Een Denktank Zegt Dat de Cookiebanner Niet Werkt
Als je ooit op 'Alles accepteren' hebt geklikt bij een cookiebanner alleen maar om er vanaf te zijn, suggereert een nieuw werkdocument van Bruegel, een in Brussel gevestigde economische denktank, dat je niet de enige bent, en dat het systeem waarschijnlijk nooit is ontworpen om je een echte keuze te geven.
Het document stelt dat GDPR-gegevenstoestemming, het juridische mechanisme dat bedoeld is om Europese burgers controle te geven over hoe hun persoonlijke gegevens worden verzameld en gebruikt, in de praktijk een 'juridische en technische fictie' is. Hoewel de Algemene Verordening Gegevensbescherming vereist dat toestemming vrijelijk, specifiek, geïnformeerd en ondubbelzinnig wordt gegeven, ontdekten de onderzoekers dat cookiebanners routinematig niet aan die norm voldoen. In plaats van duidelijk uit te leggen welke gegevens worden verzameld, wie ze ontvangt en waarom, zijn de meeste banners gebouwd om gebruikers richting snelle acceptatie te duwen in plaats van naar echt begrip.
Dit is geen marginaal bezwaar. Het is een directe uitdaging aan een van de kernveronderstellingen die de EU-gegevensbeschermingswetgeving ondersteunt: dat gewone mensen op betekenisvolle wijze kunnen instemmen met complexe gegevensverwerkingsregelingen door simpelweg op een knop in een pop-up te klikken.
Waarom 'Toestemming' Zelden Betekent Wat Je Denkt
De toestemmingsvereiste van de GDPR klinkt op papier eenvoudig. Voordat een website je kan volgen, je gegevens kan delen met adverteerders, of een profiel van je surfgedrag kan opbouwen, moet er om toestemming worden gevraagd op een manier die je daadwerkelijk kunt begrijpen. In werkelijkheid zijn cookiebanners een soort theater geworden. Gebruikers krijgen dichte juridische taal voorgeschoteld, vooraf aangevinkte vakjes, en interfaces die zijn ontworpen om 'Alles accepteren' de gemakkelijkste weg te maken, terwijl de optie om te weigeren of instellingen aan te passen enkele klikken diep begraven ligt.
Dit patroon is niet beperkt tot obscure uithoeken van het internet. Zelfs bekende consumentensites hebben kritiek gekregen op hoe ze toestemming structureren. Een recent voorbeeld betrof een populaire onlinewoordenboek, de uitgestrekte toestemmingsbanner van dict.cc, die meer dan 1.700 reclame- en trackingpartners achter één enkel toestemmingsverzoek vermeldde. De klacht die over die banner werd ingediend, illustreert precies het probleem dat het Bruegel-document beschrijft: het is technisch mogelijk om aan de letter van de GDPR te voldoen terwijl echte geïnformeerde toestemming praktisch onmogelijk wordt gemaakt. Wanneer een gebruiker wordt gevraagd om binnen enkele seconden de gegevenspraktijken van meer dan duizend partners te beoordelen, houdt 'geïnformeerde' toestemming op iets te betekenen.
De omvang van dat voorbeeld is ongebruikelijk, maar de onderliggende mechanismen—vage openbaarmakingen, opt-outs met veel wrijving, en standaardinstellingen die gegevensverzameling bevoordelen—zijn gemeenschappelijk voor een groot deel van het web. De kernargumentatie van het Bruegel-document is dat dit patroon niet toevallig is. Het is een voorspelbaar resultaat van een juridisch kader dat ervan uitgaat dat gebruikers de tijd, expertise en aandachtsspanne hebben om toestemmingsverzoeken te ontleden die, door hun ontwerp, moeilijk te ontleden zijn.
Wat Dit Voor Jou Betekent
Voor alledaagse internetgebruikers in Europa betekent dit onderzoek niet dat GDPR-bescherming waardeloos is. De verordening heeft bedrijven nog steeds gedwongen om meer openbaar te maken over hun gegevenspraktijken dan ze anders zouden doen, en het geeft toezichthouders instrumenten om misstanden achteraf te onderzoeken. Maar het betekent wel dat je een cookiebanner niet moet behandelen als een betekenisvol controlepunt waar je privacy daadwerkelijk in realtime wordt beschermd. Klikken op 'Accepteren' of 'Weigeren' is zelden het moment waarop je gegevens veilig of onveilig worden. Veel van de trackinginfrastructuur werkt ongeacht welk vakje je aanvinkt, en handhaving komt vaak pas maanden of jaren later op gang.
Die kloof tussen juridische toestemming en daadwerkelijke bescherming is precies de reden waarom privacyhulpmiddelen die onafhankelijk van website-overeenkomsten werken, ertoe doen. Een VPN kan de trackingscripts van een site niet stoppen, maar het beperkt wel wat je internetprovider en waarnemers op netwerkniveau kunnen zien, en het kan de hoeveelheid identificerende informatie die aan je surfsessies is gekoppeld, verminderen. Browsextensies die trackers blokkeren, en privacygerichte browserinstellingen, voegen een extra laag toe die niet afhangt van de vraag of de cookiebanner van een bedrijf eerlijk is ontworpen of niet.
Praktische Stappen Die De Moeite Waard Zijn
Aangezien toestemmingsbanners niet volledig kunnen worden vertrouwd om je daadwerkelijke privacyvoorkeuren weer te geven, zijn een paar gewoonten de moeite waard om aan te nemen. Weiger niet-essentiële cookies wanneer er een echte optie wordt gepresenteerd, zelfs als het een extra klik kost. Gebruik browserinstellingen of -extensies die trackers van derden standaard blokkeren in plaats van te vertrouwen op site-voor-site keuzes. Overweeg een VPN voor een extra laag netwerkprivacy, vooral op openbare wifi of bij toegang tot gevoelige accounts. En wanneer een toestemmingsbanner opzettelijk verwarrend aanvoelt of een onwaarschijnlijk aantal 'partners' vermeldt, zoals in het dict.cc-geval, is dat een signaal dat serieus moet worden genomen in plaats van afgedaan als standaardtaal.
Het Bruegel-document voegt academisch gewicht toe aan iets dat veel gebruikers al lang vermoeden: dat GDPR-gegevenstoestemming, zoals geïmplementeerd op het grootste deel van het web, niet functioneert zoals de wet bedoelde. Totdat handhaving of ontwerpnormen bijbenen, is de veiligste aanpak om cookiebanners te behandelen als een formaliteit in plaats van een waarborg, en om je eigen privacybescherming er bovenop te bouwen.
