Is cookiebeleid verplicht voor ondernemingen
Is het opstellen van een cookiebeleid verplicht voor bedrijven? En wanneer is een cookie policy GDPR-compliant? De privacy-experts van Mr. Franklin zorgen er graag voor dat jouw onderneming juridisch in orde is én blijft.
Algemene Verordening Gegevensbescherming
De Algemene Verordening Gegevensbescherming (of AVG, ook wel General Data Protection Regulation of GDPR genoemd) geldt voor iedere overheidsinstantie, instelling of onderneming die persoonsgegevens verzamelt of verwerkt.
Persoonlijke data
Met ‘persoonsgegevens’ worden alle persoonlijke gegevens bedoeld waarmee natuurlijke personen kunnen worden aangeduid. Denk maar aan bijvoorbeeld een naam, e-mailadres, IP-adres of telefoonnummer.Â
Wat houdt ‘verwerking’ in?
Het concept ‘verwerking’ krijgt een ruime invulling van de wetgever. Daarmee wordt onder andere het verzamelen, vastleggen, structureren en wijzigen van de persoonsgegevens bedoeld.Â
Tegenwoordig verzamelt elke website persoonsgegevens: denk bijvoorbeeld aan inloggegevens of het bijhouden van een verlanglijstje. Bij deze en veel andere online technologieën is er dus sprake van gegevensverwerking.
Waarom gebruiken websites cookies en soortgelijke technologieën?Â
Een cookie is een bepaalde hoeveelheid data die de server naar de browser van de gebruiker van een website stuurt. Dit heeft als doel om de browser (en dus ook de gebruiker) te herkennen wanneer diezelfde browser opnieuw de website bezoekt. Bovendien helpt zo’n cookie ook bij te houden wat de gebruiker van bepaalde browser in het verleden op dezelfde website heeft gedaan.
Er bestaan verschillende soorten cookies. Zo maakt men onder meer onderscheid tussen de zogenaamde tracking cookies, functionele cookies en statistische cookies. De GDPR -regelgeving geldt voor al deze categorieën. Vanaf dat er door de website eender welke cookies geplaatst worden bij de bezoeker, is de privacywetgeving van toepassing.Â
Moet ik voorafgaande toestemming vragen om cookies te gebruiken?
In principe moet de bezoeker van de website zijn geïnformeerde toestemming (informed consent) geven voor het gebruik van cookies door de website in kwestie. Dit wil zeggen dat de bezoeker de kans moet krijgen om het cookiebeleid van de onderneming die de website uitbaat door te nemen, vooraleer die toestemming geeft.Â
Geen zin om het ingewikkelde cookiebeleid volledig te doorgronden? Mr. Franklin kan ervoor zorgen dat je cookiebeleid helemaal op GDPR-proof is. Neem vandaag nog contact met ons op en voorkom problemen in de toekomst.
Actieve toestemming van de bezoeker is vereist
Daarnaast is de manier waarop de toestemming gevraagd wordt uiterst belangrijk. De toestemming moet namelijk uitdrukkelijk zijn: volgens GDPR is de toestemming slechts geldig als die op een ondubbelzinnige, expliciete manier werd gegeven (opt-in systeem).Â
Een impliciete toestemming, waarbij de betrokkene het vinkje in een vooraf aangevinkte checkbox moet wegnemen om niet akkoord te gaan met de plaatsing van cookies (opt-out systeem), is dus onvoldoende.Â
Wanneer de website toch de toestemming verkrijgt door middel van een opt-out systeem, is er geen sprake van een geldige toestemming. Dan begaat de uitbater van de website in kwestie een inbreuk op de AVG-regelgeving.
Cookies aanwenden zonder dat de gebruiker daarvoor toestemming heeft gegeven
Er bestaan twee uitzonderingen op het principe dat de gebruiker zijn geïnformeerde toestemming moet geven voor het aanwenden van cookies door de website.
Let op, deze uitzonderingen gelden enkel met betrekking tot de instemming van de gebruiker met het cookiegebruik van de website. De verplichting om duidelijk en eenvoudig uit te leggen wat de geplaatste cookies doen en waarom ze gebruikt worden, blijft in alle situaties gelden.Â
Noodzakelijke cookies
Is het gebruik van cookies strikt noodzakelijk voor de werking van de website, dan is het niet vereist dat de gebruiker zijn toestemming geeft. Van absolute noodzakelijkheid is er sprake wanneer de uitdrukkelijk door de gebruiker gevraagde dienst niet zonder cookies verleend kan worden.Â
Een doorsnee voorbeeld van een situatie waarin cookies noodzakelijk moeten worden aangewend is het bijhouden van het winkelwagentje van de gebruiker. In sommige gevallen zijn cookies ook nodig om de veiligheid van een bankapplicatie te garanderen waardoor er geen veilige betaling kan plaatsvinden zonder essentiële cookies.
Deze uitzondering geldt in geen geval voor niet-functionele cookies. Geen enkele niet-noodzakelijke cookie kan worden geplaatst op de computer, smartphone of tablet van de gebruiker zonder eerst de uitdrukkelijke geïnformeerde toestemming van de gebruiker te verkrijgen.
Noodzakelijke cookies gebruikt in het kader van elektronische communicatieÂ
Daarnaast moet de toestemming van de gebruiker niet worden gevraagd wanneer cookies noodzakelijk zijn om een bericht te kunnen verzenden via een elektronisch communicatienetwerk. Een voorbeeld van een situatie waarin deze uitzondering geldt, is load balancing waarbij cookies noodzakelijk zijn om webserververzoeken te spreiden over een aantal verschillende computers.Â
Een cookiebeleid is verplicht als jouw website cookies gebruikt
Als jouw website cookies gebruikt, dan ben je verplicht om een cookie policy aan te nemen. Het cookiebeleid moet dan ook op jouw website of applicatie gepubliceerd worden om aan de transparantieplicht te voldoen.
Â
Wat moet er in het cookiebeleid vermeld worden?
Het cookiebeleid dat je op jouw website of app moet publiceren, bevat best ten minste volgende elementen:
Identiteit en de contactgegevens van de verwerkingsverantwoordelijke (eventueel ook de contactgegevens van de DPO)
Verschillende soorten cookies die door jouw website of app gebruikt worden
Het doel van de verwerking die in het kader van het gebruik van de cookies plaatsvindt
De werkingsduur van de cookies
Eventuele mogelijkheid voor derden om toegang te krijgen tot de cookies
De rechtsgrond van de verwerking
De bewaartermijn van de gegevens die via verschillende cookies worden ingezameld
De rechten die betrokkenen kunnen inroepen
De mogelijkheid om een klacht neer te leggen bij de Gegevensbeschermingsautoriteit
Meer uitgebreide uitleg over de verschillende elementen die in het cookiebeleid moeten worden opgenomen vind je in onze ultieme checklist voor het cookiebeleid van je onderneming. Heb je geen zin in al dit gedoe? Laat dan je cookiebeleid opmaken door een expert, zoals Mr. Franklin.
Mr. Franklin, jouw privacy- en ICT-expert
Mr. Franklin is een advocatenkantoor met een bijzondere expertise in privacywetgeving. Ons team telt drie gecertificeerde Data Protection Officers. Wij voorzien onder meer in DPIA-audits, penetration tests en begeleiding in het kader van ISMS-implementatie. Onze experts hebben daarnaast ruime ervaring met het opstellen van een privacybeleid en cookiebeleid voor bedrijven.
Reeds meer dan 250 ondernemingen zijn tevreden over onze service. We zorgen niet alleen voor transparantie in jouw dossier maar ook over onze kosten. Onze juridische experts zorgen graag voor de GDPR-compliance van jouw bedrijf, zodat je juridisch in orde bent én blijft.
Contacteer ons
Benieuwd naar meer info over onze diensten? Of heb je een specifieke vraag met betrekking tot GDPR-compliance van jouw onderneming? Neem gerust vrijblijvend contact met ons op.
 Olivier Sustronck
+32 486 27 53 05