Privacybeleid vs cookiebeleid vs cookiebanner

Gebruik dit snelle beslispad:

1. Tel de niet-essentiële tools die je site laadt: analytics, advertentiepixels, chatwidgets, ingesloten video's en testtools.
2. Zijn het er maar een paar en veranderen ze zelden, zet dan een cookiesectie in het privacybeleid.
3. Zijn het er veel, of voegt je marketingteam vaak tags toe, publiceer dan een aparte cookiepagina en link ernaar vanuit zowel het privacybeleid als je toestemmingstool.
4. Wat je ook kiest, noem elke tool consequent bij dezelfde naam en geef gebruikers één duidelijke plek om hun keuzes te wijzigen.

Er is nog een optie die veel kleine sites over het hoofd zien: gebruik minder trackingtechnologieën. Elke tag die je verwijdert, is één vermelding minder om te onderhouden, één toestemming minder om te verzamelen en één leverancier minder om door te lichten. Privacyvriendelijke analyticsinstellingen, zelf gehoste lettertypen en video's die pas na een klik laden, kunnen je cookielijst drastisch inkorten.

Bouw je de site vanaf nul, dan loopt onze gids over hoe je een privacybeleid voor een website maakt het hele proces door, inclusief waar cookie-informatie past.

Een privacybeleid behandelt elke manier waarop je persoonsgegevens verwerkt: formulieren, accounts, aankopen, e-mails, support, analytics, advertenties en meer. Het legt doelen, rechtsgronden, ontvangers, doorgiften, bewaartermijnen en rechten uit.

Een cookiebeleid behandelt een smallere vraag: welke technologieën informatie op het apparaat van een bezoeker opslaan of uitlezen, en waarom. Daaronder vallen:

• HTTP-cookies, zowel first-party als third-party
• local storage en session storage
• trackingpixels en webbeacons
• SDK's en scripts die apparaatidentificatoren uitlezen
• fingerprintingtechnieken

De overlap is groot. De meeste analytics- en advertentiecookies verwerken persoonsgegevens, dus ze horen hoe dan ook in het privacybeleid. Wat een cookiebeleid toevoegt, is detail: afzonderlijke tools of cookienamen, bewaartermijnen en hoe je je keuzes wijzigt.

Het eerlijke antwoord op de vraag privacybeleid of cookiebeleid is dus dat een cookiebeleid meestal een gespecialiseerde uitbreiding van het privacybeleid is, geen afzonderlijk juridisch regime met een eigen documentvereiste. De echte juridische vragen zijn of je informatie volledig is en of je toestemming hebt waar de wet dat vereist.

Niet volgens de wet. De plicht is om duidelijke en volledige informatie te geven die mensen gemakkelijk kunnen vinden. Waar die informatie staat, kies je zelf.

Een sectie binnen het privacybeleid werkt goed als:

• je een handvol tools gebruikt, zoals één analyticsdienst en essentiële sessiecookies
• de cookie-informatie in een korte lijst of tabel past
• je één document wilt onderhouden

Een aparte cookiebeleidspagina werkt beter als:

• je veel tags, pixels of advertentieleveranciers laadt
• de lijst met leveranciers vaak verandert en je die wilt bijwerken zonder het hele privacybeleid opnieuw te publiceren
• je toestemmingstool naar een gedetailleerde cookielijst linkt

Splits je ze, link de twee pagina's dan naar elkaar en gebruik voor elke tool dezelfde naam. Een privacybeleid dat zegt dat je geen advertentiecookies gebruikt, naast een cookielijst met een advertentiepixel, is precies het soort tegenstrijdigheid dat toezichthouders en klachtgevoelige bezoekers opmerken.

Of je daarnaast een cookiebanner nodig hebt, is een andere vraag, die we behandelen in heb je een cookiebanner nodig.

Of het nu een aparte pagina is of een sectie in het privacybeleid, nuttige cookie-informatie behandelt:

1. Wat de technologieën zijn, in gewone taal: cookies, local storage, pixels, SDK's.
2. Categorieën en doelen: strikt noodzakelijk, voorkeuren, analytics, advertenties, en wat elk daarvan echt doet op je site.
3. Wie ze plaatst: je eigen first-party cookies en derden bij naam, zoals een analytics- of advertentieaanbieder.
4. Bewaartermijn: alleen voor de sessie, of hoe lang elk ervan blijft bestaan.
5. Toestemming en keuzes: welke categorieën toestemming vereisen, hoe je accepteert of weigert en hoe je later intrekt.
6. Browserinstellingen: een verwijzing naar de browserinstellingen en eventuele opt-outtools die je echt ondersteunt.
7. Links: naar je privacybeleid voor rechten, rechtsgronden, doorgiften en contactgegevens.
8. Een datum van laatste wijziging.

Een miniatuurvoorbeeld van één vermelding: “Analytics. Onze analyticsaanbieder plaatst cookies die bijhouden welke pagina's zijn bekeken en hoe lang een bezoek duurt, zodat we begrijpen hoe de site wordt gebruikt. Alleen geplaatst met je toestemming. Verloopt na 12 maanden.” Dat is concreet, toetsbaar en eerlijk.

Voor formuleringen per tool, zie privacyinformatie over analytics en de gids over Google Analytics in je privacybeleid.

Deze drie dingen worden vaak door elkaar gehaald:

• Cookiebanner of toestemmingstool: de interface die om toestemming vraagt voordat niet-essentiële technologieën laden en waarmee gebruikers hun keuze later kunnen wijzigen. Het gaat om het gedrag van je site.
• Cookiebeleid of cookiesectie: de schriftelijke uitleg van de technologieën, doelen, aanbieders en bewaartermijnen. Het gaat om informatie.
• Privacybeleid: de volledige verklaring over alle verwerking van persoonsgegevens, inclusief cookies waar persoonsgegevens bij betrokken zijn.

Een banner zonder beleid vraagt gebruikers toestemming te geven voor iets waarover ze niets kunnen lezen. Een beleid zonder banner, waar toestemming vereist is, legt uit wat je doet, maar maakt het niet rechtmatig. In de EU en het VK heeft een site die analytics- of advertentiecookies gebruikt doorgaans beide nodig: toestemming via een werkend mechanisme en informatie via het beleid.

Om duidelijk te zijn over de tools: Legal Policy Generator schrijft de tekst van een privacybeleid, inclusief informatie over cookies, analytics en tracking op basis van je antwoorden. Het levert geen cookiebanner of tool voor toestemmingsbeheer. Je combineert het beleid met een toestemmingsmechanisme naar keuze en zorgt ervoor dat beide dezelfde tools op dezelfde manier beschrijven.

In de EU komt de regel uit artikel 5, lid 3, van de e-privacyrichtlijn. Het opslaan van informatie op het apparaat van een gebruiker, of toegang krijgen tot informatie die daar al is opgeslagen, is alleen toegestaan als de gebruiker toestemming heeft gegeven nadat hij duidelijke en volledige informatie heeft gekregen, met name over de doelen. De uitzonderingen gelden voor opslag of toegang die uitsluitend nodig is om een communicatie uit te voeren, of die strikt noodzakelijk is om een dienst te leveren waar de gebruiker uitdrukkelijk om heeft gevraagd.

De Richtsnoeren 2/2023 van het Europees Comité voor gegevensbescherming bevestigen dat deze regel verder reikt dan klassieke cookies, tot technologieën als trackingpixels, trackinglinks, local storage en sommige vormen van device fingerprinting.

In het VK stelt regulation 6 van de Privacy and Electronic Communications Regulations de gelijkwaardige regel. Volgens de actuele richtlijnen van de ICO over opslag- en toegangstechnologieën moet de informatie de gebruikte technologieën, hun doelen, betrokken derden en de duur van de opslag behandelen. Het VK heeft ook enkele nieuwe uitzonderingen op de toestemmingsregel ingevoerd, dus raadpleeg de actuele ICO-richtlijnen voor de details.

Waar cookies persoonsgegevens betreffen, gelden ook de transparantieverplichtingen uit de artikelen 12 tot en met 14 van de AVG en de UK GDPR. Geen van deze regels schrijft een documenttitel voor.

Het Amerikaanse recht kent geen algemene regel voor cookietoestemming zoals de e-privacyrichtlijn, maar cookie-informatie blijft belangrijk.

• CalOPPA vereist dat het privacybeleid van een commerciële website vermeldt hoe die reageert op Do Not Track-signalen van browsers en of andere partijen in de loop van de tijd en over verschillende websites heen persoonlijk identificeerbare informatie over de online activiteiten van gebruikers mogen verzamelen.
• CCPA en CPRA behandelen identificatoren die via cookies worden verzameld als persoonsgegevens. Je privacybeleid moet de categorieën beschrijven die je verzamelt en vermelden of je persoonsgegevens verkoopt of deelt, wat veel cross-context advertentieopstellingen kan omvatten, en hoe mensen zich kunnen afmelden.
• Privacywetten van andere staten vereisen een vergelijkbare kennisgeving over gerichte advertenties en het recht om je daarvoor af te melden.

Geen van deze wetten vereist een cookiebeleid met een eigen titel. Een goed gestructureerde sectie over cookies en tracking in je privacybeleid regelt meestal de informatiekant, terwijl opt-outlinks en voorkeurssignalen op de site zelf worden afgehandeld.

Voor de details, zie de eisen aan een privacybeleid onder CCPA en CPRA en privacyinformatie over advertenties.

Cookie-informatie veroudert sneller dan bijna elk ander deel van een privacybeleid, omdat marketingtools vaak veranderen zonder code review. Bouw een eenvoudige routine op:

• Scan regelmatig. Open je site in een schoon browserprofiel, weiger en accepteer daarna toestemming, en noteer wat er in elke toestand laadt.
• Controleer elke nieuwe tag. Neem een controle van de informatie op in de lanceringschecklist voor elke nieuwe pixel, embed of elk nieuw script.
• Vergelijk beleid, banner en werkelijkheid. Alle drie moeten dezelfde tools noemen.
• Werk de datum bij telkens wanneer de lijst verandert.

Als je een beleid genereert met Legal Policy Generator, geef je aan welke analytics-, advertentie- en trackingtechnologieën je gebruikt, en de informatie over cookies en tracking volgt uit die antwoorden. Veranderen je tools, werk dan de antwoorden bij en genereer opnieuw in plaats van de tekst met de hand op te lappen. De vragenlijst en het volledige voorbeeld zijn gratis en vereisen geen account, en een eenvoudige HTML- of PDF-download is gratis.

Gegenereerde tekst weerspiegelt je antwoorden en is geen juridisch advies. Toestemming zelf moet nog steeds worden afgehandeld door het toestemmingsmechanisme van je site.