Cookies voor beginners: alles wat je moet weten

“Schrijf jij eens een artikel over cookies,” droeg mijn baas mij op bij de maandagochtendkoffie. Ik keek hem vertwijfeld aan en antwoordde: “Ik ben een copywriter. Ik begrijp helemaal niets van cookies.” Waarop hij zei: “Daarom ben jij zo perfect voor de klus. Niemand snapt cookies. Wanneer jij er als leek onderzoek naar doet slaag je er misschien in om deze materie begrijpelijk te maken.”

Hij nipte vervolgens nog eens aan zijn koffie, knikte bevestigend (niet naar mij maar naar zichzelf) en keerde met een tevreden gezicht terug naar zijn kantoor.

En ik? Ik prevelde tegen de koffiemachine: “Maar ik weet echt helemaal niets over cookies.”

Wat zijn cookies? (Als je het mij vraagt)

Wat weet ik hier eigenlijk al over? Dit zijn de dingen die mij te binnen schieten:

1. Cookies zijn onzichtbare bestandjes die op je computer worden geïnstalleerd wanneer je een website bezoekt.
2. Deze bestanden zorgen ervoor dat jouw ervaring op de site beter wordt. Jouw gegevens staan bijvoorbeeld al ingevuld in een contactformulier en je ziet advertenties van producten die jij leuk vindt.
3. Cookies zorgen er ook voor dat de website-eigenaar meer geld aan jou kan verdienen. Niet alleen omdat de eerder genoemde advertenties doelgerichter zijn, maar ook omdat hij jou op latere momenten met re-marketing kan bestoken. (Niet bekend met de term re-marketing? Stel: je bezoekt de website russischebruiden.com. Puur hypothetisch, hè. Nog een week lang verschijnen er op talloze ongerelateerde sites advertenties van russischebruiden.com. Dát is re-marketing.)
4. Cookies zijn omgeven door nogal wat Europese wetten. In december 2019 werd in België de eerste boete uitgedeeld aan een site die zijn cookievermelding niet op orde had.

Mwah, niet slecht. Blijkbaar weet ik er toch wel iets over. Ik ben er echter zeker van dat mijn meer technisch onderlegde collega’s diepgang kunnen geven aan het onderwerp. Tijd om eens rond te vragen.

Wat zijn cookies? (Als je het een wizzkid vraagt)

Allereerst begaf ik mij naar mijn collega Hannelore, een programmeur met een brein dat in binaire getallen denkt. Dit is haar antwoord op de vraag wat een cookie volgens haar is:

Cookies betreffen het via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker.

“Hannelore, je klinkt als een wetboek,” zei ik. Alsof ik de grootste dwaas op aarde ben antwoordde ze: “Dat is de tekst uit het wetboek.”

Ik vroeg haar wat verstaan wordt onder ‘randapparatuur’. Ik verkeerde in de veronderstelling dat cookies alleen op computers van toepassing zijn. Is er meer? Zuchtend zei ze: “Ook andere apparaten met een vergelijkbare functionaliteit, zoals smart-tv’s, telefoons, tablets en spelcomputers, gebruiken cookies of bestanden die daarop lijken.”

Ah. Zo zo.

Ik bedankte Hannelore voor de uitleg en wendde mij tot mijn collega Raf, een front-end developer. Misschien praat hij meer als een, eh… mens.

Dit is Raf aan het woord:

Wat wel grappig is, is dat cookies niet optimaal werken op mobiele apparaten. Apps op smartphones werken technisch anders dan webbrowsers. De Mobiele advertentie-ID is het meest gebruikte alternatief op de GSM. Het doel is echter hetzelfde als bij de traditionele cookies. Daarom worden ze onder de algemene noemer van cookies geplaatst.

Mijn respons: “Grappig inderdaad.” Voordat Raf verder ging met zijn werkzaamheden waar ik niets van begrijp, zei hij: “Ik zal je een lijst mailen met alle soorten cookies. Misschien heb je daar iets aan.”

Een lijst van alle soorten? Chocolate chip, macaron, sprits, stroopwafel?

Nope.

Wat voor soorten cookies zijn er?

Het hoeft misschien niet gezegd te worden, maar de lijst van Raf was de natte droom van een nerd. Oftewel: ik begreep er niets van.

Maar mijn missie heeft zich in mijn hoofd genesteld: ik wil cookies begrijpen. Met veel opzoekwerk heb ik de lijst ontcijferd. Ik presenteer je met gepaste trots het resultaat.

1. Noodzakelijke cookies

Dit is essentieel voor het goed functioneren van de website. Deze categorie bevat alleen cookies die basisfuncties en beveiligingsfuncties van de website garanderen. Deze cookies slaan geen persoonlijke informatie op. Da’s fijn.

2. Analytische cookies

Analytische cookies zorgen ervoor dat het bezoek op de website voor de website-eigenaar inzichtelijk wordt gemaakt door het gedrag van bezoekers en hun herkomst te analyseren. Ze worden gebruikt om de prestatie van een website te meten en deze te optimaliseren. De site-eigenaar kan achterhalen welke informatie bezoekers nuttig of juist overbodig vinden.

Analytische cookies houden bijvoorbeeld bij hoe vaak een website wordt bezocht of hoe vaak een blogartikel wordt gelezen. Ze kunnen ook bijhouden vanuit welke regio de websitebezoekers voornamelijk komen, en of de mobiele versie van de website populairder is dan de desktopversie.

3. Functionele cookies

Functionele cookies zorgen voor een optimale gebruikerservaring van de website. Ze worden onder andere gebruikt voor het geautomatiseerd invullen van formulieren en voor het goed laten werken van de chatfunctie en de winkelwagen. Ze onthouden dat je als gebruiker ingelogd bent of items in de winkelwagen hebt geplaatst. Bij een meertalige website kan de taalvoorkeur of landvoorkeur van de bezoeker onthouden worden.

4. Trackingcookies

Met trackingcookies wordt er een profiel van de websitebezoeker opgebouwd. Zo kan er bijvoorbeeld een aangepaste versie van de website getoond worden. Deze cookies volgen het surfgedrag van de bezoeker, waardoor hij zelfs tijdens het surfen op andere websites gepersonaliseerde aanbiedingen of advertenties kan ontvangen. Zo kan het voorkomen dat hij een eerder bekeken webshop-artikel (of catalogusbruid) opnieuw ziet verschijnen op andere websites.

Overigens…

…worden sommige van deze cookies geplaatst door de website die je bezoekt, terwijl andere geplaatst worden door externe partijen (adverteerders, newsfeeds, plug-ins). In het eerste geval spreken we over first-party cookies, in het tweede over third-party cookies.

Ik zat overigens fout met mijn aanname dat cookies altijd kleine bestandjes zijn die op de computer van de gebruiker worden geïnstalleerd. Dit was het inderdaad twintig jaar geleden, maar inmiddels is het begrip ‘cookie’ verruimd. De wet spreekt over:

…via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker.

Interessant weetje: er zijn zelfs cookies die ervoor zorgen dat jij kunt instemmen met het wel of niet gebruiken van cookies.

Moeten we bang zijn voor cookies?

Ligt eraan wie je het vraagt. Ik kom op internet massa’s angstige mensen tegen die zeggen dat cookies onze privacy schenden. Dat ze in een koekdoos horen, niet op een computer. Maar is deze angst terecht?

Ik geef toe: als je cookies toestaat die als doel hebben om jouw persoonlijke voorkeuren op te slaan, kun je inderdaad spreken van inbreuk op privacy. Je mag dan inderdaad redeneren: het gaat niemand wat aan dat ik een voorkeur heb voor sportschoenen van Nike, vliegvakanties naar Tunesië en Oost-Europese vrouwen die Natascha en Tatiana heten.

Als het inderdaad voor jou een probleem is dat een website deze informatie vergaart, dan is dat helemaal oké. Geef bij de cookievoorkeuren simpelweg geen toestemming om dergelijke cookies te plaatsen. Ik ken echter ook mensen (ik denk aan mijn lieftallige vriendin) die het prachtig vinden wanneer een website advertenties toont met producten de zij daadwerkelijk leuk vinden.

Zie ik persoonlijk cookies als een inbreuk op mijn privacy? Nee. Maar ik stem ook niet altijd in met alle cookies. Het ligt eraan hoezeer ik zin heb om de rest van de week bestookt te worden met advertenties die gerelateerd zijn aan de website die ik zojuist bezocht heb. Bedenk ook het volgende:

Cookies kunnen alleen gelezen worden door de website die de cookie plaatst.

Een cookie van Nike kan bijvoorbeeld niet óók gebruikt worden door vijfhonderd andere sportmerken. Dat vind ik een geruststelling.

Hoe zorg je er als bedrijf voor dat je safe zit?

Ik vermeldde aan het begin van dit artikel een boete die is uitgedeeld aan een Belgische site omdat ze hun cookieverklaring niet op orde hadden. De site heeft €15.000,- moeten betalen. (Ironisch genoeg geeft deze site juridisch advies.)

Jij wil als website-eigenaar echter geen boete betalen, dus je moet ervoor zorgen dat jouw site in orde is. Dit doe je als volgt.

1. Ga na of jouw site wel cookies gebruikt

Niet iedere website gebruikt ze, dus niet iedere site is verplicht om zijn cookies te vermelden.

De kans is echter zeer groot dat jouw site wel degelijk cookies gebruikt. Vraag aan je websitebouwer om ze te inventariseren. Of vraag het een andere wizzkid. Mijn collega Hannelore vertelde mij dat ze WordPress-websites scant met de cookie-scan plug-in ‘GDPR Cookie-toestemming’.

Low-budgettip: je kunt deze plug-in natuurlijk ook zelf aanschaffen en de scan persoonlijk uitvoeren.

2. Vraag uitdrukkelijk om toestemming

Gebruikt jouw site cookies die buiten de categorie ‘noodzakelijke cookies’ vallen? Dan moet de bezoeker bij binnenkomst op de site expliciet om toestemming vragen. In principe hoeft deze toestemming maar één keer gevraagd te worden, tenzij de gebruiker zijn cookies verwijdert of jouw website of webshop zijn cookiebeleid wijzigt.

Ik zeg bewust expliciete toestemming, want (let op!) impliciete toestemming is niet voldoende. Impliciete toestemming houdt in dat je ervan uitgaat dat de gebruiker automatisch toestemt door de site te gebruiken. De gebruiker moet de kans hebben om op een ‘in orde’-knop of ‘akkoord’-knop te klikken. Ook moet de gebruiker de mogelijkheid hebben om per cookiesoort toestemming te geven.

Deze cookiemelding is een voorbeeld van hoe het niet moet:

Deze cookiemelding is een voorbeeld van hoe het wel moet:

Zie je het verschil?

3. Voorzie je site van een cookiebeleid

Je moet niet alleen nadrukkelijk toestemming vragen: ook moet je in de melding een link voorzien naar je cookiebeleid. In dit beleid vertel je welke cookies jouw site gebruikt en waar deze voor dienen. Maak voor dit beleid een aparte pagina aan, waarnaar je ook linkt vanuit de websitefooter.

De volgende zaken moeten vermeld worden in het cookiebeleid:

• Wie er verantwoordelijk is voor dit cookiebeleid. Je sitebezoekers moeten contact met je kunnen opnemen voor meer informatie. Noem daarom de exacte naam van je organisatie, het volledige adres, het btw-nummer en het telefoonnummer en/of e-mailadres. Beschrijf ook op welke manier je de gegevens verwerkt. Vertel of je ze binnen of buiten je eigen organisaties verwerkt en of je dat anoniem doet. Vermeld dat je maatregelen neemt om de vertrouwelijkheid te beschermen.
• Wat zijn cookies, welke soorten zijn er en waarvoor dienen ze? Leg kort uit wat cookies zijn en wat ze voor de sitebezoeker betekenen. Vertel vervolgens welke cookiesoorten er zijn en wat de voordelen ervan zijn voor de gebruiker. Begin met het onderscheid te verhelderen tussen first-party cookies en third-party cookies. Splits deze daarna op in noodzakelijke-, analytische-, functionele- en trackingcookies. Je weet wel, dat rijtje dat we eerder besproken hebben.
• Welke cookies gebruik jij, welk doel hebben ze en hoe lang worden ze bewaard? We hebben het nu niet over cookiecategorieën, maar een opsomming van alle individuele cookies die jouw site mogelijk bij de bezoeker op zijn apparaat plaatst.
• Leg uit hoe de gebruiker zijn cookies kan verwijderen. Dat kan bijvoorbeeld door de hulpfunctie van je browser te raadplegen.
• Geef aan wanneer je beleid voor het laatst gewijzigd werd. Als je je beleid wijzigt moet je bovendien opnieuw toestemming vragen aan alle bezoekers.

Veel bedrijven kiezen ervoor om de hun cookiebeleid in te voegen in hun algemene disclaimer- en privacypagina. (Wij hebben dit ook gedaan.) Zo staan alle gegevens over rechten, verantwoordelijkheden en privacy overzichtelijk op één pagina.

Alles samengevat

• Cookies zijn van oorsprong kleine bestanden die op het apparaat worden opgeslagen van degene die een website of webshop bezoekt, maar inmiddels omvat het begrip alle vormen van ‘via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker’.
• Ze zorgen ervoor dat de site een betere gebruikerservaring geeft, en ze stellen de site-eigenaar in staat om een efficiëntere (en dus commercieel sterkere) site te beheren.
• Een website moet de bezoeker expliciet om toestemming vragen wanneer hij of zij hem voor het eerst bezoekt (al geldt dit alleen wanneer de site gebruik maakt van cookies die niet essentieel zijn voor een normale werking van de site).
• Een website moet middels een cookiebeleid transparantie bieden: wat zijn cookies, welke soorten zijn er, waarvoor dienen ze, welke verzamelt de site, waarom je dat doet en hoe lang je ze bewaart. Ook geef je uitleg over hoe de bezoeker zijn cookies kan wissen, uitschakelen of aanpassen, en wanneer je je beleid voor het laatst gewijzigd hebt.

Mijn opdracht is voltooid: ik heb cookies inzichtelijk gemaakt. Of ja, dat is mijn hoop.

Is dit alles wat er over cookies te vertellen is? Nee. Tijdens mijn zoekwerk ben ik pagina’s andere interessante (en relevante) info tegengekomen. Een mens moet echter keuzes maken in het leven, en dat heb ik gedaan.

Nu ga ik naar de winkel om een doos koekjes te kopen. Ik heb honger gekregen.