AP onderzoekt twee organisaties om misleidende cookiebanner

De Autoriteit Persoonsgegevens (AP) is een onderzoek begonnen naar de websites van twee organisaties die een misleidende cookiebanner blijven gebruiken. De privacytoezichthouder had deze partijen eerder al gewaarschuwd en uitgelegd wat er mis was met hun banner, maar de aanpassing bleef uit. De namen van de betrokken organisaties heeft de AP niet vrijgegeven.

Volgens de toezichthouder ontbreekt in de cookiebanner van beide organisaties een direct zichtbare knop waarmee bezoekers trackingcookies kunnen weigeren. Daardoor zullen bezoekers volgens de AP sneller geneigd zijn om trackingcookies te accepteren dan om ze te weigeren.

De AP benadrukt dat het voor internetgebruikers net zo gemakkelijk moet zijn om trackingcookies te weigeren als om ze te accepteren. Cookiebanners moeten daarom naast een knop om te accepteren ook een direct zichtbare weigerknop hebben. Wie geen gelijkwaardige keuze krijgt, kan niet echt vrij beslissen over het plaatsen van trackingcookies.

Waarschuwingen aan ongeveer honderd organisaties

Sinds 2024 onderzoekt de AP cookiebanners op websites. In de afgelopen maanden heeft de toezichthouder ongeveer honderd organisaties laten weten dat hun cookiebanner niet aan de eisen voldoet. Daarbij gaat het onder meer om bedrijven en instellingen in de mediasector, de sector zorg en welzijn en de verzekeringsbranche.

Na een waarschuwing krijgen organisaties de tijd om hun banner aan te passen. Volgens de AP doet het merendeel dat ook: ongeveer zeventig procent van de aangeschreven organisaties heeft de verkeerde cookiebanner inmiddels aangepast. Wie weigert om iets te veranderen, kan volgens de toezichthouder een onderzoek en uiteindelijk een boete tegemoet zien. De stap naar een formeel onderzoek, zoals nu bij twee organisaties is gezet, is daarmee een volgende fase in de handhaving.

Boete voor Kruidvat als voorbeeld

Dat de AP niet alleen dreigt maar ook daadwerkelijk beboet, bleek eerder bij Kruidvat. In 2024 kreeg het bedrijf een boete van 600.000 euro opgelegd vanwege trackingcookies. Een jaar later werd dat bedrag verlaagd naar 50.000 euro.

De zaak laat zien dat de toezichthouder het plaatsen van trackingcookies zonder geldige toestemming serieus neemt, maar ook dat de hoogte van een boete in een latere fase nog kan veranderen. Voor organisaties die hun cookiebanner nog niet op orde hebben, is dat een signaal dat uitstel op termijn geld kan kosten.

Waarom een weigerknop zo belangrijk is

Trackingcookies verzamelen gegevens over het surfgedrag van bezoekers, bijvoorbeeld om advertenties te personaliseren of om bezoekers door verschillende websites heen te volgen. Voor het plaatsen van zulke cookies is toestemming nodig. Die toestemming is alleen geldig als bezoekers een echte keuze hebben en niet worden gestuurd richting de acceptatieknop.

Een banner waarin accepteren prominent in beeld staat terwijl weigeren verstopt zit achter meerdere klikken of een minder opvallende link, ondermijnt die vrije keuze. De AP houdt daarom vast aan de regel dat beide opties even duidelijk en even eenvoudig bereikbaar moeten zijn. Organisaties die hun banner aanpassen, doen er goed aan om niet alleen de knop zelf onder de loep te nemen, maar ook de kleur, de tekst en de plaatsing van de keuzemogelijkheden.

Voor bezoekers betekent het onderzoek dat de komende periode meer websites hun cookiebanner zullen aanpassen. Wie een banner tegenkomt zonder duidelijke weigerknop, kan daarover een klacht indienen bij de Autoriteit Persoonsgegevens. De toezichthouder gebruikt zulke signalen mede om te bepalen welke websites nader onderzoek verdienen.