Een banner is geen toestemming
De banner is de interface. Toestemming is de vastlegging erachter — vrij gegeven, specifiek, geïnformeerd en intrekbaar. Een site kan een prachtig gebouwde banner draaien en toch geen geldige toestemming bezitten, en daarom is “we hebben een cookiebanner toegevoegd” geen antwoord op “voldoen we aan de regels”.
Die vastlegging moet vier dingen aantonen: wie toestemming gaf, waarmee die persoon akkoord ging, wanneer, en tegen welke versie van je cookielijst. Als je dat voor een bepaalde bezoeker niet kunt laten zien, heb je een banner en verder niets.
De checklist
Vijf punten, elk van buitenaf te controleren zonder in de code te kijken, in ongeveer vijf minuten.
Er gaat niets niet-essentieels als eerste af. Analytics, advertenties en embeds van derden mogen niet laden zolang er geen keuze is gemaakt. Op dit punt gaan de meeste sites de mist in, omdat de tag er eerder stond dan de banner.
Weigeren is precies even makkelijk als accepteren. Zelfde scherm, zelfde aantal klikken, vergelijkbaar visueel gewicht. Een opvallende “Alles accepteren” naast een gedempte “Voorkeuren beheren” is de standaardfout.
Categorieën zijn fijnmazig en niets staat vooraf aangevinkt. Analytics, functioneel en marketing zijn afzonderlijke beslissingen, en elke niet-essentiële schakelaar staat standaard uit.
Intrekken is even makkelijk als geven. Een vaste knop die de keuze opnieuw opent — geen e-mailadres, geen supportformulier.
De keuze wordt opgeslagen en geversioneerd. Als je cookielijst wezenlijk verandert, dekt toestemming die tegen de oude lijst is verzameld het nieuwe doel niet langer.
De patronen die de toestemming die je verzamelde ongeldig maken
Toezichthouders zijn uitgekomen op een kort lijstje, en elk punt daarop verandert een verzamelde “ja” in helemaal geen toestemming.
Weigerknoppen met weinig contrast of ver weggestopt. Vooraf aangevinkte vakjes, inclusief schakelaars voor gerechtvaardigd belang die standaard aanstaan. Cookiemuren waarbij weigeren betekent dat je er niet in komt, terwijl er geen gelijkwaardig alternatief wordt geboden. Bij elke paginaweergave opnieuw vragen tot de bezoeker toegeeft. En toestemming die is samengevoegd met het accepteren van de voorwaarden, zodat akkoord gaan met het gebruik van het product ook akkoord gaan met tracking betekent.
De toets onder al die gevallen past in één zin: als de interface nee duurder maakt dan ja, is die ja niet vrij gegeven.
Wat er met je analytics gebeurt als iemand weigert
Twee verschillende dingen worden hier met dezelfde naam aangeduid. Toestemmingssignalering houdt de tag op de pagina en vertelt hem dat toestemming is geweigerd, waarna hij cookieloze pings verstuurt en de leverancier het gat modelleert. Niet verzamelen betekent dat het verzoek nooit plaatsvindt.
Allebei zijn verdedigbaar, ze zijn niet gelijkwaardig, en het verschil duikt op in je cijfers. Gemodelleerd verkeer is een schatting die zich voordoet met de stelligheid van een meting, en in een sessie waarin toestemming is geweigerd is het een schatting die op heel weinig is gebouwd. Als je liever cijfers hebt waarmee je iets kunt dan cijfers die er compleet uitzien, kies dan voor meten waarvoor nooit toestemming nodig was — geaggregeerd, cookieloos, zonder identificator die sites overstijgt — en laat de geweigerde sessies eerlijk ontbreken.
GDPR en CCPA stellen niet dezelfde eis
GDPR is opt-in: geen niet-essentiële cookie vóór toestemming, en zwijgen geldt als weigeren. CCPA en CPRA werken meer als opt-out: verzamelen mag beginnen, maar de bezoeker moet het te horen krijgen en moet de verkoop of het delen van zijn gegevens kunnen stoppen, wat in de praktijk de meeste advertentie-integraties omvat.
Een banner die alleen voor Californië is gebouwd, zakt in Europa. Een banner die voor GDPR is gebouwd voldoet doorgaans aan beide, en daarom is dat de verstandige basis voor elke site die verkeer uit meer dan één regio ontvangt.
Controleer die van jou in vijf minuten
Open de site in een privévenster met de devtools op het tabblad Netwerk. Wis de opslag, laad de pagina en doe verder helemaal niets. Elk verzoek naar een derde partij dat verschijnt voordat je klikt, is er één die je niet kunt verantwoorden. Kies daarna weigeren, herlaad de pagina en controleer of de lijst leeg blijft en de keuze de herlaadbeurt heeft overleefd.
Als je liever begint met iets wat de test al doorstaat: de gratis generator voor cookietoestemmingsbanners levert een banner op waarin het weigerpad, fijnmazige categorieën en een geversioneerde vastlegging al zitten ingebouwd.