AP waarschuwt 50 organisaties om 'misleidende' cookiebanner

De Autoriteit Persoonsgegevens waarschuwt deze week vijftig organisaties vanwege hun 'misleidende' cookiebanner. De organisaties moeten die banner aanpassen of 'stoppen met het indringend volgen van hun bezoekers'. Doen ze niets, dan lopen ze een 'groot' risico op een boete.

De Nederlandse toezichthouder zegt dat het een eerste batch is van in totaal vijfhonderd organisaties die de Autoriteit Persoonsgegevens elk jaar wil waarschuwen. De AP geeft verder niet veel details over de organisaties, zoals om welke het gaat, maar wel dat het webwinkels, mediabedrijven en verzekeraars betreft. De toezichthouder zegt constant tienduizend Nederlandse websites te analyseren en daaruit organisaties te selecteren die 'waarschijnlijk' de wet overtreden met hun cookiebanner.

De getroffen organisaties worden deze week per brief gemaand de banner aan te passen of te stoppen met het 'indringend' volgen van de bezoekers. De toezichthouder geeft ook informatie over hoe het wel moet en nodigt de organisaties uit voor een informatiesessie bij de AP op kantoor. Organisaties die binnen drie maanden niets doen, worden door de Autoriteit Persoonsgegevens onderzocht. Hierna kan een boete volgen. De Autoriteit Persoonsgegevens zei vorige week nog dat in 2024 vijf organisaties hun cookiebanners aanpasten na onderzoek van de toezichthouder.

Reacties (82)

[scramados]

Voor iedereen die cookie popups zat is raad ik de consent o matic addon aan.
In de addon kan je aangeven waar je mee akkoord wil gaan. Daarna wordt dat bij de meeste sites automatisch ingevuld.
Het wordt ook nog eens ontwikkeld door een Deense universiteit en niet een bedrijf dat er geld voor zal vragen.
https://consentomatic.au.dk/

[Reactie gewijzigd door scramados op 16 april 2025 11:52]

[passer]

Wat is het verschil met de addon 'I don't care about cookies' - die het bij mij heel goed doet ?

[scramados]

Die addon accepteert standaard alle cookies. Consent o magic laat je instellen waar je akkoord mee wil gaan.

[passer]

OK, got it - maar ik heb mijn systeem wel ingesteld dat alle cookies en websitegegevens worden verwijderd bij het afsluiten van FF (behalve degene die ik wil behouden)
Maakt het dan nog verschil uit?

[R4gnax]

Ja. Want je geeft met de "I don't care about cookies"-addon nog steeds volledig toestemming voor de verwerking van je gegevens voor alle voorgestelde doeleinden. Dat hoeft niet alleen gekoppeld te zitten aan cookies. Die add-on kan ook zonder dat je het zelf echt gezien hebt, uit jouw naam toestemming gegeven hebben om bijv. ingevulde adres- of contactgegevens, zoals je die bij het plaatsen v/e bestelling op een e-commerce site zou verstrekken, ook voor andere doeleinden te mogen gebruiken. En vervolgens krijg je spam van 20 ad-tech boeren.

[scramados]

Daar weet ik het antwoord niet op.
Ik gebruik voor het idee liever een addon die op nee klikt. Dus ik zou zeggen probeer het uit en als het minder goed werkt kan je altijd terug naar ‘I don’t care’

[The Zep Man]

Jouw oplossing:
Tracking via optionele cookies in een enkele sessie.

Consent-O-Matic:
Geen tracking via optionele cookies.

[Ryunoru]

Juist dan zou een dergelijke addon handig voor je zijn, omdat je anders teeeeelkens weer die popup moet wegklikken op elke site.

[Gropah]

Ja. Zo lang als dat je browser draait word je getrackt van pagina naar pagina, omdat je met i dont care about cookies akkoord gaat met die cookies.

[Nas T]

Ik denk van wel. Je voedt namelijk het rotte systeem met de enkele sessie cookies.

[Wouterie]

In most cases, it just blocks or hides cookie related pop-ups. When it's needed for the website to work properly, it will automatically accept the cookie policy for you (sometimes it will accept all and sometimes only necessary cookie categories, depending on what's easier to do). It doesn't delete cookies.

Als ik het goed lees dan accepteert I don't care about cookies niet 'blind' alle cookies maar wordt er gekeken naar de functionaliteit van de website. Ik ken Consent-O-Matic ook maar wat betreft het functioneel kunnen blijven browsen viel het me wat tegen.

[Room42]

Even los van het antwoord: "I don't care about cookies" is nu van een commercieel bedrijf. Dan kun je beter de fork "I still don't care about cookies" gebruiken:

Why fork?
This extension has been acquired by Avast (which itself has been acquired by Gen Digital Inc., a large tech conglomerate) and I simply don't trust Avast with my data. Additionally, having it on GitHub allows us to improve the code and add support for websites faster.

[Reactie gewijzigd door Room42 op 15 april 2025 17:15]

[passer]

Dank je, 'k ga hem vervangen !

[nicolaasjan]

Wordt niet meer onderhouden sinds 3 januari 2024...

[kozue]

De vraag blijft dan natuurlijk waarom een bedrijf achter een browser extensie die alleen iets lokaal met je website doet überhaupt data moet verzamelen. Zo’n extensie heeft toch geen cloud data nodig?

[Annihlator]

I dont care about cookies geeft eigenlijk gewoon consent, want "het boeit je niet".

[iAR]

Niet die add-on maar welke dan ook: je hebt dan eens in de zoveel sites een website die gewoon niet werkt. En dat is heel frustrerend.
Consent-o-Matic ondersteunt niet alles, maar welke cookie systemen hij ondersteunt werkt het echt vlekkeloos. Fantastische plugin.

Daarnaast blokkeer ik gewoon alle trackers en advertentieplatforms, dus ik neem dan voor de paar cookie banners die ik tegenkom maar voor lief dat ik direct op de accepteren knop druk. Ik heb een schuft hekel aan die banners, zeker van sites die er ook nog creatief mee willen doen (hema, coolblue).

[Llopigat]

Ja ik gebruik die ook alleen hij werkt niet eens bij die van de DPG die op tig sites voorkomt Als het nou om een of andere obscure site ging die een eigen cookiewalletje heeft, okee. Maar zowat elke nederlander komt wel met DPG sites in aanraking.

Maar ik heb wel Firefox dus wellicht heb ik het probleem dat @JanVQ noemt, dat hij niet goed werkt op Firefox. Ik gebruik eigenlijk nooit chrome-achtige browsers behalve op mijn werk waar we Edge moeten gebruiken

Het is een beetje irritant omdat DPG steeds hun "partners" verandert en dan moet de hele cookiewall weer. Nouja het *hoeft* niet want ze kunnen ook je nee van de vorige keer gewoon honoreren, het is immers verplicht een opt-in principe. Maar ze kiezen er voor om het wel te doen.

[Reactie gewijzigd door Llopigat op 16 april 2025 05:18]

[scramados]

Ik gebruik zelf alleen tweakers van DPG dus daar ben ik nog niet tegen aan gelopen.
Als ik er binnenkort tijd voor heb zal ik eens kijken of ik de DPG popup aan de addon toe kan voegen

[Llopigat]

Oh jij maakt hem? Bedankt voor het werk!

[scramados]

Nee ik maak ‘m niet hoor.
De sources zijn open en de regels staat in een los json bestand. Je kan dus een pr maken om de basis lijst uit te breiden of een losse regel lijst toevoegen.
Ik zie nu zelfs dat er al een dpg regel is maar die lijkt niet goed te werken.

[Reactie gewijzigd door scramados op 16 april 2025 11:35]

[JanVQ]

Ik had deze ook, maar heb er eigenlijk nooit veel van gemerkt dat het werkte. Op de add-on-pagina lees ik nu waarom dat is:

While this works great on chrome, it does not really work in firefox. Mainly because the code states chrome.runtime. for the firefox version - should be browser.runtime.

Ik heb het niet geverifieerd, maar waarschijnlijk is dat de reden waarom mijn LibreWolf er zo weinig mee leek te doen. Toch maar eens die "I don't care" proberen dan, want ik begin er genoeg van te krijgen om telkens weer Instellen > Alles weigeren te klikken.

[PdeBie]

Mag ik wil nergens akkoord mee gaan. Dus ik geef geen consent.

[david-v]

Dus geef je in consentomatic aan dat je nergens consent voor geeft. Ik heb ook alles uit staan

[pOZOR jED]

Mooi dat ze hier achteraan gaan!
De ellenlange lijsten met 100+ "partners" waar je bij sommige langs moet scrollen... steeds vaker klik ik sites om deze reden gewoon weg! En het is dat Tweakers op zich goed nieuws biedt, maar ook hier is de cookie pagina een doorn in het oog!

[Cyberpuppy]

Ik had er laatst zelfs een waar ik elke "partner" individueel moest uitvinken. Ben maar weer vertrokken zonder iets te kopen

[pOZOR jED]

En dat terwijl er "een eenvoudige manier om alles te weigeren" moet zijn.
Dat is helaas niet verplicht ene knop "stik in je koekjes!", maar mag ook met een klik per categorie zijn.
Elke partner individueel aan moeten vinken zou daarmee dus niet mogen.

[Annihlator]

Eigenlijk zijn ze wel verplicht om de alles-nee en alles-ja optie net zo bereikbaar te maken.
Er is zelfs bijvermeld dat dark patterns (zoals het opvallender plaataen of kleuren van zon knop, of bij de meest beboetbare voorbeelden, tekst, van de ene keuze boven de ander.)

Interessant bijgevolg hierbij is dat een andere tactiek:
"Ja, track mij maar de moeder" of
"Nee ik betaal" al helemáál niet mag (motorsport.com en meerdere nieuwspaginas)

Ik heb ook voorbeelden van nieuwssites die tijdens de cookiewall nog een stukje content laten zien, en zelfs na het toegeven van toestemming dat stuk content vervolgens afdekken met een abbonementsafdwang; ik heb de toestemming allicht gegeven vanuit de overweging dat ik toegang tot het artikel zou krijgen, als ik vooraf de abbonementsmelding had gezien had het al meteen basta geweest, maar nu hebben ze alsnog mn toestemming binnen en achteraf (goh toevallig) blijkt die moeilijker in te trekken.

Deze partijen weten DONDERSGOED hoe het beter hoort, psychologische manipulatie kunnen ze immers wel toepassen, dus het lezen en interpreteren van heldere wetstaal ook, m.i.
Het is malicious malcompliance, want ze weten dondersgoed hoe ze non-compliant zijn. Daar is zelfs extra moeite ingestoken. (Vrij vertaald: anders hadden die opties net-zo selecteerbaar en hetzelfde gestijld geweest, dat niet doen is een bewuste keuze geweest in het designproces.)

[Reactie gewijzigd door Annihlator op 15 april 2025 19:34]

[SJCE]

Het enige dat helpt is de bedrijven die dus geen consent hebben gekregen te verplichten om alle verzamelde data terug te halen en te vernietigen, over de hele keten. En waarom schrijft de AP geen 50000 bedrijven aan, ipv 50? Dit wijst er op dat AP onvoldoende automatisering toepast

[Sando]

En waarom schrijft de AP geen 50000 bedrijven aan, ipv 50?

nieuws: Autoriteit Persoonsgegevens krijgt opnieuw niet budget waar zij om vr...

[SJCE]

Ja, deze regering is extreem slecht voor Nederland, maar dat wisten we al langer

[Croga]

En dat terwijl er "een eenvoudige manier om alles te weigeren" moet zijn.
Dat is helaas niet verplicht ene knop "stik in je koekjes!", maar mag ook met een klik per categorie zijn.
Elke partner individueel aan moeten vinken zou daarmee dus niet mogen.

Nee, het mag dus geen klik per categorie zijn. Weigeren van *alles* zou net zo eenvoudig moeten zijn als accepteren van alles. Een klik per categorie is dat niet en daarmee dus verboden.
Daarnaast moet accepteren en weigeren op hetzelfde scherm staan. weigeren per categorie zit doorgaans op een doorklik scherm.

De richtlijnen laten eigenlijk maar heel weinig ruimte voor interpretatie. Zo'n beetje het enige wat toegestaan is is "Wij plaatsen cookies --accepteren-- --weigeren--" en dan ook nog eens geen verschil tussen die twee knoppen.

[iAR]

Drie knoppen: accepteren, minimaal, niets. In dezelfde kleuren en font grootte. En dan het liefst ondersteuning van consent-o-matic, zodat ik nooit maar dan ook nooit meer die onzin hoef te kiezen.

[Vinny_93]

Wat voor mij een instant 'ik kijk wel ff ergens anders' is, is wanneer je doorklikt op de cookiebanner om alles te weigeren en dan vervolgens wordt geredirect naar de homepage in plaats van de link die je wou bezoeken.

[brinkdinges]

Jup, ik klik dit soort sites ook steeds vaker weg. Ik ga wel naar het volgende zoekresultaat. Ik hoop dat meer mensen dit gaan doen en dat website dit merken in hun stats.

[SuperDre]

Juist, het moet verplicht worden om 3 knoppen te hebben, 'accept all', 'reject all' en 'configure'. Maar steeds vaker is het bij 'reject all' (of zelf alles handmatig uitschakelen) dat er een hoop gewoon niet getoond wordt dan, dus vergelijkbaar met een paywall.

[gr0bi]

Klopt. Ik kan stellen dat bepaalde video services dan niet meer werken want third party cookie en niet necessary dus geen mooi filmpjes voor de gebruiker.

[cbr600f4i]

Hoe moeilijk is het voor de EU of welke overheid dan ook om het systeem eens om te draaien. Opt Out standaard, alles weigeren standaard, en wie het leuk vindt om cookies te krijgen mag losgaan op de vinkjes. Dit is toch de grootste klantonvriendelijke onzin in de wereld van technologie die er maar te verzinnen is.

[Reactie gewijzigd door cbr600f4i op 15 april 2025 17:15]

[Annihlator]

Ze moeten idd een boel van de "adviezen" omgooien naar dwang. En als een bedrijf het na de aanmaning en 3-6mnd onderzoek nog steeds niet op orde heeft, wordt het tijd dat entiteiten zoals een AP een domeinblokkade op mogen leggen; niets zou zo veel marketingschade berokkenen, en dus aanzetten tot proactiviteit, als zon dwangmaatregel; dan proberen ze dat risico zeker niet zo makkelijk meer op te zoeken, wed ik.

[R4gnax]

Hoe moeilijk is het voor de EU of welke overheid dan ook om het systeem eens om te draaien. Opt Out standaard, alles weigeren standaard

Dat is al bij wet de standaard, waar er van toestemming als verwerkingsgrondslag gebruik gemaakt wordt.

[Dann74]

Ik hoop dat sites die de banner "Akkoord, ik ben onder 24 / Akkoord, ik ben ouder dan 24 / Instellingen" tonen ook keihard aangepakt worden, dat is echt het toppunt van misleiding

[lodu]

Die 24 heeft te maken met gokadvertenties.

[Martinez-]

En daarom is het misleiding.

Ik ben al ruim de 24 gepasseerd, maar geef toch echt aan dat ik onder de 24 ben. Het is dus misleiding omdat de vraag eigenlijk zou moeten zijn: 'wil je al deze misselijkmakende gokadvertenties zien?' Met daaronder ja of nee als antwoord.

[kodak]

Verleidende advertenties zijn niet zomaar misleidend. Maar zelfs al zijn ze dat wel, daar gaat deze cookiewet niet om.

En dat iedere gebruiker een onjuist antwoord kan verstrekken is ook niet waar de cookiewetgeving en deze handhaving om gaat.

Wat wel zou kunnen is dat de vraag niet duidelijk genoeg is om de reacties te mogen verwerken. Bijvoorbeeld omdat er op geen enkele manier duidelijk is waarom men naar de leeftijd vraagt en wat men daar verder afhankelijk van het antwoord precies wel of niet mee gaat doen.

[Annihlator]

Ze dwingen je echter ermee af een extra persoonlijk gegeven af te geven, voor targeted tracking wat zowieso niet onder de "legitieme doelen" bepaling valt.
Dus nee, dat excuus is niet afdoende.

Het is echt niet anders als het feit dat als iemand leeftijdscontrole toepast de daadwerkelijke leeftijd ook niet ingezet mag worden voor, ook maar een-ander, doel.

[Reactie gewijzigd door Annihlator op 15 april 2025 19:20]

[kodak]

Er is geen absoluut verbod op vragen om persoonlijke gegevens. Voor legitieme doelen is dat wel degelijk mogelijk. Natuurlijk valt er van mening over te verschillen of het vragen om de juiste redenen is en of men er slechts mee doet waarvoor het wel legaal is.

[Martinez-]

De vraag op zich is toch al misleidend?

'Ben je ouder dan 24 of jonger dan 24?'

Het is een indirecte vraag of je gokadvertenties wil zien. Dat daar een leeftijd aan verbonden is om het legaal te kunnen laten zien is iets anders. De toelichting staat er ook bij, maar met al die cookie walls lees ik amper nog wat erbij staat hoor.

[fenrirs]

Je ziet ze zelfs op wetenschaps en taal sites, ronduit belachelijk

[Sylvia]

Hoelang moet er nog gewaarschuwd gaan worden? Wat mij betreft nu gewoon direct beboeten en flink ook. Er is zat tijd geweest dat bedrijven aanpassingen hebben kunnen maken maar willen ze dat gewoon niet. Wellicht omdat de pakkans al heel erg klein is.

[Annihlator]

Dit ^
Omdat de risico's zo klein zijn doen te veel bedrijven het, genoeg die zelfs en plain-publique durven te verklaren dat hun eigenlijk geen zier interesseert of het mag of niet, want de boetes zijn en te klein en met een te klein risico.

Ook elders geoppert in een andere reactie;
AP moet het recht krijgen partijen die in-gebreke blijken een dns-blokkade op te leggen; dat levert zo veel marketingschade (seo technisch) op dat ze het dan echt wel uit hun kop laten. Of minstens vooraf verheldering zoeken bij de wetgevende partijen in plaats van het bewust voor achteraf te laten.

De "wir haben es nicht gewüsst"-achtige excuusjes moeten ondertussen écht niet meer kunnen.

[Reactie gewijzigd door Annihlator op 15 april 2025 19:26]

[CAPSLOCK2000]

Ik neem aan dat de AP het niet bij brieven gaat laten maar ook gaat controleren of die websites verbeteren. Zo niet zal die boete wel volgen, als ze brieven kunnen sturen dan hebben ze het adres om de boete naar toe te sturen al. Als de eerste boetes zijn uitgedeeld zal de rest vast beter gaan meewerken.

[RoestVrijStaal]

Een boete valt aan te vechten en voor conglomeraten is zo'n boete een lachertje.

Gewoon gelijk een DNS- en Ip-adres-blokkade voor een jaar. Dan is een bedrijf dat het moet hebben van online aanwezigheid gelijk doodverklaard. Dan hadden ze maar de cookiebanner eerder moeten fixen

Of à la Telegram de topmannen van die bedrijven "in gijzeling nemen" totdat de cookiebanner gefixt is.

[Reactie gewijzigd door RoestVrijStaal op 15 april 2025 23:15]

[Sylvia]

Dat is ok een strak plan met die dns/ip blokkade 😉

[Quintiemero]

Ben heel benieuwd hoe die tips eruit zien. AP heeft recentelijk nieuwe informatie geplaatst maar ook dat is nog behoorlijk algemeen. Wss komt erop neer: is er iets van een unieke identifier, dan toestemming.

[THE_BASE]

Ik klik steevast op weigeren, welke site het ook is. Het is overigens wel tijd dat er boetes worden uitgedeeld, want met alleen waarschuwen komen we er natuurlijk niet.

[Luminair]

Ben heel nieuwsgierig of een bedrijf waar ik werk voor heb gedaan hier tussen zit. Die weigerden hun tracking te stoppen, ook als een bezoeker op 'nee' klikte. De claim was dat de tracker in kwestie op grond van 'legitieme interesse' altijd wel aan mocht staan, en dat het "AP toch eerst een waarschuwing geeft en niet meteen een boete geeft". Dus heb ik er melding van gemaakt bij het AP. Één van die bedrijven is een bekend groot IT merk in Nederland.

[brammetje1994]

Welke vorm van tracking (doeleinde) gaat het dan om? Er zijn redenen om gegevens te verwerken die wel degelijk onder legitieme interesse (legitiem belang/legitimate interest) valt. Wel vergeten veel organisaties en bedrijven dat er bij legitiem belang nog altijd informeren voorafgaand aan het starten van de verwerking en een mogelijkheid te geven om bezwaar te maken (essentieel een opt-out) toch echt noodzakelijk is vanuit de AVG.

Het grootste probleem is wat je dan krijgt; cookiebanners met implementaties zoals die van het TCF framework waarbij je per organisatie of doel het legitieme belang moet uitzetten wat echt een hells karwei is.

[gewoontelefoon]

Ik weet het niet hoor maar bijna alle sites van het moederbedrijf van tweakers had de boel niet op orde. Gemiddeld zijner 90 bedrijven die data van jou verzamelen en doorverkopen. Is gewoon handel. En ze heb en of hadden alles zo anikkieningesteld dat je eigenlijk wel moet toegeven om een cookie te accepteren. Was gewoon een dark patroon.

Mijn vakgebied is SEO en als je in onze groepen hoort en leest hoe de DPG media dames en heren lopen te rotzooien om kliks te hebben voor linkbuilding dan heeft dat niks.meer te maken met journalisten.

Het gaat intern alleen maar om de kliks, dus data, dus money.

Een hele gevaarlijke en niet wenselijke ontwikkeling.

Het zou mooi zijn als er een tool of extensie zou zijn die juist overal op klikt in willekeur zodat de profielen die gebouwd worden niet meer kloppen, dan haken adverteerders af want er is een slecht resultaat aan een campagne.

[Sleurhutje]

Het niet toelaten van de "third party" cookies scheelt al heel veel. Tracking is veelal op basis van domainless cookies die vanaf elke willekeurige domeinnaam geplaatst en gelezen kunnen worden. Door de verplichting de domeinnaam van de site die wordt weergegeven te koppelen aan een cookie is uitlezen vanaf een andere site niet zomaar mogelijk.

Fijne is dat veel websites gelijk gaan piepen dat je een ad-blocker gebruikt. Lachwekkend en daarmee vallen ze gelijk door de mand dat ze ook bij weigeren van cookies nog steeds tracking gebruiken.

[Wereldreiziger]

Nvm

[Reactie gewijzigd door Wereldreiziger op 15 april 2025 20:39]

[brammetje1994]

Dat klopt tot in zekere hoogte, maar een ad-blocker is niet per definitie een tracking blocker. Je kan prima de verwerking van gegevens voor advertenties beperken en nog steeds advertenties zien.