Cookies op de restaurantwebsite controleren: accepteren, weigeren en intrekken (toelichting op de AEPD-richtlijn uit 2023)

Bij cookiebeheer op een restaurantwebsite moet u het doel, de interface en het feitelijke gedrag controleren: kunnen gasten even gemakkelijk accepteren als weigeren, welke componenten stoppen na hun keuze en hoe kunnen zij die keuze later intrekken? Dat de pop-up verdwijnt, is slechts een zichtbare verandering en vervangt deze controles niet.

Op 2023-7-11 publiceerde de AEPD een aankondiging over een bijgewerkte richtlijn: accepteren en weigeren van cookies moeten even prominent worden aangeboden. Technische cookies die nodig zijn voor een taal die de gebruiker zelf kiest en die niet voor andere doeleinden worden gebruikt, kunnen zijn vrijgesteld van toestemming. De wijzigingen moesten uiterlijk op 2024-1-11 zijn doorgevoerd. Dit artikel licht bestaande richtlijnen toe; de datum van de aankondiging wordt niet voorgesteld als de ingangsdatum van nieuwe wetgeving.

Breng eerst voor elke component het doel en de verantwoordelijke in kaart

Loop vanaf de homepage door naar het menu, reserveringen en het afrekenen. Maak een lijst van de eigen pagina’s en externe diensten. De naam van een kaart-, video-, reserverings- of marketingcomponent zegt niet alles over het gebruik ervan. Vraag de websiteprovider uit te leggen of de component apparaatgegevens ontvangt, waarom die nodig zijn en wie verantwoordelijk is voor de instellingen en het bijwerken ervan.

• Component en aanbieder: noteer de diensten die daadwerkelijk actief zijn; neem niet alleen de installatielijst over.
• Concreet doel: beschrijf afzonderlijk doelen zoals het uitvoeren van een verzoek van een gast, het bewaren van voorkeuren, statistieken of advertenties. Leg meerdere doelen van één component apart vast.
• Voorwaarden voor laden: vermeld wanneer gegevens worden opgevraagd of opgeslagen en welk gedrag na weigering moet stoppen.
• Verantwoordelijkheid voor onderhoud: vermeld wie u kunt contacteren en wie de situatie opnieuw controleert als het doel of de instellingen veranderen.

Zelf een taal kiezen is niet hetzelfde als een voorkeur afleiden

De voorwaarde voor vrijstelling van toestemming in de aankondiging uit 2023 is dat de gebruiker zelf een voorkeur, zoals de taal, kiest en dat de betreffende technische cookie niet voor andere doeleinden wordt gebruikt. Dezelfde conclusie geldt niet automatisch wanneer de website zelf op basis van verkregen informatie een voorkeur bepaalt. Ook mag advertentieretargeting niet zonder meer als noodzakelijke functie worden aangemerkt omdat die een component deelt met het menu.

Een gekwalificeerde privacyadviseur moet de concrete vrijstellingen en toestemmingsvereisten beoordelen op basis van het werkelijke gebruik. Wijs niet alle analysetools op dezelfde manier aan als noodzakelijk of als tools waarvoor altijd toestemming vereist is. Als een trackingcomponent geen doel heeft en niemand verantwoordelijk is voor het onderhoud, kunt u eerst beslissen of u die verwijdert.

Controleer de interface en het gedrag na een keuze afzonderlijk

• Eerste bezoek: controleer op telefoon en computer of de opties accepteren, weigeren en instellingen aanpassen duidelijk zijn, niet worden afgedekt en of weigeren niet meer stappen vereist.
• Na weigering: vraag de technische dienstverlener in een gecontroleerde browseromgeving uit te leggen welke verzoeken en opslaghandelingen achterwege blijven. Een schermafbeelding waarop de pop-up is gesloten, volstaat niet.
• Keuze per doel: controleer elk doel en de bijbehorende laadacties afzonderlijk. Verifieer dat de opties in de interface het bijbehorende gedrag daadwerkelijk regelen.
• Keuze wijzigen en intrekken: leg uit waar gasten de instellingen opnieuw kunnen openen en hoe het feitelijke gedrag verandert nadat zij hun keuze aanpassen. Bied geen ingang die geen wijzigingen opslaat.

In alle talen moeten accepteren en weigeren even duidelijk zijn; gasten bepalen zelf welke optie ze kiezen. Als het menu of reserveringssysteem niet goed werkt nadat advertenties zijn geweigerd, vraag dan de onderhoudsverantwoordelijke de oorzaak te onderzoeken. Verberg het probleem niet door gasten te vragen opnieuw overal mee in te stemmen. Vraag bij bijzondere voorwaarden voor de dienstverlening apart professioneel advies.

Werk de controle bij wanneer een leverancier verandert

Na een overstap naar een andere reserverings-, kaart- of advertentiedienst kunnen de bestaande uitleg en keuzes niet meer kloppen. De verantwoordelijke moet de dienstverlener vragen de componentenlijst, doelen en gevolgen van keuzes bij te werken en aan te geven welk gedrag nog niet is opgehelderd en wie dit verder oppakt. Bewaar intern de noodzakelijke onderbouwing van de controles, maar vraag geen browsegegevens van apparaten van gasten op die niet relevant zijn voor het probleem.

Cookiebeheer dekt niet alle verantwoordelijkheden rond contactgegevens voor reserveringen, ledengegevens en betaalgegevens. Controleer deze doeleinden afzonderlijk. Medewerkers bieden gasten persoonlijke hulp bij vragen of het bestellen. Juridische vragen worden doorverwezen naar de daarvoor verantwoordelijke persoon. Beweer niet dat de installatie van een bepaalde tool blijvend garandeert dat aan alle wettelijke eisen wordt voldaan.