodat ze steeds nieuwe reclames krijgen. Ik kan het niet snappen maar ik gun ze hun vrijheid.
Tot op de dag van vandaag staan er nog steeds websites op zwart als je vanaf een Europees ip-adres bezoekt, omdat ze gewoon geen zin hebben 40 manuren te besteden aan zo'n draconische implementatie.
De andere kant van de medaille is dat die tracking blijkbaar nauwelijks iets oplevert. Als 40 manuren terugverdienen niet de moeite waard is, waar zijn die trackingcookies dan voor nodig? Dan wordt de privacy wel heel goedkoop verkocht. Ik zie dat toch een beetje als een louche garage die moet sluiten als ze de afgewerkte olie niet meer in de sloot mogen dumpen. Ze kunnen dan wel heel zielig doen over de enorme kosten maar uiteindelijk zitten ze fout en hadden ze er eigenlijk niet aan moeten beginnen.