01
De banner
Veel websites tonen een cookiebanner met de knoppen “Accepteren” en “Weigeren”.
COOKIECOMPLIANCE
Toestemming moet werken, niet alleen zichtbaar zijn.
Vóór de keuze, bij accepteren, bij weigeren en bij intrekken.
01 / 08De banner
Een website vraagt toestemming voor cookies
De banner biedt de keuze tussen accepteren en weigeren. De vraag is of de website respecteert wat de bezoeker kiest.
02 / 08Vóór de keuze
De tracking begint vóór het antwoord
De bezoeker heeft nog nergens op geklikt en er staan al trackingcookies in zijn browser.
03 / 08De weigering
Weigeren verandert niets
De bezoeker klikt op “Weigeren”, de banner sluit en de trackingcookies staan er nog steeds. De banner wordt getoond, maar werkt niet.
04 / 08De regel
Toestemming komt vóór de cookies
Artikel 11.7a van de Telecommunicatiewet vereist duidelijke informatie en toestemming voordat informatie op het apparaat van de gebruiker wordt opgeslagen of uitgelezen, behalve bij de wettelijke uitzonderingen. De Autoriteit Persoonsgegevens (AP) vraagt dat weigeren op dezelfde laag staat als accepteren, zonder extra klikken.
05 / 08De test
Drie schone bezoeken aan dezelfde site
We openen de website in drie onafhankelijke sessies, zonder sporen van eerdere bezoeken: één om te accepteren en de toestemming daarna in te trekken, één om te weigeren en één om de voorkeuren aan te passen.
06 / 08De inventaris
We houden in de gaten wat er bij elke stap verschijnt
Vóór de keuze, na elke handeling en na het herladen van de pagina leggen we de cookies, de lokale opslag en de netwerkverzoeken vast. We scheiden de noodzakelijke cookies van de trackingcookies en van de cookies waarvan het doel nog moet worden bepaald.
07 / 08Het bewijs
Elk bezoek wordt vastgelegd
We bewaren screenshots, video, een netwerklog en een tijdlijn van elke sessie, in ondertekende bestanden die een derde partij kan verifiëren.
08 / 08Het resultaat
Reproduceerbare bevindingen
Het rapport vermeldt wat er bij elke stap is waargenomen, zodat uw team de banner kan corrigeren of een leverancier kan beoordelen. Het is technisch bewijs van één concreet bezoek. Een derde partij kan het verifiëren en de test herhalen; de juridische beoordeling ervan is aan de bevoegde autoriteit, een rechter of een deskundige.
Toestemming moet werken, niet alleen zichtbaar zijn.
Beschrijving van elke scène
- Een website vraagt toestemming voor cookies. De pagina van een willekeurige website gaat open en onderaan verschijnt de banner “Deze site gebruikt cookies” met twee even grote knoppen, “Accepteren” en “Weigeren”, verbonden door een isgelijkteken. Rechts een aangebeten koekje met een vraagteken en de vraag “Wordt de keuze gerespecteerd?”.
- De tracking begint vóór het antwoord. De banner staat nog open en de cursor heeft op geen van beide knoppen geklikt. Rechts gaat het paneel “Cookies in de browser” open en verschijnen een voor een drie cookies: “ads_uid”, “ad_click” en “retarget_id”, elk met het rode label “Tracking”. In de browserbalk lichten drie rode stippen op. Een rode teller toont “Vóór de keuze” en “3 trackingcookies”, en een tijdlijn plaatst “Tracking actief” vóór “Nog geen keuze”.
- Weigeren verandert niets. De cursor klikt op “Weigeren” en de banner sluit. In het paneel “Cookies in de browser” blijven de drie trackingcookies staan, rood omkaderd, en een pijl wijst naar buiten met het opschrift “Verzoeken aan derden”. Daaronder staan twee kaarten tegenover elkaar, gescheiden door het teken “is niet gelijk aan”: “Wat is gekozen”, met de knop “Weigeren”, en “Wat er gebeurt”, met drie cookies in het rood.
- Toestemming komt vóór de cookies. Twee kaarten: “Toestemming vooraf”, met de verwijzing “Telecommunicatiewet, art. 11.7a”, en “Weigeren even makkelijk als accepteren”, met de verwijzing “Vuistregels AP”. Daaronder twee voorbeeldbanners: één met even grote knoppen “Accepteren” en “Weigeren”, met de aantekening “Gelijkwaardige opties” en een vinkje; en één met een grote knop “Accepteren” en een kleine, nauwelijks zichtbare knop “Weigeren”, met de aantekening “Weigeren verstopt” en een kruis.
- Drie schone bezoeken aan dezelfde site. De pagina wordt opnieuw geladen, met de banner, en de vuurtoren van VigiaLabs werpt er een lichtbundel op. Rechts drie banen, één per sessie: “Accepteren en intrekken”, “Weigeren” en “Aanpassen”. In elke baan lichten de controlepunten een voor een op.
- We houden in de gaten wat er bij elke stap verschijnt. In het licht van de vuurtoren loopt een scanlijn over de pagina. Rechts wordt een tabel gevuld met de kolommen “Noodzakelijk”, “Tracking” en “Nog te bepalen” en de rijen “Vóór de keuze”, “Na accepteren”, “Na weigeren” en “Na intrekken”. Elke rij toont één noodzakelijk cookie en één cookie waarvan het doel nog te bepalen is; in de eerste drie rijen staan drie trackingcookies en na intrekken geen enkele. De trackingcookies bij “Vóór de keuze” en “Na weigeren” zijn rood gemarkeerd.
- Elk bezoek wordt vastgelegd. Hoekmarkeringen kaderen de pagina in en een flits geeft de opname aan. Rechts gaat een map open met de titel “Dossier” en vier bewijsstukken: “Screenshot”, “Video”, “Netwerklog” en “Tijdlijn”. Daaronder verschijnt, naast de vuurtoren, het zegel “Ondertekend manifest”.
- Reproduceerbare bevindingen. Een document met de titel “Rapport” toont vier regels: “Vóór de keuze”, met een kruis; “Na accepteren”, met een vinkje; “Na weigeren”, met een kruis; en “Na intrekken”, met een vinkje. Daarna is de gecorrigeerde pagina te zien: de cursor klikt op “Weigeren”, de banner sluit, de rode stippen in de browserbalk doven en in het paneel “Cookies in de browser” blijft alleen “consent_choice” over, met het label “Noodzakelijk”. De teller is niet langer rood en toont “Na weigeren” en “0 trackingcookies”.
IN HET KORT
Cookiebanners die wel worden getoond, maar de keuze niet respecteren.
Een banner biedt de mogelijkheid cookies te weigeren, maar de website respecteert die keuze mogelijk niet. We bekijken de informatie en testen gedrag vóór de keuze, na acceptatie en na weigering, binnen het kader van artikel 11.7a van de Telecommunicatiewet en waar van toepassing de AVG.
02
Vóór de keuze
Op sommige worden trackingcookies opgeslagen voordat de bezoeker heeft gekozen.
03
De weigering
Op andere blijven ze staan, ook als de bezoeker op “Weigeren” klikt.
04
De regel
De wet vereist toestemming voordat cookies worden gebruikt, op enkele uitzonderingen na, zoals cookies die strikt noodzakelijk zijn.
05
De test
VigiaLabs bezoekt de website, probeert elke knop uit en noteert welke cookies er bij elke stap verschijnen.
06
Het bewijs
VigiaLabs bewaart het bewijs in ondertekende bestanden en levert een rapport. Dat is geen juridisch certificaat.
ZO WORDT HET GETEST
Vier stappen, van bezoek tot rapport.
Reproduceerbare bevindingen om technische en privacyteams te helpen verbeteringen te prioriteren.
Momenten die worden vastgelegd
- Vóór de keuze
- Na accepteren
- Na weigeren
- Na intrekken
Technisch bewijs, geen certificaat
Het is technisch bewijs van één concreet bezoek. Een derde partij kan het verifiëren en de test herhalen; de juridische beoordeling ervan is aan de bevoegde autoriteit, een rechter of een deskundige.
- 01
Drie schone bezoeken aan dezelfde site
We openen de website in drie onafhankelijke sessies, zonder sporen van eerdere bezoeken: één om te accepteren en de toestemming daarna in te trekken, één om te weigeren en één om de voorkeuren aan te passen.
- 02
We houden in de gaten wat er bij elke stap verschijnt
Vóór de keuze, na elke handeling en na het herladen van de pagina leggen we de cookies, de lokale opslag en de netwerkverzoeken vast. We scheiden de noodzakelijke cookies van de trackingcookies en van de cookies waarvan het doel nog moet worden bepaald.
- 03
Elk bezoek wordt vastgelegd
We bewaren screenshots, video, een netwerklog en een tijdlijn van elke sessie, in ondertekende bestanden die een derde partij kan verifiëren.
- 04
Reproduceerbare bevindingen
Het rapport vermeldt wat er bij elke stap is waargenomen, zodat uw team de banner kan corrigeren of een leverancier kan beoordelen.
Illustratief voorbeeldVL / CMP
Wat is gekozenDeze site gebruikt cookies
Wat er gebeurtads_uidTrackingad_clickTrackingretarget_idTracking
Cookies en AVG
Een CMP garandeert niet dat een cookiebanner aan de regels voldoet
Een consent management platform (CMP) toont de cookiebanner en bewaart de keuze van de bezoeker. Of die keuze wordt gerespecteerd, hangt af van de manier waarop de CMP is gekoppeld aan elke tag, elke pixel en elk script op de website.
Daarom kan een website met een CMP nog steeds trackingcookies plaatsen voordat de bezoeker accepteert of nadat de bezoeker heeft geweigerd:
- 01tags die buiten de CMP om worden geladen
- 02een standaardinstelling die de toestemming als gegeven beschouwt
- 03scripts van derden die na de installatie zijn toegevoegd
- 04cookies die niet worden verwijderd wanneer de toestemming wordt ingetrokken
Uw voordeelVigiaLabs vervangt geen CMP: in afzonderlijke bezoeken wordt gecontroleerd of de website respecteert wat de bezoeker kiest. Het rapport beschrijft wat is waargenomen; ook het rapport is geen certificaat van naleving.
WOORDENLIJST
De begrippen en de bronnen op een rij.
Elk geval wordt vastgelegd met bronnen en context. De scope wordt per markt bepaald; de verwijzingen op deze pagina betreffen het recht van Nederland.
- Cookie
- Klein bestand dat een website in de browser van de bezoeker opslaat.
- Trackingcookie
- Cookie waarmee het surfgedrag wordt gevolgd voor advertentiedoeleinden, bijvoorbeeld om advertenties te tonen of te meten.
- Noodzakelijk cookie
- Cookie dat onmisbaar is om de dienst te leveren waar de bezoeker om vraagt, bijvoorbeeld om zijn keuze in de banner te onthouden.
- Cookiebanner
- Melding die informatie geeft over cookies en toestemming vraagt om ze te gebruiken.
- CMP
- Consent management platform: een hulpmiddel dat de cookiebanner toont en de keuze van de bezoeker bewaart.
- Schone sessie
- Bezoek met een browser zonder cookies of gegevens van eerdere bezoeken.
- Artikel 11.7a Telecommunicatiewet
- Wetsartikel dat duidelijke informatie en toestemming vereist voordat informatie op het apparaat van de gebruiker wordt opgeslagen of uitgelezen, behalve bij de wettelijke uitzonderingen.
- AP
- Autoriteit Persoonsgegevens, de toezichthouder die cookiebanners controleert en er vuistregels voor publiceert.
- Ondertekend manifest
- Lijst van de bestanden van een test met hun digitale vingerafdruk en een handtekening, om te controleren dat ze niet zijn gewijzigd.
VEELGESTELDE VRAGEN
Wie toestemming negeert, concurreert met een voorsprong.
Een website die na een weigering blijft volgen, meet en adverteert met gegevens die wie zich aan de regels houdt niet heeft. Dat controleren en vastleggen is de eerste stap om op gelijke voet te concurreren.
Een concurrent plaatst trackingcookies zonder toestemming. Hoe kan ik dat aantonen?
Met een technische test die kan worden herhaald. VigiaLabs opent de website in drie schone sessies: één om te accepteren en de toestemming in te trekken, één om te weigeren en één om de voorkeuren aan te passen. Vóór de keuze en na elke handeling worden de cookies, de lokale opslag en de netwerkverzoeken vastgelegd. Het rapport vermeldt wat er bij elke stap is waargenomen, met screenshots, video en netwerklog in ondertekende bestanden.
Welke regels gelden er in Nederland voor cookies en cookiebanners?
Artikel 11.7a van de Telecommunicatiewet vereist duidelijke informatie en toestemming voordat informatie op het apparaat van de gebruiker wordt opgeslagen of uitgelezen, behalve bij de wettelijke uitzonderingen, zoals strikt noodzakelijke cookies. De Autoriteit Persoonsgegevens (AP) controleert cookiebanners en publiceert er vuistregels voor: weigeren hoort op dezelfde laag te staan als accepteren, zonder extra klikken.
Mijn website heeft al een consent management platform (CMP). Moet de cookiebanner dan nog worden gecontroleerd?
Ja: een CMP garandeert niet dat een cookiebanner aan de regels voldoet. Het platform toont de banner en bewaart de keuze van de bezoeker, maar of die keuze wordt gerespecteerd, hangt af van de manier waarop de CMP is gekoppeld aan elke tag, elke pixel en elk script op de website. Een website met een CMP kan nog steeds trackingcookies plaatsen voordat de bezoeker accepteert of nadat hij heeft geweigerd.
Kan een consumentenorganisatie, een functionaris voor gegevensbescherming (FG) of een privacyteam de test gebruiken?
Ja. Een consumentenorganisatie kan de websites controleren die haar leden gebruiken, zoals die van banken, winkels of dienstverleners; een functionaris voor gegevensbescherming of een privacyteam die van de eigen organisatie en van haar leveranciers. De methode is dezelfde en het rapport beschrijft wat is waargenomen, zodat wie daarover gaat het kan beoordelen.
Kan het rapport dienen als bewijs bij de Autoriteit Persoonsgegevens?
Het rapport bevat technisch bewijs van één concreet bezoek. Een derde partij kan het verifiëren en de test herhalen. De juridische beoordeling ervan is aan de bevoegde autoriteit, een rechter of een deskundige: het rapport is geen certificaat van naleving en geen uitspraak.
LATEN WE VERDER KIJKEN
Een helderder beeld begint
met een gesprek.
Vertel ons wat u wilt volgen. Samen bepalen we een passende aanpak voor uw bedrijf.