Coolblue krijgt boete van AP voor plaatsen cookies zonder toestemming gebruiker

De Autoriteit Persoonsgegevens heeft dinsdag een boete van 40.000 euro opgelegd aan elektronicawinkel Coolblue. In 2020 verzamelde de winkel via cookies op zijn website gegevens van gebruikers, zonder hen hier eerst expliciet toestemming voor te vragen.

De AP concludeert dat Coolblue zijn klanten niet voldoende op de hoogte heeft gesteld van de gegevensverzameling. De winkel had om expliciete toestemming moeten vragen, wat betekent dat gebruikers van de site er actief voor moeten kiezen. "In de cookieverklaring gaf het bedrijf aan dat het ervan uitging dat bezoekers akkoord waren. Daarnaast had Coolblue de vakjes voor toestemming voor het gebruik van cookies vooraf aangevinkt. Dit is in strijd met de Algemene Verordening Gegevensbescherming, ofwel de AVG", schrijft de toezichthouder.

In 2019 startte de AP met een onderzoek naar de inzet van cookies door websites, waaronder ook naar hoe Coolblue dat deed. In november van dat jaar stuurde de privacywaakhond via een brief een waarschuwing naar de webwinkel. In april en mei 2020 constateerde de AP dat de werkwijze van Coolblue nog steeds niet in orde was. Toen startte de AP een onderzoek.

In juni 2020 bleek dat Coolblue zijn werkwijze al had aangepast. De webwinkel was al bezig met het aanpassen van de cookietoepassing sinds het ontvangen van de waarschuwingsbrief in november 2019. Daarom valt de boete lager uit, blijkt uit de beslissing van de AP.

Reacties (159)

[Iekozz]

Kleine noot:In de gelinkte brief staat dat de AP het bezwaar van coolblue gegrond heeft verklaard en de boete heeft verlaagd naar 40k.

Dat komt omdat coolblue meerdere a/b tests had lopen op de site ten tijde van de overtreding met een cookiebanner die wel voldeed aan de avg. Ze hebben ook erkend dat ze fout zaten met die versie van de banner.

Ook goed om te weten dat ze het hebben aangepast voordat de AP een onderzoek starte.

Coolblue heeft de overtreding vervolgens
ook daadwerkelijk beëindigd vóórdat de AP aan Coolblue bekend had gemaakt een onderzoek te zijn
gestart.

[Reactie gewijzigd door Iekozz op 24 december 2024 12:14]

[-Colossalman-]

Weet je toevallig ook of het volgende Europees of internationaal geldt?

Daarnaast had Coolblue de vakjes voor toestemming voor het gebruik van cookies vooraf aangevinkt. Dit is in strijd met de Algemene Verordening Gegevensbescherming, ofwel de AVG", schrijft de toezichthouder.

Hier ken ik er namelijk nog wel een paar van

[WillySis]

De wet is nationaal, maar het gaat wel om een wet die als "directive" is opgesteld door de EU. Een "directive" is een soort basiswetgeving die de lidstaten in hun eigen nationale wetgeving moeten opnemen. Die nationale wetgeving mag strenger zijn dan de "directive" aangeeft, maar mag geen onderdelen afzwakken.

De wet geldt voor alle sites die op Nederland zijn gericht. Kom je Nederlands-talige websites tegen die niet aan de cookiewet voldoen, dan kan je ze bij de AP melden. Voor sites van bedrijven uit andere EU lidstaten moet je dat bij de AP van het land van vestiging melden, maar in de meeste gevallen wil die AP die wel doorsturen.

Ik zit nu in Nieuw Zeeland en het valt mij op dat heel veel sites die normaal wel toestemming vragen dat niet doen als je ze vanuit Nieuw Zeeland (vermoedelijk overal buiten de EU) niet doen. Ik ben niet zo dol op cookies, dus surf ik meestal via de VPN verbinding die ik thuis in Nederland heb draaien.

[SniperEye]

Een belangrijke kanttekening: wanneer een lidstaat strenger wil zijn in nationale wetgeving moet dat vooraf kenbaar gemaakt zijn en is dat terug te vinden in die richtlijn.

[RobbieB]

Dit is ook gewoon een precedent boete.

Er zijn zat sites die hier niet aan voldoen. Door nu een boete te geven aan een bekende site heeft de AP aan dat je dit nu moet fixen en je anders een (veel) hogere boete kan verwachten.

Alleen een beetje jammer dat het zo lang heeft moeten duren.

[MrFax]

Ja ik denk eerlijk ook dat de boete vooral bedoeld is om andere webshops te vertellen dat je er niet mee wegkomt.

Je mag geen "Ja" vakjes groen maken, je mag "alles accepteren" ook niet groen maken en de rest rood.

Alles moet in principe of standaard nee, of zo neutraal mogelijk: Burgers mogen niet worden beinvloedt in hun keuze door psychologische dingen als kleur, opt-out, etc.

Truukjes die je ja laat klikken is een grote no-no, want dan heeft de consument geen geinformeerde keuze gemaakt en geldt het juridisch niet. Consument zou dus naar de rechter kunnen stappen omdat het zonder geinformeerde beslissing is gevolgd, ook al is technisch gezien op "Ja" gedrukt.

Paywallen mag dus wel blijkbaar... jammer, maar ik snap het wel.

[Reactie gewijzigd door MrFax op 25 december 2024 00:01]

[kozue]

Dan mogen ze bruna ook wel op de bon gooien. Die hebben ook 3 vinkjes om uit te zetten voordat je een “wijgeren” knop krijgt.
Waarom is het voor veel bedrijven zo moeilijk zich gewoon aan de wet te houden? Vooral bedrijven die hun geld verdienen met het verkopen van producten, die hebben dat soort rommel toch niet nodig? Van Google kan ik de weerstand nog verwachten, die verdienen hun geld met spyware, maar een coolblue of bruna zou het imho niet nodig moeten hebben.

[RobbieB]

Bedrijven vinden het niet moeilijk om zich aan de wet te houden. De baten zijn hoger dan de potentiële boete.

Het is dus een weloverwogen keuze om je niet aan de wet te houden omdat de AP toch niks doet deed. Daarom is het schandalig dat dit 4 jaar heeft moeten duren. Maar ik verwacht dat je de komende maanden websites dit aan ziet passen. Dan wel uit zichzelf, of na een dringende brief van de AP.

[deneys]

Ik vind het vooral jammer we steeds lastig gevallen worden door al die vervelende popups met de vraag of ze cookies mogen gebruiken. Alsof er iemand is die leest wat er op die popup komt en dan ook nog op weigeren klikt (op enkelen na maar die zullen dan sowieso wel een plugin gebruiken of software om dat tegen te gaan). Is gewoon een heel vervelend gegeven die popups.

edit: kan mijn bericht niet verwijderen, aan verkeerde post toegevoegd.

[Reactie gewijzigd door deneys op 25 december 2024 11:31]

[kozue]

Het hele punt is juist dat je net zo makkelijk op wijgeren moet kunnen klikken dan op accepteren. Het idee is helemaal niet dat je alles gaat lezen, het idee is dat je binnen een halve seconde de tracking af kunt wijzen en verder kunt met de site. Daarom wordt er juist zo moeilijk gedaan wanneer een site geen makkelijke afwijsknop heeft.
En fyi, ik klik altijd op wijgeren. Waarom zou ik tracking accepteren? Wat voor voordeel heb ik daar aan? Stop gewoon lekker met volgen.

[Xerpan]

Cookies en tracking zijn toch niet per se hetzelfde?

[kozue]

Qua techniek niet, maar het overgrote deel wordt daar wel voor gebruikt. Voor het opslaan van voorkeuren heb je geen toestemming nodig en heb je genoeg aan 1 cookie. Al het andere is over het algemeen rommel die tegen jouw belangen als bezoeker in gaat.

[Sailor69]

Zal wel, maar ik wordt nog steeds achtervolgt door COOL blue ondanks dat ik nee heb gezegt.

[Verwijderd]

Het zou mooi zijn als het geregeld zou worden dat de uitbetaling van de overtreding terecht komen bij de gedupeerde in de plaats dat enev of andere stichting/kantoortje hier alleen maar rijker van wordt.

[Frame164]

Hoeveel schade heeft een gedupeedre geleden? Onze wetgeving is gelukkig gebaseerd op vergoedibg van daadwerkelijk geleden schade en niet zomaar een bedrag wat wel leuk lijkt. Het staat overigens iedere gedupeerde vrij om een civiele zaak tegen Coolblue te beginnen om een schadevergoeding te krijgen. Overigens wil overtreden van de wet zoals in dit geval helemaal niet zeggen dat mensen achade hebben geleden. Net zoals je bij te hard rijden wel een boete kunt krijgen zonder dat andere onder het te hard rijden hebben geleden.

[CAPSLOCK2000]

Hoeveel schade heeft een gedupeedre geleden? Onze wetgeving is gelukkig gebaseerd op vergoedibg van daadwerkelijk geleden schade en niet zomaar een bedrag wat wel leuk lijkt.

Het lastige is dat dit systeem hier niet werkt omdat de schade indirect is. Je kan onmogelijk bewijzen dat je in de toekomst een te dure TV of verzekering koopt omdat je gemanipuleerd wordt met data die nu wordt verzameld. Je kan niet bewijzen dat je aan internetfilmpjes verslaafd bent geraakt omdat ze precies je zwakke punten kennen. Als je het al kan bewijzen dan is het nog lastig om hard te maken hoeveel schade je hebt.

Als je dat allemaal al kan beoordelen zal iedere website zeggen dat ze niet meer dan een piepklein aandeel hebben gehad in de totale dataverzameling en dat je dus hooguit een paar cent vergoeding kan krijgen. Wat totaal niet in verhouding staat tot de moeite en kosten van een rechtszaak, zelfs als de kosten van je advocaat vergoed worden.

Je rechtsbijstandsverzekering gaat ook niks doen met zo'n geval.

[Reactie gewijzigd door CAPSLOCK2000 op 25 december 2024 16:04]

[Black Tern]

Inderdaad onmogelijk om schade te bepalen. Maar hoe is het als ik door het rode licht fiets? Wat is dan de schade?

Net als in het wegverkeer zou er een lijst van bedragen moeten zijn voor de missers op het internet. Waarbij de hoogte zeker gerelateerd kan zijn aan het aantal site-bezoekers van de betreffende overtreder.
Voorkomt veel gesteggel in rechtszaken!

[s0ulmaster]

Boete vs schadevergoeding.
Een boete gaat naar de staat, een vergoeding naar degene die "schade" heeft geleden.

[Black Tern]

Mijn analogie betreft alleen het vaste karakter van de bedragen. En dat het heel logisch is om dat bedrag aan alle site-bezoekers te vergoeden.

[n4m3l355]

Het onderliggende probleem is dat men voor boetes gaat in plaats van het bestraffen van een bedrijf in plaats van de verantwoordelijke individuen. Nu is in dit geval schijnbaar oprecht sprake van een fout tijdens een A-B en heeft CoolBlue op voorhand het probleem verholpen. Maar hoevaak zien we dat mega bedrijven boetes krijgen voor zaken die beyond borderline illegaal zijn?

We moeten af van een maatschappij waar bedrijven hun onschuld kunnen kopen en individueen wegkomen met moord.

[CAPSLOCK2000]

We moeten af van een maatschappij waar bedrijven hun onschuld kunnen kopen en individueen wegkomen met moord.

Ik ben het met je eens maar weet niet hoe. We houden elkaar klem. Wie neemt deze beslissing? Is het de onbetaalde stagair die uitgeprogrammeerd heeft? De teamleider van het development team? De architect van het onderliggende systeem? De afdeling marketing die AB-test bedacht? De directeur van het hele bedrijf? Of de aandeelhouders die de directeur onder druk zetten? En als de aandeelhouder een groot fonds is, wie is dan verantwoordelijk? De directeur van het fonds, het personeel dat het uitvoert, of de deelnemers in het fonds?

Onze maatschappij is heel goed in verantwoordelijkheid eindeloos opsplitsen in lange ketens waarbij iedereen aan twee kanten klem zit. Je bazen/opdrachtgevers/eigenaren geven een opdracht die je alleen kan uitvoeren door de grenzen op te zoeken en het onmogelijke te vragen van de lagen onder je. Alles moet altijd beter en goedkoper. Iedereen heeft het gevoel geen keuze te hebben binnen de kaders waarin ze werken en dus ook geen verantwoordelijkheid te dragen.

Het probleem dat ik heb met personen direct aansprakelijk stellen is dat de klappen waarschijnlijk worden opgevangen door de zwakste werknemers die zich niet kunnen verweren. Die kunnen geen nee zeggen tegen de rotklusjes doen die anderen te vies of te riskant vinden. Persoonlijke verantwoordelijkheid zou daar ook bij komen. Ondertussen blijft de druk bestaan om zoveel mogelijk geld te verdienen. Het voordeel van boetes is dat ze direct ingrijpen op het mechanisme van de misstanden: geld verdienen. Wrang is het wel.

[multiplexer]

Binnen Coolblue is dit een drietraps-raket:

- Een Product Owner (baas over een aantal software-producten, of delen van de site/app) kiest waar welke teams aan werken, en in welke volgorde.
- Een Domeinbaas (baas over een deel van de business, bijvoorbeeld 'Klantenservice' of 'Productoriëntatie') geeft bij de PO's die onder hem/haar vallen de prioriteiten aan.
- Uiteindelijk is Pieter Zwart (samen met Daphne Smit) eindverantwoordelijk. Hij neemt die verantwoordelijkheid ook duidelijk naar buiten toe. Daphne is meer voor de backoffice en interne processen.

De Team Lead is niet verantwoordelijk, en werkt in een adviserende rol wel nauw samen met de PO, samen met de "Klantreiziger" die adviseert over hoe processen vanuit klantperspectief beter kunnen. Er is een duidelijke scheiding tussen "wat" het team doet, en "hoe" ze het doen. De teams zijn zelf verantwoordelijk voor high-level estimates, op basis waarvan de PO dan inschattingen maakt wat er wel/niet haalbaar is in een kwartaal, en of er bijvoorbeeld meer personele bezetting nodig is.

Hier is waarschijnlijk (was er niet rechtstreeks bij betrokken) de keuze geweest om het een klein beetje aan te kijken, om eerst even te zien hoe de rest van de markt het aanvliegt, en tijdens een A/B-test te kijken wat de impact nou precies is op conversie, meetbaarheid, etc. Coolblue is een mooie combinatie van data-driven en gut-feeling; voor zo'n grote change die niet op onderbuikgevoel genomen kan worden wil men dus eerst data zien alvorens de knoop door te hakken tussen verschillende opties. Dat is, terugblikkend, in het geval van een juridische requirement niet de beste keuze geweest. Aan de andere kant... €40K leergeld om wel de beste cookie-banner experience te bieden die ze konden...

[Reactie gewijzigd door multiplexer op 27 december 2024 09:24]

[kimborntobewild]

Onze wetgeving is gelukkig gebaseerd op vergoedibg van daadwerkelijk geleden schade

Dan was de boete veel hoger uitgevallen. Bovendien helpen zulke straffen niet; de boetes moeten veel hoger zijn dan war er mee verdient als men het toch doet.

[blackSP]

Wat mij betreft veel schade alhoewel ik het dan wel heel erg oprek.

Mijn data is gebruikt om mij ongevraagd ongewenste advertenties te serveren, is doorverkocht aan andere partijen die vervolgens hetzelfde doen. Ik heb geen toestemming gegeven, ik voel me dus niet serieus genomen en dat levert, ja ja, emotionele schade op, gevoelens van angst doordat ik niet veilig kan surfen. Coolblue verdient al aan mij doordat ik fysieke spullen koop, waarom mij dan ongevraagd spammen met advertenties en bepalen wat zich op mijn beeldscherm afspeelt?

Maar er staat wel degelijk iets op het spel, voor mij althans, en dat is principe. Ik heb een bloedhekel aan ads en ik wil absoluut niet dat mijn scherm wordt besmeurd met rommel die ik niet nodig heb. Google is al erg genoeg en daarvan gebruik ik dus zo min mogelijk. Was even wennen om het roer om te gooien maar ik ben redelijk ad-vrij tegenwoordig. Heerlijk gevoel!

[Mathijs Kok]

Maar er staat wel degelijk iets op het spel, voor mij althans, en dat is principe.

Deze boete doet niets af van jouw recht om je schade vergoed te krijgen. Doe dus aangifte en zet de zaak in gang. Je moet wel aantonen dat je emotionele 'schade' en gevoelens van angst hebt gekregen door deze hack.

Ik hoop wel dat je Tweakers advertentie wel accepteerd want ik zie dat je niet betaald. Zou flauw zijn om gebruikt te maken van Tweakers om je punt te maken zonder Tweaker het licht in de ogen te gunnen.

[Remzi1993]

Doe dus aangifte

Aangifte? Dit is een civiele aangelegenheid, dan start je een rechtszaak. Bij het strafrecht en dergelijke komt een aangifte pas kijken. Basale kennis hoe het werkt in NL, Europa en de meeste landen in de wereld.

[Reactie gewijzigd door Remzi1993 op 24 december 2024 16:52]

[Mijzelf]

Dat wordt erg lastig. Het is relatief eenvoudig aan te tonen dat Coolblue hier de wet heeft overtreden, en daar dan een boete op zetten. Maar wie is er gedupeerd? Niet de gebruikers van de website die een cookie kregen. Die hebben dat niet eens gemerkt. En àls ze het gemerkt hebben, hoe groot is de schade dan?

[sympa]

Als ik jouw doen en laten volg, en jouw telefoon aftap, wie is er dan gedupeerd? Goede kans dat je het niet eens merkt. En zelfs al zou je het opmerken, wat is de schade dan?

[jeroen79]

Wat wil je hiermee zeggen?

Als ik jou afluister dan heb je aan dat enkele feit geen directe schade.
Mogelijk kan ik met de afgeluisterde gegevens iets doen waar jij schade door lijdt, maar dat moet dan worden aangetoond.
En mogelijk loop jij doordat ik via het afluisteren over bepaalde gegevens beschik een bepaald risico waardoor jij maatregelen moet nemen om dat te beperken, maar ook dat moet dan worden aangetoond.

Niettemin vinden we het niet wenselijk dat mensen worden afgeluisterd en is dat daarom strafbaar gesteld.

[Wouterie]

Immateriële schade en dus zou je recht kunnen hebben op smartengeld. Doorgaans word je daar echter niet rijker van.

[watercoolertje]

in de plaats dat enev of andere stichting/kantoortje hier alleen maar rijker van wordt.

Wie wordt er volgens jou dan rijker? Naar mijn idee komt de AP (en de gehele overheid) juist geld tekort en wordt er dus niks verdient en wordt er niemand echt rijker van een boete...

Daarnaast, nee een boete is GEEN schadevergoeding. Als je gedupeerd bent zal je daar zelf wat mee moeten doen, beetje raar als een ander dat maar voor je moet doen...

Daarnaast, gedupeerd om een cookie?! Wat is de schade dan volgens jou dan? Met 40k kom je ook niet zover met wss iets van 100.000 bezoekers per maand.

[Reactie gewijzigd door watercoolertje op 24 december 2024 12:16]

[gitaarwerk]

Eens In het artikel van gisteren staat ook dat wij als land veel uitgeven hiervoor. Het moet ergens vandaan komen. review: NL geeft relatief veel uit aan privacy - Maar AP deelt niet de meeste...

Coolblue is ondertussen geen kleine speler meer. En ik weet niet hoe de zaken nu zijn daar, maar ik weet dat er andere bedrijven zijn die een veel meer privacy regels aan hun laars lappen.

[Loen]

De boetes worden geind door het CJIB en vloeien dus de overheidskas in. Dat is natuurlijk maar een druppel op de plaat, maar theoretisch gezien is dat dus ten goede van ons allemaal.

[zx9r_mario]

Komt er ook 9 euro administratie kosten bij?

[squaddie]

De opgelegde boetes van AP komen terecht in de schatkist van de staat en komen daarmee indirect ook ten goede van jou.

[deneys]

In de Nederlandse schatkist dus het komt niet ten goede van de Belgische klanten van Coolblue

[fruitbakje]

dat enev of andere stichting/kantoortje hier alleen maar rijker van wordt.

Het Centraal Justitieel Incassobureau (CJIB) int de boetes voor de AP. De AP houdt het geld uit de boetes niet zelf, maar zorgt dat het terechtkomt in de schatkist. Het geld gaat dus naar de algemene middelen van de overheid.

https://autoriteitpersoon...-sancties-van-de-ap#boete
Het geld komt uiteindelijk dus bij de belastingbetaler.
Het kostte me 2 minuten zoeken om erachter te komen dat je het helemaal fout hebt. Check je de volgende eerst zelf je informatie?

[Remmilou]

En wat staat er op die site waar je naar verwijst?
Precies wat Loen al zei...

Innen van boetes

Het Centraal Justitieel Incassobureau (CJIB) int de boetes voor de AP. De AP houdt het geld uit de boetes niet zelf, maar zorgt dat het terechtkomt in de schatkist. Het geld gaat dus naar de algemene middelen van de overheid.

[Santford]

De AP houdt het geld uit de boetes niet zelf, maar zorgt dat het terechtkomt in de schatkist. Het geld gaat dus naar de algemene middelen van de overheid.
Het kabinet bepaald het budget dat het uittrekt voor privacybescherming en waar de AP het als zelfstandig bestuursorgaan moet doen.

Een stichting is een overigens een organisatie die niet als doel heeft om winst te maken maar een maatschappelijk sociaal of ideëel doel dient. Maar de AP is een overheidsorganisatie, geen stichting.

[zwah]

Coolblue heeft een boete gekregen omdat ze de wet hebben overtreden, dus volkomen terecht en niet omdat AP en/of het rijk geld nodig heeft. Kromme gedachte.

[bytemaster460]

Nee, dan krijg je de sitiatie dat mensen op slinkse wijze bedrijven overhalen of drijven tot overtreding om vervolgens mee te profiteren van schadevergeodingen. Boetes horen gewoon naar de staatskas te gaan. Als je vindt dat je schade hebt geleden kun je een civiele procedure aanspannen.

[Frank Kroon]

De boete zou beter kunnen bestaan dat ze een aantal jaar geen derde koekjes mag plaatsen. Bv de duur van het niet de juiste toestemming hebben gevraagd. Dat helpt meer beter dan een geld boete.

[PeterDons]

Uiteindelijk betaald de consument. Dan maken ze de producten duurder.

[SVMartin]

De producten zijn al op prijs waarmee ze de meeste marge/winst maken. Producten duurder maken zal minder marge geven (want elders goedkoper, dus minder omzet, dus minder winst), en dus nog meer gaan kosten dan de boete nu al doet.

Boete kost de aandeelhouders dus gewoon geld, maar ik denk niet dat Coolblue wakker ligt van 40k. Kunnen ze een paar maanden een developer van inhuren.

[Wouterie]

Iedere gedupeerde zou een civiele zaak kunnen starten wegens immateriële schade en dus smartengeld. Maar reken je niet rijk. Oh, de AP is geen stichtinkje of kantoortje.

[kftnl]

Als dit vier jaar geleden al gefixt is, is het dan echt nog doelmatig om nu een boete te gaan opleggen?

[walteij]

Ik ga er even met gestrekt been in om mijn punt duidelijk te maken, alvast excuses voor de lompheid.

Het is 4 jaar geleden dat mijn buurman neergeschoten is, is het dan echt nog doelmatig om nu een straf te gaan opleggen?

Iets subtieler:
Regels zijn er om nageleefd te worden, bij naleving hoort controle en, indien de regels overtreden zijn, een straf van enige vorm. Zelfs als dit 4 jaar later is. Zonder risico op straf gaat iedereen absoluut de regels overtreden.

[kftnl]

Ik snap wat je bedoelt, maar naar mijn idee is het een beetje een kromme vergelijking, het gaat hier niet over strafrecht. Als jij 4 jaar geleden een waarschuwing kreeg over een kapot lampje op je auto, dat toen iets later gefixt had, en dan 4 jaar later nog een boete zou krijgen zou ik me ook afvragen waar ze in godsnaam mee bezig zijn.

[Reactie gewijzigd door kftnl op 24 december 2024 13:22]

[GertMenkel]

Als je vier jaar geleden een waarschuwing hebt gekregen voor een kapotte lamp en er een half jaar mee doorgereden hebt, kun je alsnog die boete gewoon krijgen. Een lamp repareren kost geen half jaar, en de cookiemuur repareren ook niet. Had je die lamp nog dezelfde week gerepareerd, dan zou de zaak compleet anders zijn natuurlijk.

Je boetes vervallen niet op het moment dat de autoriteiten het te druk hebben en je dossier geen prioriteit krijgt. Als je boetes wilt voorkomen, moet je je aan de wet houden, en als de instanties zo vriendelijk zijn je te waarschuwen, moet je daar dankbaar zeer snel wat mee doen en niet nog een half jaar doorgaan met het verboden gedrag.

Coolblue had wat mij betreft ook geen waarschuwing moeten krijgen, wat ze deden was regelrecht in strijd met de wet en van tevoren bedacht door iemand (de code die in de A/B-test gestopt werd is niet spontaan op die schijf verschenen). De cookieverklaring die niet deugde is ook niet zomaar verschenen, daar heeft iemand aan moeten schrijven. De webshop om de hoek zou misschien nog wegkomen met "we hebben de omzet niet om die door een advocaat te laten maken" maar Coolblue is geen kleintje.

[Reactie gewijzigd door GertMenkel op 24 december 2024 15:08]

[magic45]

Kudos voor deze, veel meer van toepassing zijnde, vergelijking.

Het strafrecht betrekken in deze casus maakt het automatisch compleet scheef, een adminstratieve vergelijking is inderdaad veel meer van toepassing.

[walteij]

Prima vergelijking, als het 4 jaar duurt om de bewijsvoering en de verdediging over het wel of niet branden van dat lampje 4 jaar kan duren. Want die tijd moet je ook mee nemen.

Juristen (want die zitten hierop, zowel bij de AP als bij Coolblue) hebben hier gewoon lekker flink uren mogen schrijven waarom ze vinden dat de boete (on)proportioneel is (afhankelijk van welke advocaat er aan het factureren is op dat moment).

En dus blijft het punt staan: Regels zijn er om nageleefd te worden en bij niet naleven van de regels, dienen en straffen te komen. Ook na 4 jaar 'onderhandelen' over de zwaarte van de straf.

[Loen]

Het moet toch blijven af schrikken. Anders kan iedereen zich beroepen op het coolblue besluit en pas handelen als er een klacht is / onderzocht wordt, want tandloze tijger

[Frame164]

Ja. Als een boete terecht is moet die gewoon betaald worden.

[gitaarwerk]

Absoluut mee eens. Je krijgt de boete echt niet zomaar. Vaak krijg je meermaals waarschuwingen, en die zijn vaak heel terecht. Ook soms met voorbeelden waarom. Boetes is echt als deze issues genegeerd of onvolledig (vaak zichtbaar bewust) worden opgelost

[Tozz]

Dat is niet zo raar toch? Strafzaken worden soms ook jaren na delictdatum nog voor de rechter gebracht (wat niet zelden dan weer resulteert in een gematigde straf vanwege de lange duur van het proces)

[Gymnasiast]

Ik vind het een raar idee dat een partij als CoolBlue een half jaar nodig zou hebben om een cookiemuur aan te passen.

[Reactie gewijzigd door Gymnasiast op 24 december 2024 12:12]

[Tristan]

Zoals Iekozz in 'Coolblue krijgt boete van AP voor plaatsen cookies zonder toestemming gebruiker' zegt. Er draaide meerdere versies om te bepalen welke het beste voor Coolblue werkt. En dat testen kost tijd.

[Reactie gewijzigd door Tristan op 24 december 2024 12:20]

[proatjeboksem]

"welke het beste voor Coolblue werkt"!? Nou moet het niet gekker worden.
Ja, edelachtbare, ik moet de bak in, maar het komt dit jaar niet zo goed uit.

Een cookie niet meer uitdelen (en het testen daar van) hoeft geen half jaar te kosten.
Wat het beste voor de veroordeelde werkt doet 'ie maar in zijn vrije tijd.

[Marzman]

Coolblue is wel een van de meest geautomatiseerde webshops die ik ken (je kan zelfs zien waar de vrachtauto rijdt met jouw spullen). Het werkt ook heel goed allemaal, tot het niet werkt. Dan gaat alles mis, en elke oplossing die ze daarna bieden gaat mis (heb dat gehad met een koelkast, die ze niet de trap op kregen omdat die te groot was, of het appartementsgebouw te klein was ). Niet dat ik er niet meer zou bestellen na die ervaring, want het gaat bijna altijd goed, en dan gaat het ook heel goed. Ook dat ze een koelkast de trappen op willen bezorgen is een goede service.

Dit met die cookies zal net zoiets zijn, ze hebben er geen flow voor dus is het moeilijk voor ze.

[Martin.Air]

"Nuttig voor de klant cookies" mag je nog steeds zonder toestemming plaatsen, het probleem zijn de cookies waar data mee verzameld wordt dat daar niet nuttig voor is, of ook wat mee gedaan wordt wat voor het bedrijf maar niet jou nuttig is.

[ep667]

Coolblue is wel een van de meest geautomatiseerde webshops die ik ken (je kan zelfs zien waar de vrachtauto rijdt met jouw spullen).

Ik denk dat dat wel meevalt. Dat routes een beetje bepaald worden door een algoritme en dat de site goed snapt welke producten bij elkaar passen, maakt niet het zo geautomatiseerd is.

Bij Coolblue werken (volgens de eigen website) 6300 mensen. Bij het veel grotere Bol werken (wederom volgens de eigen website) 2200 mensen. Dat klinkt niet als volledig geautomatiseerd.

Waar het gewoon meer op lijkt: Bedrijf krijgt waarschuwing. Oei, dat moeten we oplossen, maar wel op een manier die duidelijk genoeg is voor de klanten maar waarbij we tegelijkertijd wel kunnen blijven volgen. En dat heeft dan een halfjaar geduurd. Allemaal niet zo spannend natuurlijk. Had in 2019 al klaar moeten zijn, maar toen lagen de prioriteiten voor de UX'ers waarschijnlijk elders.

[MarioYKW]

Van die 6300 is veruit het grootste deel werkzaam in het magazijn of de bezorgdiensten, niet het hoofdkantoor.

[Tristan]

Kijk eens op werkenbijcoolblue.nl, als je denkt dat je het beter weet of kan

[Cyberpope]

Dan kun je degene die wettelijk toegestaan zijn direct uit de testcyclus halen toch? Maar gok dat de data gewoon meer waard was dan deze 40k.

[Frame164]

Die cookiemuur aanpassen zal geen half jaar gekost hebben. Wel alles er om heen en qua technische zaken ook nog de verificatie dat alles nog goed werkt na een wijziging.

[Webgnome]

Het is niet simpelweg 1 script uit / aan zetten. Het heeft veel meer impact dan je denkt. Zo hebben wij problemen gehad met een aanbieder omdat het script wat men gebruikt zo langzaam is als iets door een rietje.. En dat wil je van te voren eerst zeker weten. Daarnaast is dit iets gewoon op de stapel van werk komt. Zij het, waarschijnlijk, met hogere prio

[gitaarwerk]

Daar zijn relatief makkelijke oplossingen voor. Maar ik ben het wel nmet je eens... Zeker in geval van vertragingen; ik probeer eigenlijk hier altijd wel wa tmee te doen als ik bij een werkgever komt, omdat het vaak van die dingen zijn waarbij marketing en devs niet veel samen over bomen. Dat is zonde. Oplossing is vaak even elkaar aanspreken erop, en vooral samen kijken wat er wel kan (en anders het bedrijf in kwestie aanhaken, eventueel met voorbeelden en verbeteringen; krijg je in mijn ervaring dan ook gedaan; ook bij de derde partij, (zoals Criteo; die vrij groot is)

Ik heb in dit specifieke geval wat meer kennis van (al ga ik die niet delen). Functionele cookies zijn wat meer systeem afhankelijk, maar marketing cookies en scripts worden vaak gewoon gezet met google tag manager. Daar kan je consent level in meenemen (zijn talloze voorbeelden online van te vinden). Ongeacht ben ik het met je eens dat wanneer je dit voor het eerst moet imlementeren het zeker wat impact zal hebben. En een organisatie die wat langer bestaat waar niet alle derde partijen en tracking cookies goed beheerd worden, zal het even pittig worden. Maar met een beetje wil en energzie is het toch wel vaak binnen enkele weken door een paar personen goed uit te voeren.

Het wordt lastiger als je op basis van cookies een aantal metingen gaat verrichten welke door verschillende systemen heen gaan. Dan moet je een hoop weer aan de achterkant 'stitchen'. En niet ieder bedrijf heeft die kennis/kunde.

Alles is overigens goed te doen, maar men moet vaak wel durven. Dat durven, doet men niet zo vaak. In tegenstelling tot Coolbue. Coolblue is iets minder conservatief dan andere bedrijven van dit formaat.

[Webgnome]

Ja ben het met je eens. Met een beetje goede wil is het in gedaan. Maar het is zeker niet even een uurtje werk wat er, naar mijn mening, gesuggereerd werd.

[gitaarwerk]

Eens!

[Infor40]

Toch is de hele focus op de cookies ergens compleet onzinnig geworden. De tracking gebeurt nu gewoon op een andere manier (fingerprinting, server-side). En is daarmee nog minder inzichtelijk geworden. En het accepteren overal is werkelijk een gedrocht.

We zouden toch eens hoog over hier wetgeving op los moeten laten en dan ook flink handhaven. Maar ja commercie gaat altijd boven alles. En er is geen politieke partij die zijn handen durft te branden aan regulatie van marketing.

[CAPSLOCK2000]

Toch is de hele focus op de cookies ergens compleet onzinnig geworden. De tracking gebeurt nu gewoon op een andere manier (fingerprinting, server-side). En is daarmee nog minder inzichtelijk geworden. En het accepteren overal is werkelijk een gedrocht.

We zouden toch eens hoog over hier wetgeving op los moeten laten en dan ook flink handhaven. Maar ja commercie gaat altijd boven alles. En er is geen politieke partij die zijn handen durft te branden aan regulatie van marketing.

De wetgeving is er, we moeten er alleen beter gebruik van maken. Er zijn geen wetten die specifiek over cookies gaan, de wet is neutraal geschreven om alle vormen van tracking te dekken. Slimme bedrijven hebben ons wijsgemaakt dat de "cookiewet" zegt dat je een irritante pop-up waarschuwing op je website moet zetten. Dat is niet de bedoeling van de wet. De wet zegt dat je mensen niet moet tracken tenzij ze daar zelf om vragen. Bedrijven draaien dat om en vragen ons steeds weer om ons te mogen tracken. Net zo lang tot we één keer per ongeluk op het verkeerde knopje drukken. Dan vinden ze opeens dat ze voor eeuwig toestemming hebbben.

[gitaarwerk]

Yep. In mijn werk waarbij ik met regelmaat te maken krijg met marketingbedrijven, merk ik ook vaak dat het echt een cowboy-wereld is. En vaak met IT-ers van hun zitten met de beste intenties, maar de product-owners/accountmanagers/eigeneraren zijn minder enthousiast over meer respectfvol omgaan met privacy. Terwijl met een beetje nadenken je echt een eind komt.

Tracken kan echt prima gedaan worden om zo nog te krijgen wat je wilt meten, zondat dat dit privacy issues hoeft te geven. Maar ja, het kost soms wel iets meer tijd.

[CAPSLOCK2000]

En vaak met IT-ers van hun zitten met de beste intenties, maar de product-owners/accountmanagers/eigeneraren zijn minder enthousiast over meer respectfvol omgaan met privacy.

Herkenbaar, het is een mentaliteit. Ik heb ook in dat soort bijeenkomsten gezeten waarbij techneuten van beide kanten ongemakkelijk beginnen te draaien en te schrapen en hun collega's hinten dat ze te ver gaan. Die kaatsen de bal terug en vragen de techneuten hoe ze de data dan wel moeten verzamelen. Vervolgens komt de bedrijfsjurist of compliance-officer er over heen om te zeggen dat het risico op een boete acceptabel laag is.
Ze zien de wet als een obstakel dat ontweken moet worden.

[gitaarwerk]

Ook dat is herkenbaar. Moet ik wel zeggen dat het niet altijd erg is om iets als acceptabel risico te zien. Maar het kan te ver gaan. Je kan ook gewoon weigeren dit te doen. Heel simpel omdat het ook niet wettelijk zal zijn. Enige is dat je dat even zwart op wit moet neerzetten in geval dat het terugkomt op een of andere manier. Dat is ook een beetje durven soms.

Ik stel liever voor om die zaken anders te doen dan nee te zeggen. Meer kans om dit goed te doen, dan een obstakel te worden waar ook omheen word gegaan.

[Blokker_1999]

Het noemt dan wel cookie wetgeving, en we noemen het cookies, maar de wetgeving gaat niet specifiek over browsercookies maar elke vorm van tracking van gebruikers.

[Infor40]

Ja misschien moet ik het anders verwoorden dan ook... de handhaving lijkt wel zich te beperken tot de cookie-wall. Want die is het meest zichtbaar en nog te controleren. Maar de wijze waarop marketing 'mag' plaatsvinden online heeft wel een dieptepunt bereikt wat mij betreft.

Het meest treffende voorbeeld daarvan is wel dat de 'do not follow' optie tegenwoordig voor fingerprinting wordt gebruikt...

[Frame164]

Het probleem is dat wetgevers vaak te veel inzoomen op een specifiek probleem en dat snel willen oplossen. En dat terwijl dit soort wetten technology agnostic moeten zijn. Als je heel simpel stelt "gij zult gebruikers niet volgen" dan dekt dat een veel bredere scope aan mogelijkheden. Zelfs niet-technische opties.

[Blokker_1999]

Misschien moet je eens beginnen met de wetgeving te lezen, en dan zal je zeer snel merken dat wetgeving wel degelijk geschreven wordt zoals jij aangeeft. Niet specifiek een technologie in dit geval, maar een beschrijving van het doel waardoor alle technologieen die dat doel willen bewerkstelligen moeten voldoen aan de wetgeving.

[Infor40]

Ja helemaal eens... dan ondervang je ook gelijk 'toekomstige techniek'. Dit voelt echt als een hele slechte symptoombestrijding.

[gitaarwerk]

Tja.. ik weet niet of dit heel veel anders gaat zijn. We zijn zo gefocussed om profielen maken, meten, er we verzinnen altijd wel iets wat weer de wet wat omzeilt. Ook de uitvoerders als devs (zoals ik) kunnen hier positief aan bijdragen. Zoals ik ergens anders hier onder schreef,.. je kan echt wel goed herkenning en tracking doen met respect voor privacy en nog steeds je doel halen. Ik merk zelf vaak alleen dat er vaak het heil niet in word gezien en gewoon voor de makkelijkste weg gekozen zal worden. En dat is jammer. Ik vind dan ook een boete hiervoor meer dan terecht.

[deadinspace]

Het probleem is dat wetgevers vaak te veel inzoomen op een specifiek probleem en dat snel willen oplossen.

Je moet eens wat vaker de relevante wetten lezen. Ik doe dat ook wel eens, en mij valt op dat dit echt totaal niet het geval is. Meestal zijn wetten redelijk abstract geschreven, juist om het concept af te vangen in plaats van te specifieke zaken.

De wet in kwestie is de Telecommunicatie wet, sectie 11.7a. Deze wet noemt dan ook nooit het woord "cookie", maar gebruikt taal als:

... via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker, ...

en

Een handeling als bedoeld in het eerste lid, die tot doel heeft gegevens over het gebruik van verschillende diensten van de informatiemaatschappij door de gebruiker of de abonnee te verzamelen, combineren of analyseren zodat de betrokken gebruiker of abonnee anders behandeld kan worden, wordt vermoed een verwerking van persoonsgegevens te zijn.

Waarmee ze "tracken" onder "verwerking van persoonsgegevens" scharen, waarmee het onder de AVG valt.

Het is allemaal best prima technologie-agnostisch.

[MrMarcie]

Ik heb op mijn telefoon die DuckDuck trackerblocker. Wat die tegenhoudt is ongelofelijk. Ik wist dat het erg was maar zo erg! En dan laat ie de standaard trackers nog door. Dus er is een zeer compleet profiel van je. Doodeng allemaal.

[Carlos0_0]

En waarom zou dat eng moeten zijn ?

[MrMarcie]

Waarom niet?

[Carlos0_0]

Nou waarom wel, dan weet een winkel dat je naar wasmachines zoekt?.

[MrMarcie]

Je maakt het wel erg simpel, zo werkt het niet. Die boete is niet voor niks.

[Carlos0_0]

Maar waarom zou het volgens jou dan eng moeten zijn ?

[gitaarwerk]

Omdat bedrijven; noem even een Marktplaats, letterlijk honderden tracking cookies heeft, en als je standaard de selectie "uit" hebt, dan is er ook nog een hoeveelheid "gerechtvaardigd belang" van derde partijen die alles weer koppelen van andere sites. Daarbij maken ze een profiel en verkopen deze weer door aan andere bedrijven. Vaak worden de profielen zo specifiek ook dat je daarbij weer getarget kan worden op bepaalde diensten, interesses...

Als voorbeeld; en nu is het volgens mij nog steeds niet bewezen, maar het is niet heel vreemd dat mensen bepaald gedrag gaan vertonen wanneer zij gevoed worden met content die men eerder heeft bedacht voor jou op basis van deze informatie.

[Carlos0_0]

Ja maar wanneer zie je die reclame content dan, ik niet want heb Ublock verder aan ?.

[protected22]

Vele websites doen dit helaas. Zelfs grote nieuwsbronnen zoals AD. Honderden vinkjes en alles staat al vooraf aangevinkt voor toestemming. En vooraf staan er al cookies geplaatst voordat je überhaupt de toestemming gegeven hebt.

[Ienni1983]

Oh, je wilt geen toestemming geven.

Maar wij hebben een gerechtvaardigd belang...

[Exqua]

Dat inderdaad. Ik vink meestal alles uit, tenzij de lijst te lang is, dan kom ik er gewoon niet meer.

[Boomas]

*Wij en onze 734 partners hebben een gerechtvaardigd belang

[protected22]

Vooral dat idd. Laatst bij een website ongeveer 94 partners moeten wegklikken, omdat ze allemaal van te voren al op aangevinkt voor toestemming stonden. En vaak zie je hetzelfde ook bij DPG cookie walls

[Tao-lee]

Dat is voor mij het moment om dan snel voor die website te switchen naar Brave

[protected22]

Hoezo Brave? Heeft die bepaalde ingebouwde plugins ervoor? Laatste keer dat ik eens Brave geprobeerd had met maar 2 tabs open (mail en youtube), was het flink meer aan mijn cpu aan het vreten qua gebruik dan wat chrome aan RAM doet.

[Tao-lee]

Geen idee of het een ingebouwde plugin heeft maar ik krijg bij de meeste sites geen cookie wall te zien.

Ik open alleen die pagina, dat valt wel mee lijkt mij maae zal de volgende keer naar kijken wat het verbruik ervan is.

[blorf]

Er is te weinig initiafief tegen omdat niet veel mensen het volgen. Alle verkrijgbare bestuiringssystemen en browsers zitten er diep in.
Dit nieuws suggereert al dat het niet hebben van controle over wat eem website aan de client-kant opslaat normaal is. Kan wel zijn dat een winkel de regels overtreedt, maar waar is de infrastructuur voor cookies voor nodig, en hoezo staat een klik op ok binnen een browser voor "toestemming" voor dat opslaan?

[deadinspace]

Alle verkrijgbare bestuiringssystemen en browsers zitten er diep in.

Wat hebben besturingssystemen en browsers hier mee te maken?

Dit nieuws suggereert al dat het niet hebben van controle over wat eem website aan de client-kant opslaat normaal is.

Je kunt je browser gewoon instellen om cookies helemaal te weigeren, of ze weg te gooien na het sluiten van de website.

Hou er wel rekening mee dat in het 1e geval de meeste websites niet meer werken, en in het 2e geval dat websites elke keer denken dat je een nieuwe bezoeker bent met alle gevolgen vandien.

maar waar is de infrastructuur voor cookies voor nodig

Om instellingen op te slaan en je te herkennen. Dus bijvoorbeeld voor sessies (ingelogd zijn), inhoud van winkelmandjes of wishlists, voorkeuren voor bv taal of licht/donker thema. Onthouden of ze je bepaalde dingen al getoond hebben (bv informatie-popups, maar ook bv video's in Youtube zodat ze je nieuwe video's kunnen voorschotelen ipv dezelfde).

Gaat allemaal (direct of indirect) via cookies. Die dingen zijn ook helemaal het probleem niet, het probleem is hoe cookies tegenwoordig misbruikt worden voor verregaande tracking. Maar het is de tracking die het probleem is (en die volgens de wet niet zonder toestemming mag), niet de cookies. Net zoals honkbalknuppels geen probleem zijn, tot deze misbruikt worden als wapen.

... en hoezo staat een klik op ok binnen een browser voor "toestemming" voor dat opslaan?

Als iemand vraagt of hij je ladder mag lenen, en jij zegt "ja, dat mag", dan geef je toestemming en mag hij zijn ladder nemen.

Als een website vraagt of die tracking cookies mag plaatsen en jij klikt op "toestaan" dan geef je toestemming en dan mag die website dergelijke cookies plaatsen.

Dat is toch niet zo ingewikkeld? Of begrijp ik je verkeerd?

[blorf]

Je kan een browser instellen om cookies helemaal te weigeren maar wat alle browsers ook zouden kunnen maar wat geen enkele doet is cookies per bron isoleren. Ze zijn allemaal pro-tracking. Zelfs identieke cookies op meerdere sub-pagina's van 1 enkele site kunnen worden gescheiden.
Is dat een probleem, dan wil de site ongezien iets van je registreren.

[deadinspace]

Ik snap niet helemaal wat je bedoelt.

... maar wat geen enkele doet is cookies per bron isoleren.

Normale cookies zijn al per bron geïsoleerd. Als mijn browser een cookie van tweakers.net krijgt, dan wordt die alleen teruggestuurd naar tweakers.net, en alleen Javascript van tweakers.net heeft toegang tot die cookies. Zie bijvoorbeeld deze MDN uitleg.

Het enige wat daar met "normale" cookies aan te veranderen valt is dat sub/superdomeinen meegenomen kunnen worden in die toestemming (dus tweakers.net en shop.tweakers.net kunnen cookies delen). That's it.

Cookies die wel naar een ander domein gestuurd kunnen worden bestaan, dit zijn cross-domain cookies (vaak third party cookies genoemd). Deze zijn inderdaad problematischer, dat beschreef ik ook in mijn vorige post. En die kun je expliciet uitzetten in je browser. En: in veel browsers staan die standaard al uit.

[blorf]

Geen idee waar je het over hebt. Feit is dat communicatie met een webserver geen opslag van wat voor informatie dan ook aan de client-kant vereist om te functioneren. En op het moment dat verschillende online bronnnen dezelfde lokaal opgeslagen informatie kunnen lezen en/of aanpassen hebben we te maken met een veiligheidsprobleem, niet een faciliteit.
Hebben we een dienst met zekere veiligheids-eisen, dan maken ze maar een account-service. Oh, wacht,. dat doen ze ook allemaal. Oftewel de cookie-infrastructuur die alle browsers in zich hebben is technisch 100% overbodig.
Het is alleen maar bedoeld om mensen die niet zijn ingelogd toch te kunnen identificeren en volgen zonder dat ze het merken.

[Reactie gewijzigd door blorf op 25 december 2024 14:50]

[deadinspace]

Feit is dat communicatie met een webserver geen opslag van wat voor informatie dan ook aan de client-kant vereist om te functioneren.

Ik weet niet waarom je dat er bij haalt, maar dat is wel degelijk nodig om bijvoorbeeld ingelogd te zijn. Of de inhoud van een winkelwagentje. Of taal/thema instellingen, etc.

En op het moment dat verschillende online bronnnen dezelfde lokaal opgeslagen informatie kunnen lezen en/of aanpassen hebben we te maken met een veiligheidsprobleem, niet een faciliteit.

Maar dat kan dus NIET met gewone cookies. Waar haal je vandaan dat dat wel kan?

Hebben we een dienst met zekere veiligheids-eisen, dan maken ze maar een account-service. Oh, wacht,. dat doen ze ook allemaal. Oftewel de cookie-infrastructuur die alle browsers in zich hebben is technisch 100% overbodig.

Om accounts te ondersteunen moet je kunnen inloggen met een sessie. Voor sessies moet de website tussen verschillende requests weten bij welke sessie die request hoort. Dat moet de browser opslaan en meesturen. En dat doen ze dus met een cookie.

[blorf]

Voor veilige communicatie zijn geen cookies nodig. Dat is eigenlijk het hele punt. Het idee slaat nergens op. Om te communiceren hoef jij geen bestandjes permanent op mijn schijf te zetten. Dat de sessie verloren gaat als ik op page refresh klik is mijn probleem.

Aangetoond dat het onzin is: ik draai alles vanuit RAM. Mijn browser hoeft niks op te slaan. Een website kan dat niet eens zien, maar na een reboot is alles weg. Hoezo moet er iets opgeslagen worden door een browser die alleen maar denkt dat de opslag permanent is? Dat is een valse, commercieel-gemotiveerde cultuur die in de praktijk nergens goed voor is. Of je moet graag gepersonaliseerde reclame willen zien. Ik heb die mensen hier gezien.

[Reactie gewijzigd door blorf op 26 december 2024 13:44]

[deadinspace]

Prima, dan zet je cookies toch gewoon uit in je browser of je stelt in dat ze verwijderd worden als je je browser sluit. Dan krijg je wat jij wil.

Maar het feit blijft dat:

1) Normale cookies geïsoleerd zijn per site (in tegenstelling tot wat jij beweert)
2) Cookies wel degelijk een functie hebben.

[blorf]

Als ik cookies uit zet doen allerlei sites het niet zonder steekhoudende reden. Die willen alleen maar mijn informatie in ruil voor functioneren. Dan moeten ze dat meteen zeggen en niet dat op de achtergrond binnenhalen via cookies bij mensen die niet eens zijn ingelogd. Kernpunt van het probleem: een bezoeker is nog geen klant.

[Reactie gewijzigd door blorf op 26 december 2024 13:52]

[Pi-Qui]

Eerlijk gezegd denk ik dat de boetes meer in de richting van de 4 miljoen euro moeten gaan in plaats van 40000 euro. Dat is een schijntje waardoor bedrijven dit soort gespioneer gewoon blijven doen. Er moet echt een afschrikkend beleid worden gevoerd om de privacy te beschermen, is ook goed voor de dienst, krijgen ze meer middelen tot hun beschikking! Dat is prima voor de AP, kunnnen ze mooi banen mee creëren.
Quote;
De Autoriteit Persoonsgegevens:
- legt aan Coolblue B.V. een bestuurlijke boete op van € 40.000,00 (zegge: veertigduizend euro) voor
het overtreden van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met
artikel 6, eerste lid, van de AVG. Dat zou dus 4 miljoen moeten zijn op zijn minst.

[Reactie gewijzigd door Pi-Qui op 24 december 2024 12:27]

[MPAnnihilator]

Ik ben al die niet uniforme cookie keuze pop-ups ZO moe ! Waarom gewoon niet 1 keer instellen in de browser en klaar ?

[Defspace]

Gewoon cookie-autodelete en I dont care about cookies plugins installeren en je hebt nergens last van.

[Blokker_1999]

Alleen is dat al lang niet meer voldoende. Met alle technieken die men vandaag heeft voor fingerprinting geef je hen gewoon alsnog toestemming je te volgen op alle andere manieren, zelfs als jij elke dag je cookies in de vuilbak gooit.

[The Zep Man]

Het gaat er niet om of @Defspace gevolgd kan worden. Dat kan sowieso ongeacht de keuze voor cookies m.b.v. browser fingerprinting.

De discussie gaat over dat @MPAnnihilator de cookiekeuzes zat is. Dat kan je ook afvangen door automatisch cookies te weigeren met iets als Consent-O-Matic.

[Reactie gewijzigd door The Zep Man op 24 december 2024 13:27]

[deadinspace]

Het gaat er niet om of @Defspace gevolgd kan worden. Dat kan sowieso ongeacht de keuze voor cookies m.b.v. browser fingerprinting.

Dat tracken mag niet zonder toestemming. Of daar cookies voor gebruikt worden of niet is niet zo relevant.

Met een "I dont care about cookies" extension geef je dus die toestemming, terwijl als je genoeg op afwijzen klikt dan geef je die toestemming niet. Dat is waar @Blokker_1999 op doelt.

[The Zep Man]

Dat tracken mag niet zonder toestemming.

Als tweaker maak ik mij minder druk om wat mag, en meer om wat kan. Dat is met name over wat ik kan doen ter bescherming van anderen en mijzelf.

Wat "mag" is in deze context voor juristen, en dan met name om aan te verdienen in een strijd achteraf over geld en gegevens die niet van hen zijn.

[Reactie gewijzigd door The Zep Man op 24 december 2024 20:43]

[deadinspace]

Ik snap je punt hoor, maar ik ben het niet helemaal met je eens.

Het ging over @Defspace's post waar hij schreef:

Gewoon cookie-autodelete en I dont care about cookies plugins installeren en je hebt nergens last van.

Daarmee gaat zijn browser automatisch akkoord met al die pop-ups. Daar zag @Blokker_1999 het probleem in dat hij dan alsnog getrackt mag worden, ook al gooit hij automatisch cookies weg.

Jij zegt dat ze dat sowieso kunnen doen, of dat nou mag of niet. En ja, daar heb je natuurlijk gelijk in, maar dat vind ik geen reden om dan maar toestemming te geven. Spammers mailen mij toch wel, of het nou mag of niet. Dat wil niet zeggen dat ik zeg "ja hoor, spam mij maar!"

Ja, het is mogelijk me (illegaal) te tracken zonder dat ik toestemming geef, maar toch geef ik geen toestemming. Dat zorgt er voor dat ik minder getrackt wordt (door partijen die zich wel aan de wet houden).

Maar ook om het juiste signaal af te geven. Ik ben tegen verregaande tracking, en dat wil ik dan ook laten weten. Als iedereen het altijd maar slikt dan verandert er nooit wat. Ik laat dan liever zo vaak mogelijk mijn "nee" stem horen, hoe klein het effect daarvan ook is.

[The Zep Man]

Jij zegt dat ze dat sowieso kunnen doen, of dat nou mag of niet.

Klopt.

En ja, daar heb je natuurlijk gelijk in, maar dat vind ik geen reden om dan maar toestemming te geven.

Daarom noem ik Consent-O-Matic, maar dat is niet de enige maatregel die ik zou adviseren. Ik steek liever minder energie om "mijn 'nee' stem te laten horen' om zo meer in te zetten om "nee" te doen. De wet is correctief. Techniek is preventief. Voorkomen is beter dan genezen.

[Reactie gewijzigd door The Zep Man op 25 december 2024 13:34]

[Caayn]

Daarmee verschijn jij in de statistieken als iemand die akkoord is met cookies. Tevens maakt het jouw fingerprint unieker waardoor je weer makkelijker te volgen bent zonder cookies.

[Defspace]

Het gaat zoals the Zep Man hierboven zegt inderdaad niet om het niet gevolgd kunnen worden, maar om geen cookie meldingen te zien.

[robertpNL]

Wat ik niet snap waarom het zolang had moeten duren. 4 jaar (!) na constatering/onderzoek is de boete er. Ja, een bezwaar kan vertragen maar waarom niet achteraf? Als ik een boete krijg, moet ik ook die vaak eerst betalen met bezwaar daarna.

Maar waar het om gaat is de tempo van dit soort onderzoeken. Het is absurd dat zoiets vier jaar moet duren.

Update: In de zaak met Netflix eerder deze maand, waar het AP een boete van ruim 4 miljoen euro heeft opgelegd aan Netflex, was er ook een traject vooraf van ~5 jaar. Daar heeft het AP wel zijn excuses voor aangeboden lees ik uit het besluit.

[Reactie gewijzigd door robertpNL op 24 december 2024 13:08]

[qbig1970]

Dit heb ik in dienst (militaire) ook geleerd... eerst het bevel uitvoeren en daarna mag je bezwaar maken.
Zou met boetes ook moeten zijn denk ik... eerst betalen daarna klagen, tenzij...
je de boete sowieso niet kan betalen... maar een bedrijf als Cool Blue moet dat kunnen naar wij dachten.

[Tozz]

Dat is gevaarlijk, kijk maar bv. naar dat geschil met NSE en Brein.

Die zaak had NSE verloren, en Brein had gevraagd om uitvoer van de uitspraak. Daarmee verloor NSE veel omzet. Nu in hoger beroep is NSE in het gelijk gesteld. Daarmee is Brein mogelijk aansprakelijk voor de omzetderving van NSE. En dat kan serieus in de papieren lopen.

[gitaarwerk]

Bijvoorbeeld: verwatering van lopende zaken wanneer mensen uit dienst treden. En zo zijn er nog wel wat redenen te noemen. Soms ook onderzoek. Of laten liggen door prioriteiten (corona-periode bijvoorbeeld). Cookies kunnen een grote impact hebben op de werking van bepaalde systemen. Vooral marketing en herkenning. En soms is het ook gewoon stomiteit. Je implementeerd een nieuw script/dienst. En je vergeet de cookie op de cookie-pagina te zetten (of in de consent-lijst).

Een iets meer non-argument, maar nog steeds een reden, is wanneer een dienst iets veranderd, en daarbij andere cookies zet, die niet zijn doorgegeven (of zijn blijven liggen bij iemand). Dus genoeg redenen. Maar geen excuus

[Bas-w]

Idd, hoe lang kan je nodig hebben om zo'n overtreding te onderzoeken? Zelf zou ik dat doen met een live versie van de website en niet met een 4 jaar oude kopie. Geen wonder dat de 'kosten' per boete zo hoog zijn in Nederland.

[Verwijderd]

De Autoriteit Persoonsgegevens heeft dinsdag een boete van 40.000 euro opgelegd aan elektronicawinkel Coolblue.

Is dat niet een bizar laag bedrag ongeacht de andere zaken die lopen? De inkomsten die Coolblue maakt door deze cookie te plaatsen is dusdanig groot dat deze boete gewoon ingecalculeerd kan worden. Het is op deze manier gewoon een kostenpost in plaats van afschrikmiddel.

[Reactie gewijzigd door Verwijderd op 24 december 2024 16:22]

[m_snel]

Het is natuurlijk bizar dat je een boete krijgt terwijl je het de consument makkelijk maakt.
De hele cookie wetgeving is te ziek voor woorden.

[Verwijderd]

Het is natuurlijk bizar dat je een boete krijgt terwijl je het de consument makkelijk maakt.
De hele cookie wetgeving is te ziek voor woorden.

Ze maken het zichzelf makkelijk en niet de consument. Deze boete is volledig terecht. Toch zou ik liever zien dat er meer gedaan wordt dan alleen boetes uitdelen. Het verplichten van de markt om een betere oplossing te implementeren dan de huidige "cookieoorlog" tussen de gebruikerservaring en het dataverzamelen van diensten, heeft mijn voorkeur. Op dit moment is het steeds de eindgebruiker die het onderspit delft.

- De uitdaging: Het risico op gevaarlijke cookies minimaliseren.
- EU-oplossing: Websites verplichten elke gebruiker lastig te vallen met vragen of cookies geplaatst mogen worden, zodat exact bekend is welke cookies geplaatst worden, door wie, en met welk doel.
- De gebruiker: Ik wil niet op elke site lastiggevallen worden met deze vragen. Dit is een ramp voor mijn gebruikerservaring.
- De EU: Pech, wij hebben aan onze plicht voldaan. Doe het er maar mee.

De huidige situatie heeft de gebruikerservaring in een nachtmerrie veranderd. De EU heeft duidelijk niet genoeg nagedacht over de praktische gevolgen van haar regelgeving, waardoor we nu in een situatie zitten waar niemand tevreden mee is. Maar dat betekent niet dat we moeten terugkeren naar de oude situatie, waarin cookies gewoon zonder toestemming werden geplaatst. Dat is ook geen acceptabele oplossing.

Als Coolblue het de klant echt makkelijker had willen maken, hadden ze kunnen stoppen met dataverzameling. Zonder dataverzameling zijn cookies immers niet nodig. Helaas is dat geen realistische optie voor Coolblue of vergelijkbare bedrijven. Het echte probleem ligt telkens opnieuw bij de EU, die blijft worstelen met een kortzichtige visie, gebrek aan praktische kennis en een hardnekkige drang om door te drukken "omdat er iets moet gebeuren", een eigenschap waarin politici, metname in de EU nu eenmaal uitblinken.

[m_snel]

Uw reactie getuigt niet van enig technisch inzicht. Want je kan bijvoorbeeld ook door cookies ingelogd blijven.
Sinds de invoering van deze onzin oplossing voor het probleem klik ik altijd gewoon op alles accepteren.

Het interesseert me helemaal niks dat als ik net een bankstel gekocht hebt dat ik een maand reclame krijg over bankstellen.

Dat de EU het fout aanpakt ben ik dan weer helemaal eens met u, ze zouden gewoon moeten verbieden om gegevens te verzamelen.

Maar ik heb eigenlijk nog weinig goede oplossingen gezien van de EU. Zo hadden we de Windows N versie . Ook z’n succes van de Eu. Niemand kocht dat en zaak was aangespannen door een bedrijf met een media speler die zoveel reclame in je pc stopte dat ze die eigenlijk zouden moeten verbieden.

[Verwijderd]

Uw reactie getuigt niet van enig technisch inzicht.

Bedankt voor de onnodige belediging omdat jij zelf aannames doet en die vervolgens aan mij toeschrijft.

Want je kan bijvoorbeeld ook door cookies ingelogd blijven.

Dit begrijpt iedereen, dat spreekt voor zich. Het probleem ligt niet bij normaal gebruik van cookies, maar bij misbruik ervan. De EU heeft geprobeerd hier iets aan te doen, maar mijn punt is dat ze dit op een ondoordachte manier hebben aangepakt.

Sinds de invoering van deze onzinoplossing voor het probleem klik ik altijd gewoon op alles accepteren.
Het interesseert me helemaal niks dat als ik net een bankstel gekocht hebt dat ik een maand reclame krijg over bankstellen.

Als jij maar gewoon blind altijd alle cookies accepteert en denkt dat het enige risico van alles accepteren een beetje extra reclame is, dan ben je misschien niet degene die opmerkingen moet maken over het gebrek aan technisch inzicht van een ander.

Dat de EU het fout aanpakt ben ik dan weer helemaal eens met u, ze zouden gewoon moeten verbieden om gegevens te verzamelen. Maar ik heb eigenlijk nog weinig goede oplossingen gezien van de EU. Zo hadden we de Windows N-versie. Ook z’n succes van de EU. Niemand kocht dat, en de zaak was aangespannen door een bedrijf met een mediaspeler die zoveel reclame in je pc stopte dat ze die eigenlijk zouden moeten verbieden.

Precies, dat was ook mijn punt. Het zijn beleidsmakers die zich onvoldoende realiseren wat de gevolgen van hun beslissingen zijn.

[Reactie gewijzigd door Verwijderd op 26 december 2024 00:51]

[m_snel]

Dank u voor het bevestigen van uw gebrek aal technisch inzicht. Dat maakt de discussie natuurlijk vrij eenvoudig. Je kan gewoon bij een browser , u weet misschien wel wat dat is, kiezen voor het niet onthouden van cookies en andere randzaken. Maar je kon daarvoor al kiezen om het bijvoorbeeld zelf handmatig of automatisch voor de echte ict’er weg te gooien.

U loopt gewoon op de zaken vooruit, er is tot nu toe weinig gevaar aan die cookies. De resultaten zijn gewoon bedroevend. Wie koopt er nu nog voor vier huizen hetzelfde bankstel.
Geen normaal mens doet dat, tenzij je ze allemaal wil verkopen. En zo ver zijn ze echt niet.

[Verwijderd]

Dank u voor het bevestigen van uw gebrek aal technisch inzicht. Dat maakt de discussie natuurlijk vrij eenvoudig.

Wat een volwassen manier om een discussie te voeren. Je blijft herhalen dat cookies weinig gevaar opleveren, maar onderbouwt dat niet met concreet bewijs of uitleg. Je opmerking over mijn "gebrek aan technisch inzicht" is niet alleen onnodig, maar ook ironisch gezien jij het fundamentele verschil tussen functionele cookies en trackingcookies nog niet eens lijkt te begrijpen.

Je kan gewoon bij een browser , u weet misschien wel wat dat is, kiezen voor het niet onthouden van cookies en andere randzaken. Maar je kon daarvoor al kiezen om het bijvoorbeeld zelf handmatig of automatisch voor de echte ict’er weg te gooien.

Ik hoop oprecht dat je dit als grap bedoelt, want anders sla je hier echt een modderfiguur, als je dat niet al deed.

Het lijkt er meer en meer op dat je het fundamentele probleem gewoon niet begrijpt. Het gaat de EU niet enkel om het plaatsen van cookies, maar om wat er gebeurt met de data die via die cookies wordt verzameld. Het feit dat je cookies verwijdert bij het sluiten van je browsersessie betekent helemaal niet dat de verzamelde data ook verdwijnt. Die gegevens zijn allang opgeslagen op servers en blijven daar staan, onafhankelijk van jouw browserinstellingen.

Het noemen van het verwijderen van cookies als oplossing toont opnieuw aan dat je niet begrijpt hoe dit werkt en wat cookies daadwerkelijk doen. Dit is basiskennis, zeker voor iemand die zichzelf een "ervaren IT'er" noemt. De enige effectieve oplossing aan de gebruikerskant is het voorkomen dat de cookies geplaatst worden, dus blokkeren(niet verwijderen) van cookies door tools zoals Adblockers of Scriptblockers.

U loopt gewoon op de zaken vooruit, er is tot nu toe weinig gevaar aan die cookies.

Nee, de EU heeft deze maatregelen ingevoerd juist omdat er al sinds het ontstaan van cookies een gigantisch probleem mee is. Het feit dat je dit niet weet of erkent, laat ook hier weer zien dat je totaal niet op de hoogte bent van de basisproblemen rondom cookies. Dit is geen nieuw onderwerp, dit speelt al jaren. Even googelen had je deze discussie kunnen besparen.

De resultaten zijn gewoon bedroevend. Wie koopt er nu nog voor vier huizen hetzelfde bankstel.
Geen normaal mens doet dat, tenzij je ze allemaal wil verkopen. En zo ver zijn ze echt niet.

Nog nooit zoveel plaatsvervangende schaamte gevoeld bij het lezen van een reactie. Had mijn advies nou maar opgevolgd, want je schrijven bevestigt keer op keer mijn punt over het maken van opmerkingen mbt technisch inzicht van de ander. Jij bent degene die zich hier laat leiden door een totaal gebrek aan kennis over dit onderwerp.

Om even bij je bankstelvergelijking te blijven: het probleem waar de EU zich op richt, gaat niet over het plaatsen van cookies (zoals het plaatsen van een bankstel), maar over het misbruik van die cookies door derden. Jij koopt een bankstel, en een derde partij levert er een bijzettafeltje bij met verborgen afluisterapparatuur. Die apparatuur verzamelt informatie, bouwt een profiel van jou op, en verkoopt dat door aan schimmige partijen zonder jouw toestemming. Precies dát probeert de EU te voorkomen door website-eigenaren te verplichten transparant te zijn over welke cookies ze plaatsen en waarvoor.

Veel websites plaatsen echter nog steeds dubieuze cookies, maar vragen nu vooraf de eindgebruiker om toestemming. En mensen zoals jij, klikken gewoon blindelings op "alles accepteren" en stemmen er zo zelf mee in dat louche bedrijven je data mogen gebruiken en doorverkopen.

Je lijkt werkelijk geen idee te hebben wat een cookie precies is en roept dat het alleen gaat om het opslaan van je voorkeuren op een website. Dat is echt een enorme misvatting. Misschien is het verstandig om je eerst goed te verdiepen in een onderwerp voordat je zulke uitspraken doet in een poging de ander de maat te nemen.

[Reactie gewijzigd door Verwijderd op 26 december 2024 17:36]

[HenkEisDS]

Besluit
De Autoriteit Persoonsgegevens:
- verklaart het door Coolblue B.V. gemaakte bezwaar gegrond;
- herroept het besluit van 11 januari 2024 met kenmerk [VERTROUWELIJK];
- legt aan Coolblue B.V. een bestuurlijke boete op van € 40.000,00 (zegge: veertigduizend euro) voor
het overtreden van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met
artikel 6, eerste lid, van de AVG.