Heeft een boekingspagina een cookiebanner nodig?

De wet gaat niet over cookies

Dat klinkt als een woordspelletje en is het niet. Het is de hele reden dat zoveel banners op de verkeerde plek staan.

De regel komt uit artikel 5, derde lid, van de ePrivacyrichtlijn, in Nederland omgezet in artikel 11.7a van de Telecommunicatiewet. Daar staat niet dat je toestemming nodig hebt voor cookies. Er staat dat je toestemming nodig hebt voor het opslaan van informatie, of het verkrijgen van toegang tot informatie die al is opgeslagen, in de randapparatuur van een gebruiker. Cookies zijn daar één techniek voor, en toevallig de oudste.

De EDPB heeft dat in oktober 2024 nog eens expliciet uitgeschreven in richtsnoeren over de technische reikwijdte van die bepaling. Drie punten daaruit zijn de moeite waard. Informatie omvat zowel persoonsgegevens als niet-persoonsgegevens. Opslaan of uitlezen is al genoeg, je hoeft niet allebei te doen. En het maakt niet uit welke techniek je gebruikt: localStorage, een tracking pixel, een script dat het canvas uitleest, of identificatie via de URL vallen er net zo goed onder.

Wie zijn banner op “gebruik ik cookies?” baseert, stelt dus de verkeerde vraag. De goede vraag is: zet mijn pagina iets op het apparaat van de bezoeker, of leest hij er iets van af, en zo ja, waarvoor?

De drie uitzonderingen

Artikel 11.7a kent drie situaties waarin je geen toestemming hoeft te vragen. Twee komen rechtstreeks uit de richtlijn, de derde is Nederlands.

1. Uitsluitend voor de doorgifte van een bericht. Technische opslag die nodig is om de communicatie zelf te laten plaatsvinden. Dit is smaller dan het klinkt en in de praktijk zelden waar je je op beroept.
2. Strikt noodzakelijk voor een dienst die de gebruiker zelf heeft gevraagd. Dit is de belangrijke. Een winkelwagen die onthoudt wat erin zit. Een sessie die je ingelogd houdt. Een token dat voorkomt dat een formulier tweemaal verstuurd wordt. Let op het woord strikt: het gaat om wat de dienst onmogelijk zou maken, niet om wat hem prettiger maakt.
3. Analytische cookies met geringe gevolgen voor de privacy. Sinds 2015 in de wet gezet, en de uitzondering waar het vaakst te ruim naar gegrepen wordt. Daarover hieronder meer.

Valt wat je doet onder een van deze drie, dan heb je geen toestemming nodig. Informeren moet meestal nog wel: dat is een aparte verplichting en die verdwijnt niet met de banner.

Wat dat voor een boekingspagina betekent

Neem een kale boekingspagina. Iemand opent je link, ziet welke tijden vrij zijn, kiest er een, vult naam en e-mailadres in, en krijgt een bevestiging. Wat is er in die keten werkelijk nodig aan opslag op het apparaat van die bezoeker?

Bijna niets. De vrije tijden komen van de server. De boeking gaat naar de server. Wat er eventueel lokaal nodig is, een token tegen dubbel versturen bijvoorbeeld, is strikt noodzakelijk voor precies de dienst die de bezoeker zelf heeft aangevraagd. Uitzondering twee, geen banner.

Wat het antwoord wél omdraait, is bijna altijd iets dat je er zelf bij hebt gezet:

• een Meta- of LinkedIn-pixel om conversies te meten;
• Google Analytics in de standaardinstelling;
• een ingesloten Google Maps-kaartje of YouTube-video;
• een chatwidget;
• lettertypen die bij het laden van een extern CDN worden opgehaald;
• een A/B-testtool.

Stuk voor stuk zijn dit dingen die informatie opslaan of uitlezen voor een doel dat de bezoeker niet heeft gevraagd. Dan is er toestemming nodig, en wel vóórdat het gebeurt.

De analytics-uitzondering is smaller dan je hoopt

De Nederlandse uitzondering voor analytische cookies bestaat echt, maar de Autoriteit Persoonsgegevens legt hem strak uit. De kern: je mag ze gebruiken om bezoekers te tellen, en de gegevens mogen niet worden gebruikt om mensen verschillend te behandelen. Zodra je met dezelfde gegevens iemand kunt herkennen, volgen, of een andere pagina kunt voorschotelen, is de uitzondering weg.

Daar sneuvelt een standaardinstallatie van Google Analytics op. Die doet meer dan tellen, en de gegevens gaan naar een partij die er zelf ook iets mee doet. Er zijn analysetools die wel binnen de uitzondering te configureren zijn, maar dan is “geen banner nodig” een conclusie na het lezen van de instellingen, niet een aanname vooraf.

En ook als de uitzondering opgaat: informeren blijft verplicht. Dat kan in een gewone privacyverklaring. Daar is geen pop-up voor nodig.

Waarom een banner zonder reden je iets kost

“Dan zet ik hem toch gewoon voor de zekerheid neer” lijkt gratis. Dat is het niet, om drie redenen.

Hij kost je boekingen. Een boekingspagina heeft één taak, en elke klik die niet over een tijdstip gaat, werkt daartegen. Je zet een drempel neer voor iets waar je niets voor terugkrijgt.

Hij kan je in overtreding brengen in plaats van eruit. Dit is de contra-intuïtieve. De AP handhaaft actief op banners die niet deugen: vooraf aangevinkte keuzes, weigeren dat moeilijker is dan accepteren, of scripts die al draaien voordat er geklikt is. Een banner die toestemming vraagt en vervolgens niets doet met het antwoord, is aantoonbaar misleidend. Geen banner met niets te vragen, is dat niet.

Hij verzwakt je verhaal. Als je klant aan de balie vraagt wat er met zijn gegevens gebeurt, is “wij zetten niets op je apparaat” een sterker antwoord dan een verwijzing naar een pop-up die hij heeft weggeklikt.

Hoe Calio erin zit

De redelijke tegenvraag bij een artikel op de site van een leverancier: en hoe zit het hier?

De publieke boekingspagina van Calio zet geen cookies. Niet één. Er is geen sessie, geen bezoekers-id, en er wordt niets uit de browser uitgelezen om de bezoeker mee te herkennen. Dat is geen belofte die je op ons woord hoeft te geloven: je ziet het in de antwoordheaders van elke pagina.

We tellen wel hoe vaak een boekingspagina bekeken is, want dat is nodig om je te laten zien hoeveel van de kijkers ook echt boeken. Dat gebeurt met een teller per afspraaktype per dag, in onze eigen database. Geen IP-adres, geen user-agent, geen cookie, geen sessie. Er wordt niets opgeslagen waarmee twee bezoeken aan elkaar te knopen zijn, en dus ook niets waarmee iemand anders behandeld kan worden. Dat valt ruim binnen de analytics-uitzondering, en eerlijk gezegd is het simpeler dan die uitzondering toestaat.

Waar het wél jouw verantwoordelijkheid wordt: de widget op je eigen website. Die zet zelf niets, maar de pagina eromheen is van jou. Staat daar een advertentiepixel op, dan gaat de vraag over die pixel.

Wat er verder over onze verwerking te weten valt, inclusief de subverwerkers met naam en land, staat in de privacyverklaring en de verwerkersovereenkomst.

Kort samengevat

• De toestemmingsplicht hangt aan opslaan of uitlezen op het apparaat van de bezoeker, niet aan het woord cookie. Pixels, localStorage en fingerprinting tellen mee.
• Wat strikt noodzakelijk is voor de dienst die de bezoeker zelf vroeg, mag zonder toestemming. Een kale boekingspagina komt daar meestal niet eens aan toe.
• De Nederlandse analytics-uitzondering geldt alleen bij tellen, zonder mensen verschillend te behandelen. Informeren blijft dan nog steeds verplicht.
• Een banner die je niet nodig hebt, kost boekingen en kan je in overtreding brengen in plaats van eruit. Kijk eerst wat je pagina laadt, en beslis dan.