Home   2026-10-22 19:56:51

←

Privacywaakhond onderzoekt twee organisaties die cookiemuur niet op orde hebben

Original article

De Nederlandse Autoriteit Persoonsgegevens onderzoekt nog steeds twee organisaties die 'een misleidende cookiebanner' gebruiken. De AP begon vorig jaar een campagne waarin het 100 bedrijven aansprak, waarvan er nu nog twee zijn waarnaar de privacytoezichthouder echt onderzoek doet. Dat zou kunnen leiden tot een boete en gedwongen aanpassingen.

De Nederlandse privacytoezichthouder schrijft een officieel onderzoek te zijn gestart naar twee bedrijven, maar zegt niet welke bedrijven dat zijn. De aanleiding voor het onderzoek bestaat uit de cookiemuren of -banners die de bedrijven gebruiken. De AP zegt bij die bedrijven te zien dat de cookiebanners niet aan de AVG voldoen.

Het gaat vooral om de manier waarop websitebezoekers trackingcookies kunnen afwijzen. In de privacywet staat dat websitebezoekers cookies net zo makkelijk moeten kunnen weigeren als accepteren. Bij de websites van de bedrijven die de AP nu aanspreekt, is dat niet het geval, zegt de toezichthouder.

Autoriteit Persoonsgegevens interview

Waarschuwingen

De AP begon vorig jaar al informele waarschuwingen te sturen naar die bedrijven. Aanvankelijk ging het om 50 bedrijven, maar de afgelopen maanden heeft de AP naar eigen zeggen '100 organisaties' een brief gestuurd. "Het gaat onder meer om organisaties in de mediasector, de sector zorg en welzijn en de verzekeringsbranche", zegt de toezichthouder.

De organisaties kregen van de AP de kans hun cookiemuur aan te passen. "Het merendeel van de organisaties, zo'n 70 procent, past daarop een verkeerde cookiebanner aan", zegt de AP. In ten minste twee gevallen deden de bedrijven dat niet en begon de AP een onderzoek. Hoe het zit met de andere organisaties, is niet bekend.

Wat betekent het als de AP een onderzoek start?

Een onderzoek van de AP is een officiële eerste stap richting sancties. Dat is zwaarder dan een informele of zelfs formele waarschuwing. Een onderzoek kan leiden tot een boete, maar dat is niet vanzelfsprekend. De AP kan bedrijven ook een last onder dwangsom opleggen, een soort voorwaardelijke boete, of ze alleen verplichten een aanpassing te doen.

Door Tijs Hofmans

Nieuwscoördinator

Feedback • 16-10-2026 17:24
107 • submitter: Chocoball

16-10-2026 • 17:24

107

Submitter: Chocoball

Reacties (107)

107
106
73
14
0
23
Wij waren een van die 50.

En wat een drama was het om alles volgens de regels te doen. Het is niet dat we niet willen, maar het was zo omslachtig uitgelegd. De brief was een document van vele pagina's die wij met AI hebben laten samenvatten omdat we niet snapten wat ze nu eigenlijk vroegen(!).

Hele blauwe regelmensen zonder enig gevoel voor communicatie.

Maar; nar vele heen-en-weer mailtjes die erg stacato werden beantwoord hebben we echt een betere procedure en betere cookie-teksten.

In de basis (even alle documentatie vertaald naar niveau b1):
De AVG, maar dan zonder juridisch geneuzel.
  1. Eén klik om te accepteren? Dan ook één klik om te weigeren. Even makkelijk, even zichtbaar.
  2. Zeg wat je trackt. Welke gegevens verzamel je, waarom en met wie deel je ze?
  3. Maak er geen speurtocht van. Als bezoekers moeten zoeken naar 'Weigeren', doe je iets verkeerd.
  4. Geen toestemming? Geen tracking. Plaats pas cookies waarvoor toestemming nodig is nadat je die toestemming hebt. Duh.
  5. Noem dingen zoals ze zijn. Geen misleidende knoppen, vage teksten of andere dark patterns.
  6. Nee is nee. Blijf bezoekers niet lastigvallen omdat ze cookies hebben geweigerd.
  7. Laat mensen zelf kiezen. Statistieken en marketing zijn verschillende doelen. Geef bezoekers die keuze.
  8. Van gedachten veranderen mag. Toestemming intrekken moet net zo makkelijk zijn als toestemming geven.
  9. Bewijs dat je toestemming hebt. Houd bij waarvoor en wanneer iemand toestemming gaf, zonder onnodig gegevens te bewaren.
  10. Test je eigen rommel. Klik op 'Alles weigeren' en controleer of de tracking daadwerkelijk uitstaat.
Ja ook de DPG faalt hier. Op punt 1 (alles weigeren is 2 kliks, alles toestaan kan met 1), op punt 6 (elke maand ongeveer komt de popup weer opnieuw). En punt 4, zelfs als ik alles weiger zie ik alsnog trackers van smartocto en scorecardresearch.

[Reactie gewijzigd door Llopigat op 16 oktober 2026 23:42]

Als er een verwerkingsovereenkomst is met een derde partij, en deze geen persoonsgegevens verwerkt en alleen functionele cookies gebruikt, is consent niet nodig. Vziw is dat het geval voor zowel smartocto (headline a/b-testing) als scorecardresearch (Comscore bereiksmeting).
https://www.scorecardresearch.com/privacy.aspx
The short version

As further described below, under this Policy we collect the following categories of information, and derive information from such collected information (which may be considered personal or sensitive information under certain laws):
  • personal and online identifiers,
  • Internet or other electronic network activity,
  • geolocation information (inferred from IP address),
  • inferences drawn from information listed in this Policy about your predicted characteristics and preferences, and other information about you that is linked to personal information.
We collect information about you or your household from third parties as well. For details about our practices, please read this entire Policy.

[..]

Sensitive personal information collected.

Some of the personal information described above is considered sensitive personal information under certain privacy laws. Applying the definitions in these laws, we collect data that reveals or from which we could derive the following categories of sensitive personal information:
  • racial or ethnic origin,
  • religious or philosophical beliefs,
  • mental or physical condition or diagnosis,
  • sex life or sexual orientation, or
  • citizenship or citizenship status.
We use these categories of sensitive personal information for the purposes described in this Policy, including some purposes that you have the right to limit as described below.
En dat is dus waarom mensen ad-blockers draaien.

(Lekker amateuristische ASP.NET WebForms site uit het jaar blok trouwens.)
crisp Senior Developer @R4gnax • 17 oktober 2026 00:31
Volgens mij geven we bij de scorecardresearch tag aan of er consent is voor gegevensverwerking.
"Volgens mij" is natuurlijk niet heel sterk. Dat moet je zeker weten. "Volgens mij" is hetzelfde als "ik heb er geen actieve herinnering aan".
Dus nu is het:
Volgens mij geven we bij de scorecardresearch tag aan of er consent is voor gegevensverwerking.
En eerst was het:
Als er een verwerkingsovereenkomst is met een derde partij, en deze geen persoonsgegevens verwerkt en alleen functionele cookies gebruikt, is consent niet nodig. Vziw is dat het geval voor zowel smartocto (headline a/b-testing) als scorecardresearch (Comscore bereiksmeting).
Deze twee uitspraken staan haaks op elkaar, dat weet je- heh?
Het geeft niet heel veel vertrouwen in hoe Tweakers de huishouding qua verplichte logboeken die mutaties van persoonsgegevens dienen vast te leggen (AVG Art. 30) al dan niet op orde heeft.

[Reactie gewijzigd door R4gnax op 19 oktober 2026 20:04]

crisp Senior Developer @R4gnax • 19 oktober 2026 21:39
Sorry hoor, het is ook al een paar jaar geleden dat we dat geimplementeerd hebben. En ComScore is al een aantal keer gewijzigd....
Ik denk dat DPG Media specifiek extra voorzichtig moet zijn. Waar de telecommunicatiewet uitgaat van verschillende diensten van de informatiemaatachappij is een verwerkersovereenkomst van toepassing over een hele verwerkingsverantwoordelijke. Zo zou het kunnen zijn dat één verwerker van DPG Media toch mensen volgt over verschillende diensten van de informatiemaatachappij (de verschillende websites). De logica die je benoemt is niet helemaal hoe het in de wet staat en specifiek voor omstandigheden zoals bij DPG Media maakt die nuance denk ik een verschil.
Als er een verwerkingsovereenkomst is met een derde partij, en deze geen persoonsgegevens verwerkt en alleen functionele cookies gebruikt, is consent niet nodig
Hier lopen een paar zaken door elkaar, waardoor je lijkt te stellen dat een Verwerkersovereenkomst toestemming zou kunnen vervangen. Zo werkt dat niet.

Even op een rijtje:
  1. Wanneer er geen persoonsgegevens verwerkt worden is de AVG niet van toepassing en is een verwerkersovereenkomst niet nodig.
  2. Een verwerkersovereenkomst is geen grondslag - sterker nog: daarin moet de grondslag genoemd zijn. Een Verwerkingsverantwoordelijke moet ongeacht de grondslag (toestemming, wettelijke verplichting, gerechtvaardigd belang, of welke dan ook) altijd een verwerkersovereenkomst sluiten met eventuele Verwerkers.
Wat je dus bedoelt is:
  1. Indien er geen persoonsgegevens gedeeld worden met derden, is de AVG niet van toepassing, maar dat is bij cookies/een tracker haast uitgesloten; of
  2. Wanneer DPG een andere grondslag dan toestemming gebruikt voor deze verwerking (bijv. eigen gerechtvaardigd belang), dan is (additionele) toestemming niet vereist (maar moet de juiste grondslag voor deze verwerking alsnog wel transparant zijn in de cookie melding die getoont wordt.)

[Reactie gewijzigd door E!Ma0RB7 op 17 oktober 2026 16:23]

Je opmerking met punt 6 herken ik niet helemaal om eerlijk te zijn. Heel af en toe zie ik wel eens een banner terugkeren op een DPG site, maar zeker niet elke maand. Ik geloof zelfs dat ik ze vaker op de vrt site zie herverschijnen dan bij DPG sites.

Dat sommige DPG sites alsnog meer tracking zetten dan waar je toestemming voor geeft klopt wel. Zo zie ik op een ander DPG site dan deze ook bijvoorbeeld Google analytics en Gemius geblokkeerd worden door Privacy Badger.
Als er een inhoudelijke wijziging is mbt een partij waar consent voor nodig is, dan krijg je opnieuw de consentvraag. Omdat de consenttool DPG-breed gebruikt wordt kan dat vaker voorkomen, ook als het geen betrekking heeft op Tweakers zelf.
En dat mag dus niet. Toestemming moet toegespitst zijn op de daadwerkelijke dienst en mag niet breed genomen worden op een wijze waar een eindgebruiker voor meerdere zaken tegelijk toestemming gedwongen wordt te geven.
crisp Senior Developer @R4gnax • 17 oktober 2026 00:25
Daar denkt DPG dus blijkbaar anders over. IANAL... ;)
Dat vind ik zeker wel onder "Nee is nee. Blijf bezoekers niet lastigvallen omdat ze cookies hebben geweigerd." vallen.

Als een bezoeker al heeft aangegeven dat ze er niet okee mee zijn, gaan ze natuurlijk ook niet okee zijn als er een nieuwe partij wordt toegevoegd.

Nou snap ik dat jullie als Tweakers hier geen inspraak in hebben omdat dit centraal van DPG komt.

[Reactie gewijzigd door Llopigat op 16 oktober 2026 23:45]

Bij mensen die wel alles geaccepteerd hebben doen we ook niet de aanname dat ze een nieuwe partij ook wel zullen accepteren ;)

Ja, ik snap waar je vandaan komt, maar er zit dus niet een ingebouwde timer in die bij weigering automatisch na een week weer met de toestemmingsvraag komt. Het komt volgens mij ook niet zo heel vaak voor dat een nieuwe toestemmingsvraag getriggered wordt.
En nog irritanter bij DPG:

Als ik in de Donald Duck app ingelogd ben, logt ie me op mijn telefoon ook op elke site van ze die ik op de telefoon bezoek automatisch in voor de 'handigheid'.

Gruwelijke irritatie. Dit kan niet de bedoeling zijn. Ik heb alleen dat account om de donald Duck app te kunnen lezen, waar ik ook voor betaal. En niet om door DPG op elke andere site van ze ingelogd te worden. Dus ik mag telkens uitloggen op alle nieuws sites, met als gevolg dat ik dan de eerste volgende keer dat ik de app open op de app weer in moet loggen, voordat ik kan lezen en dus ook weer automatisch op alle andere sites ingelogd wordt die ik daarna bezoek. Een vicieuze circel dus.

Heel hinderlijk.

[Reactie gewijzigd door remcheese op 17 oktober 2026 00:54]

En je wilt per se niet ingelogd zijn op die andere sites? Ik vrees dat dat niet uitmaakt voor de vraag of ze informatie over je verzamelen.
Wat ik me afvraag bij je antwoord, is waarom de brief kennelijk leidend was voor de oplossing. De regels die je noemt zouden geen nieuws mogen zijn bij een bedrijf van een dusdanige omvang dat het tot de 50 geselecteerde partijen behoorde.
Het waren veeel meer dan 50. Dat was de eerste batch. Wij kregen een jaar later een brief. Dus er zijn meerdere rondes geweest. En zo moeilijk was het niet. Ding is dat veel organisaties vertrouwen op de standaard banners die zogenaamd stellen dat ze 100% GDPR compliant zijn.
Meerdere rondes en in de loop van de tijd is de brief ook veranderd. Zo heeft de AP op een gegeven moment ook een opmerking toegevoegd dat alle onrechtmatig verzamelde persoonsgegevens verwijderd moeten worden. Geheel terecht. Naleving daarvan lijkt echter niet gecontroleerd te worden.
Wij waren een van die 50.
En wat een drama was het om alles volgens de regels te doen. Het is niet dat we niet willen, maar het was zo omslachtig uitgelegd.
Je mist nog een punt 11: de (hoofd)functionaliteit van de dienst moet blijven werken na afwijzing ;).

Eerlijk, zo lastig is het niet om het goed te doen. Ik ken de brief niet, wel de publieke info van het AP, vooral mijn favoriet op dit onderwerp: de pagina over heldere cookiebanners. Die is juist enorm duidelijk, met visuele voorbeelden zelfs. Hun website heeft overigens op heel veel AVG/GDPR gerelateerde zaken duidelijke info in Jip en Janeke-taal. Ik heb eigenlijk nog nooit een wetstekst erbij moeten pakken om het probleem uit te leggen. Men moet alleen wel de moeite nemen het ff op te zoeken, en doet dat niet (maar gaat er vaak vanuit dat ze het wel ongeveer weten of luisterd naar online praat van random mensen, ondanks dat dat vaak niet compleet klopt).

Mijn ervaring is dan ook dat vrijwel elke website die het niet op orde heeft dit uit onwil of gebrek aan intresse doet en niet als foutje uit het proberen te volgen maar niet snappen van de regels. Meestal of omdat ze graag meer data willen en niet willen dat men weigert, ze het niet belangrijk genoev vonden er moeite in te steken, of (wellicht nog wel het vaakst) omdat er een standaardoplossing wordt gebruikt waarbij ze er blind vanuit gaan dat het dan wel klopt. De paar keer dat men oprecht niet weet hoe het te fixen, is dat ook vaak omdat ze niet weten hoe het standaard pakket aan te passen en niet omdat ze niet snappen wat er anders zou moeten.

De enige fout die ik met regelmaat zie waar men oprecht perongelijk de fout in gaat, is dat de e-privacy richtlijn (zoals de "cookiewet" eigenlijk heet, en ondanks de "richtlijn" in de naam is het toch echt een verplichting eraan te voldoen) niet enkel over cookies gaat maar over alle trackers. Javascript enzo moet je dus ook meenemen en toestemming voor vragen. Helpt niet dat bedrijven als Google en bepaalde marketeers graag de grenzen opzoeken en analytics en dergelijke als "free game" bestempelen zonder de duizende mitsen en maren die daarvoor gelden goed uit te leggen.
En wat een drama was het om alles volgens de regels te doen.
Da's heel makkelijk hoor! Gewoon geen bezoekers tracken.
Sorry hoor maar ik snap niet wat hier zo moeiijk aan zou moeten zijn.

Gebruik geen trucjes om mensen op ja te laten klikken.
Loop niet te drammen.
Heb je toestemming top, geen toestemming hou dan op.

Maar goed het verdienmodel is natuurlijk belangrijker dan mensen behandelen als mensen en niet als een soort spaarpotjes waar je alles uit moet trekken.

Sorry hoor maar kan hier echt niet tegen. Als die dingen die opnoemt zou gewoon simpele sociale waarden moeten zijn.

Een beetje alsof je voor de deur gaat staan bij de supermarkt en dan iedere keer voor mijn neus gaat staan met een krantje en maar door hammert tot dat ik het krantje wel aanneem. Om daarna raar te gaan staan kijken dat iemand van de supermarkt zegt dat je even normaal moet doen.

Nee kan hier niet echt medelijden mee hebben, en al helemaal niet snappen waarom dat moeilijk zou zijn.
Sorry, maar zo moeilijk is dit toch niet? Dit staat op tig plekken online superhelder uitgelegd. Het gaat al fout op het moment dat je zo'n cookiewall toevoegt zonder je ook maar een half uurtje in te lezen in de regels. Waarom heb je de AP nodig om je daarop te wijzen?

In andere woorden: als je geen moeite wilt steken in uitzoeken hoe iets legaal kan, begin er dan niet aan. Je website of product werkt ook prima zonder tracking.

En los van wetgeving: je eigen morele kompas slaat niet aan als je het accepteren van tracking makkelijker maakt dan het weigeren? Denk je dan niet: hé dat is misschien niet zo netjes?

Ik geloof zo dat je van de AP een flink pak juridische teksten hebt gekregen. Maar dat had je gewoon voor kunnen zijn. Je laat het zelf zo ver komen. Plus: de taak van de AP is niet om de regels in jip en janneke taal voor je uit te leggen. Ze handhaven. Als je duiding nodig hebt, huur een jurist in.

[Reactie gewijzigd door Chocochaos op 17 oktober 2026 13:07]

Toch wel 'grappig' dat de DPG cookiebanner nog steeds regel 1 breekt. Gezien "weigeren" enkel achter de "Instellen"-knop zit. Ik hoop dan ook dat de DPG één van die twee bedrijven is die verder onderzocht gaat worden.
Er loopt een onderzoek naar DPG Media dat hier mee te maken heeft. Niet precies wat hierboven genoemd staat, maar het gaat over een element dat de AP ook mist in haar eigen handhaving. Naast het weigeren van toestemming is de AVG nog duidelijker over het kunnen intrekken van toestemming. Dat moet volgens de laatste zin van artikel 7(3) van de AVG namelijk net zo makkelijk zijn als het geven van toestemming. Dat doet bijna niemand. Vroeger toen Tweakers de toestemmign een stuk minder goed geregeld had, maar net bezig was met verbeteringen wilde ik alle daarvoor onrechtmatig verzamelde persoonsgegevens later verwijderen. De toestemming klopte al niet, maar ik kon ook niet effectief mijn toestemming intrekken zodat de persoonsgegevens gewist worden. Ik heb DPG toen gevraagd om als onderdeel van de opruiming ook alle historische verzamelde persoonsgegevens op te laten ruimen. Dat wilde DPG niet en gaf aan dat ik voor alleen mijzelf een verwijderverzoek in kon dienen. Dat heb ik toen gedaan en ook dat heeft DPG geweigerd. Toen heb ik op 25 april 2021 een klacht bij de AP ingediend. Die is de AP nog steeds aan het behandelen. Dat alles om iets dat volgens artikel 7(3) van de AVG net zo makkelijk zou moeten zijn als die ene klik waarmee toestemming gegeven kan worden.
Ik heb nog van jaren geleden ergens de gebruikersvoorwaarden liggen, geloof ik, waar ook niet instond dat Tweakers eenzijdig de voorwaarden mocht veranderen. Dus ook niet om er later in te zetten dat ze dat wel mogen. Ik zal vast niet de enige zijn die dat gemerkt heeft. En ook daar krijgt DPG nog eens gesodemieter mee als ze door blijven drammen.
Nog sterker: als je Tweakers bezoekt op een smartphone met een onorthodoxe browser en je duidelijk op weigeren klikt krijg je volgende boodschap:

Consent kan niet verwerkt worden
Je hebt zojuist consent voor verwerking van persoonsgegevens gegeven, maar je browser lijkt de daarvoor benodigde cookie niet mee te geven.
Stel je browser zo in dat de cookie met de naam "authld" op het domein "tweakers.net" daadwerkelijk gezet mag worden.

Waarbij ik me twee dingen afvraag:

1) Ik heb helemaal geen "consent" gegeven, ik heb duidelijk op "weigeren" geklikt. Betreft het hier een "oeps, foutje!"?
2) Hoe rechtsgeldig is dat gebruik van "consent"? Ik weet dat de Nederlandse taal graag met Engelse termen overspoeld wordt, maar kon er echt geen Nederlands equivalent gevonden worden voor consent, zeker in dit soort teksten? Is echt elk Engels woord automatisch ook officieel Nederlands tegenwoordig?

[Reactie gewijzigd door JanVQ op 16 oktober 2026 19:44]

Ik heb helemaal geen "consent" gegeven, ik heb duidelijk op "weigeren" geklikt. Betreft het hier een "oeps, foutje!"?
Nee- Tweakers heeft gewoon een slechte implementatie die een cookie wil schrijven om bij te houden wat je als instellingen opgegeven hebt, zodat ze de popup niet meer opnieuw in je gezicht duwen.

Daar heb je echter helemaal geen cookie voor nodig. Dat kan prima via zoiets als de DOM LocalStorage, wat in tegenstelling tot een cookie echt totaal lokaal blijft en niet met elke request mee naar de servers gaat.

Er is ook helemaal geen reden om de weigering zelf op te slaan, want toestemming is ten eerste wettelijk verplicht opt-in en niet opt-out wat inhoudt dat niet opgeslagen betekent geen toestemming; en mag ten tweede niet gemengd gepresenteerd worden met andere zaken zoals het uitoefenen van een recht van bezwaar tegen verwerkingen die plaats vinden onder gerechtvaardigd belang, waarvoor je het bezwaar wel op zou moeten slaan. (deze werken dan als 'opt out')

Dus linksom of rechtsom; iemand bij de Tweakers developers heeft het niet begrepen.

[Reactie gewijzigd door R4gnax op 16 oktober 2026 22:03]

crisp Senior Developer @R4gnax • 16 oktober 2026 23:52
Je bedoelt dat als die identifier in localstorage wordt opgeslagen, deze alleen met javascript verwerkt kan worden, en dat makkelijker te blokkeren is om zodoende de cookiemuur compleet te omzeilen?
Het enige wat je op dat moment op slaat als je nergens akkoord voor hebt gegeven, is dat de overlay open is geweest, zodat je die bij een volgende bezoek niet opnieuw. Je hoeft alleen te weten of iemand wel akkoord heeft gegeven en in dat geval kun je dat via een cookie zetten.

Overigens - een cookie is net zo makkelijk te manipuleren als local storage.
crisp Senior Developer @R4gnax • 17 oktober 2026 00:23
Tsja, dat is simpelweg niet hoe de centrale consenttool van DPG werkt... En het gaat hier niet zozeer om het manipuleren van de cookie, maar meer om te zorgen dat alle first-time visits via de cookieconsent lopen, en dit niet van javascript afhankelijk is.
Slechte consenttool dan.
Maar dat wisten we om diverse andere redenen al.

En bovenal: geen excuus.

[Reactie gewijzigd door R4gnax op 17 oktober 2026 00:25]

Ze kunnen het wel, op RTL site is er wel een knopje.

Maar ja, zal zeker een andere tak zijn en dan mag je natuurlijk de code niet delen i.v.m. bedrijfsgeheimen.
AuteurTijsZonderH Nieuwscoördinator @vDorst • 16 oktober 2026 18:51
Ik denk dat dat gewoon simpelweg nog niet geïntegreerd is omdat die overname pas vrij kort geleden rond is. Speculatie hoor, ik heb hier verder geen weet van.
Hij gaat gewoon naar https://myprivacy.dpgmedia.nl hoor, dus die integratie is wel gedaan. RTL België heeft alleen al een boete gehad voor een het missen van de weigeren knop, dus in Nederland proberen ze een nog hogere boete maar te voorkomen...
Wil je nou beweren dat je die 10 punten al niet van tevoren wist?
Je hebt het keurig en duidelijk samengevat, maar daar staat niets in wat al niet jaren overduidelijk was en wel vaker zo duidelijk verwoord. (wellicht niet door de AP)
volgens mij is het meer zo dat bedrijven zo moeilijk en vaag mogelijk doen om er mee weg te komen.
Je stelt dat jullie wel aan de wettelijke eisen willen voldoen. Maar ik lees niet terug waaruit dat blijkt. Je klaagt vooral dat anderen niet doen wat jullie graag willen of verwachten en jullie moeite moeten doen. Dat is nmm wel wat simpel.

De toezichthouder schrijft aan als je niet aan de wet lijkt te voldoen. Er ontbreekt nmm in je uitleg waarom jullie de wettelijke eisen kennelijk heel anders geinterpreteerd hadden en waarom jullie je eigen interpretatie redelijk vonden. Ik lees ook niet dat jullie moeite hebben gedaan te controleren of jullie wel aan de wet voldeden. En ik lees ook niet dat jullie behoorlijke juristen in dienst hebben genomen om de juridische eisen behoorlijk te begrijpen.

Ik ben het er mee eens dat het makkelijk zou zijn als communicatie meteen heel helder is. Maar op het moment dat je de wet aan het overtreden bent en niet duidelijk is dat een overtreder juridisch behoorlijke moeite heeft gedaan zich aan de wet te houden dan valt nmm wel te verwachten dat het veel juridischer gaat worden. De tijd van gemak om aan de wet te voldoen is vooral voordat de toezichthouder gaat ingrijpen. En daar is al heel veel tijd voor geweest dat zelf te regelen en er zeker van te zijn.
Punt 6 is denk ik altijd wel de lastigste, het express doen is natuurlijk uit den boze. Ik beheer zelf ook onze cookiefirst en daar staat de 're-consent' uit (feature welke hem op laat poppen tot je een consentdoel bereikt hebt).

Maar we hebben natuurlijk wel een consent lifetime, die mag een consent max een jaar bewaren (of korter) dus daarna komt hij sowiezo weer opnieuw. Tegelijk als de consent inhoudelijk veranderd (nieuwe partijen komen erbij in een groep die al consent had) dan moet dat expliciet gevraagd worden. En cookiebetrouwbaarheid. Je kan best je identifier op de client kwijt raken waardoor je ook weer een nieuwe cookiepopup krijgt.
Maar we hebben natuurlijk wel een consent lifetime, die mag een consent max een jaar bewaren
Die maximale bewaartermijn bestaat wettelijk niet. Noch de EU e-privacy richtlijn, noch de AVG/GDPR meldt hier iets over. Die termijn is een compromis voortgekomen uit sommige nationale handhavende autoriteiten zoals het Franse CNIL die een flater begaan hebben. De Article 29 Working Party (WP29) werkgroep van de EU, verantwoordelijk voor de GDPR en de afgeschoten e-privacy verordening (wat de opvolger van de e-privacy richtlijn zou worden) heeft tijdens het rafineren van die wetsvoorstellen notities gemaakt die o.a. de technische limitaties voor de houdbaarheid van cookies uitdrukten. CNIL en aan aantal anderen hebben die letterlijk als houdbaarheidsadvies overgenomen, wat als een tang op een varken slaat.

(WP29's originele notities stelden 13 maanden trouwens; en niet een jaar. Dus zelfs het foutieve overnemen hebben ze verkneusd.)
Bedankt, weer wat geleerd. Laat ik hem ietsjes anders formuleren zodat het voor mij wel klopt:
"die consent mag in cookiefirst maximaal op 1 jaar bewaartermijn staan in de dashboard"
Ja- dat kan ik me indenken. Als de tool zelf het afdwingt omdat ze met de grootste gemene deler rekening moeten houden, incl. bijv. CNIL en hun hersenspinsels, dan kun je niet anders.
Geen toestemming? Geen tracking. Plaats pas cookies waarvoor toestemming nodig is nadat je die toestemming hebt. Duh.
Hoe sla je dat op eigenlijk? Met een cookie?
Dat is een functionele cookie (voor functionaliteit van de website) die niet met derden gedeeld wordt. En dus geen toestemming voor nodig ;)
Correct. dat is een legitiem belang voor een cookie.
Fijne samenvatting van diverse "instructies" die het niet lukt echt concreet te maken
Wat een subjectieve rommel is dat allemaal :+

Vooral punt 6 vind ik wel mooi, want hoe moet je dan bijhouden dat iemand geen cookies wil? Of valt dat onder functionele cookies die wél mogen?

[Reactie gewijzigd door Oon op 17 oktober 2026 10:41]

Ja, het gaat om gegevensdeling en het plaatsen van trackingcookies. Een cookie met een bitje "heeft cookiewall afgewezen" mag dus gewoon.
Wat een subjectieve rommel is dat allemaal
Tja je leest hier een opsomming van een random Tweakers gebruiker. De website van de AP heeft een deel waar duidelijk uitgelegd staat waar je cookiebanner aan moet voldoen: https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners

[Reactie gewijzigd door Ghoelian op 19 oktober 2026 10:08]

Je kunt natuurlijk afgeven op de taal, formulering en communicatie maar je had de cookie banner ook gelijk goed kunnen implementeren. Het is niet dat die regels uit de lucht komen vallen of compleet onduidelijk zijn.
De organisaties kregen van de AP de kans hun cookiemuur aan te passen. "Het merendeel van de organisaties, zo'n 70 procent, past daarop een verkeerde cookiebanner aan", zegt de AP. In twee gevallen is dat dus daadwerkelijk gebeurd; daar begint de AP een onderzoek naar.
Huh? Wat is het verschil tussen 'een verkeerde cookiebanner aanpassen' en 'dat daadwerkelijk doen'? Hier valt geen touw aan vast te knopen. Heeft die 70 procent verkeerde cookiebanners aangepast, zodat ze nu wel goed zijn? Dan is dus 30 procent nog niet in orde? En van die dertig procent worden dus twee gevallen onderzocht?
Dat is een probleem met het artikel hier op Tweakers. De auteur laat teveel van de context rondom het citaat weg en heeft daarnaast ook de zinsconstructie verkeerd van de website van de AP overgenomen. En de eindredactie vond het kennelijk best.

Wat de AP daadwerkelijk geschreven heeft:
Deze organisaties krijgen de kans orde op zaken te stellen. De AP helpt daarbij met handvatten voor een goed cookiebeleid en vuistregels voor heldere cookiebanners. Het merendeel van de organisaties, zo’n 70 procent, past een verkeerde cookiebanner daarop aan.
Het is vooral de (verkeerde) plaatsing van het woord 'daarop' wat het hem doet en wat tot ambiguiteit leidt.

[Reactie gewijzigd door R4gnax op 16 oktober 2026 22:19]

AuteurTijsZonderH Nieuwscoördinator @Krulliebol • 18 oktober 2026 10:11
Het probleem in die zin zit in 'in twee gevallen is dat gebeurd', dat moest slaan op dat de AP een onderzoek begon. Ik heb die zin inmiddels aangepast.
IMO moet er gewoon een geautomatiseerde oplossing (voor het afwijzen van cookies) komen, van al die banners / modals wordt je niet blij.
Daar zitten wat nuances aan. En dan ga ik eerst een beetje pietluttig doen. Onder de AVG is de default geen toestemming. Je zou dus geen cookies moeten afwijzen (al dan niet geautomatiseerd), maar slechts geen toestemming geven. Beetje pietluttig, maar opt-in versus opt-out is belangrijk.

Maar er is een stukje van de AVG dat structureel genegeerd wordt, zowel in de naleving als de handhaving, die eigenlijk al deze ergernis zou moeten oplossen. Artikel 7(3) schrijft in de laatste zin voor dat toestemming intrekken net zo makkelijk moet zijn als het geven. Als dat nageleefd zou worden zou dat het probleem al oplossen. Wat mensen irritant vinden is dat die toestemmingsschermen geforceerd voorgeschoteld worden. Als 7(3) serieus neemt zou je dan na het geven van de toestemming een toestemmings-intrek-vraag even geforceerd voor moeten blijven schotelen. Dat is natuurlijk onwerkbaar. De enige werkbare oplossing die ik ken is om de toestemmingsvraag neutraal en redelijkerwijs negeerbaar beschikbaar te stellen zodat de intrek-optie even gemakkelijk beschikbaar kan blijven. Maar de AP neem dit vereiste met bijna voelbare tegenzin oppervlakkig mee in de nromuitleg en handhaaft er niet op. Dat is jammer, want de impact hiervan zou enorm kunnen zijn op de ergernissen rondom cookiebanners.
De default is al dat je ze afwijst in principe.

Het is namelijk zo van per wet is geregeld dat je toestemming nodig hebt voor cookies te plaatsen wat betekent dat je automatisch de cookies afwijst en dus niet geplaatst mogen worden.

Het is dus eigenlijk per wet onmogelijk om cookies te plaatsten zonder dat iemand clickt op accepteren. Een geautomatiseerde oplossing is dus eigenlijk ook niet nodig immers het plaatsen mag al niet.

Je kan bijvoorbeeld ook gewoon ergens onderin een knop plaatsen "ik wil getrackt worden" maar ja dat gaat natuurlijk niemand ooit doen want geld.
Wat ik zo bijzonder vind aan de hele toestemming voor tracking cookies: ik kan me mij niet inbeelden dat iemand dit écht wél wil. Men stemt er mee in, omdat ze er geen kwaad in zien of snel die irritante cookie melding weg willen hebben.

Die cookie melding beschouw ik als een dark-pattern, verkapt als 'transparantie'.

Stel het mocht niet meer, zouden internetgebruikers dan gaan klagen over dat ze hun trackers terug willen?

Wat ik trouwens een mooie oplossing zou vinden tegen die toestemmingsverzoeken: er komt een universele instelling in browsers of een cookie (!) waarmee een gebruiker standaard aangeeft "ik geef nergens toestemming", waarmee de gebruiker helemaal geen toestemmingsverzoek krijgt te zien. De zuiver functionele cookies, mogen dan - net als elke andere verwerking - netjes duidelijk in een privacyverklaring staan. Een soort digitale Nee Nee-sticker. Websites moeten dit honoreren of riskeren handhaving (die gemakkelijk geautomatiseerd kan worden).

[Reactie gewijzigd door E!Ma0RB7 op 18 oktober 2026 00:36]

Dit universele oplossing (in de vorm van DNT) is gebouwd. Er is een heel belangrijk punt waarop een groot deel van de industrie heeft geweigerd de standaard te ondersteunen: de AVG-achtige opt-in toestemming in plaats van opt-out kon men niet accepteren. Dat een aantal van de grootste browser-makers ook online advertentiebedrijven heeft zal ook niet hebben geholpen.

In huidige cookiebanners zie je inderdaad ook veel (onrechtmatige) dark patterns. Is het niet nudging richting toestemming, dan wordt het intrekken van geven toestemming wel lastiger gemaakt dan het geven. En vrijwel niemand volgt ingetrokken toestemming überhaupt op door ook netjes alles te (laten) verwijderen dat wordt verwerkt op basis van de zojuist ingetrokken toestemming.

En dat alles heeft natuurlijk een reden: vrijwel niemand heeft toestemming als het echt een vrije, geïnformeerde keuze is.
Dit universele oplossing (in de vorm van DNT) is gebouwd.
Do-Not-Track is afgerangeerd en er is een streep door de standaard gehaald.
De vervanger is Global Privacy Control (GPC).

Californië heeft trouwens goed geleerd van Artikel 21.5 in de AVG en daar geldt vziw met naam en toenaam een wettelijke plicht om je te houden aan het signaal wat GPC geeft, zodat er niet onder uit gewurmd kan worden door te claimen dat het niet een breed genoeg gedragen standaard betreft. Iets waar de variant in de AVG in principe nog wel gevoelig voor is.

[Reactie gewijzigd door R4gnax op 19 oktober 2026 19:59]

Maar de AP neem dit vereiste met bijna voelbare tegenzin oppervlakkig mee
Dat verbaast me niet. Houdt er rekening mee dat de AP eerder ook al stug vol bleef houden dat het opwerpen van een cookiemuur toegestaan was als er een betaalde toegang als alternatief bestond, ondanks dat er al jaren een lezing van de EDPB lag die het tegendeel uitsprak, en dat de AVG/GDPR letterlijk stelt dat alle nationale toezichthouders zich aan lezingen van de EDPB moeten conformeren.

De AP houdt er niet zo van, als ze zelf ongelijk hebben.

[Reactie gewijzigd door R4gnax op 16 oktober 2026 21:56]

crisp Senior Developer @R4gnax • 16 oktober 2026 23:15
En toch zie ik de laatste tijd weer steeds vaker pay-or-consent opduiken bij Nederlandse media (o.a. Bright en Buienrader)... :/
De AP houdt er niet zo van, als ze zelf ongelijk hebben.
Wie wel?
Het is zeker niet perfect maar dit kan je een deel naar die droom helpen: https://github.com/cavi-au/Consent-O-Matic
Die doet niet eens de cookiewall van de DPG die door tig media in Nederland wordt gebruikt, dus niet echt nuttig.
Is bekend: https://github.com/cavi-au/Consent-O-Matic/issues/500.

Met mijn patch werkt het wel: https://github.com/cavi-au/Consent-O-Matic/pull/592

Wordt echter niets met PR gedaan.
Dus zolang hij open is kun je deze url toevoegen in consent-o-matic prefs:

https://raw.githubusercon...edia-fix1/rules-list.json
Omdat die een aantal specifieke cookie portals niet verwerkt is het "dus niet echt nuttig"? Dit ding triggert constant, ik vind het SUPERnuttig. Ik zou zelfs niet meer zonder kunnen; door elke portal gaan om te zien of "weigeren" echt weigeren is omdat "legitimate interest" manueel moet afgevinkt worden, etc. Mabon, de cookiewall van DPG doet 'm niet, dus niet echt nuttig 8)7
Vroeger had je de do-not-track (DNT) header, maar die word al een tijd niet meer gerespecteerd omdat sommige browsers hem standaard aan hadden wat volgens sommigen niet zou mogen, en het respecteren was volledig optioneel, dus marketeers zijn het en masse gaan negeren.
Bor Coördinator Frontpage Admins / FP Powermod @Gropah • 16 oktober 2026 17:56
De DNT header werd nooit goed gerespecteerd. Het is niet meer dan een vriendelijk verzoek dat technisch gezien gewoon genegeerd kan worden. Dat gebeurde al vanaf de introductie veelvuldig.

[Reactie gewijzigd door Bor op 16 oktober 2026 17:57]

Wel het jammere eraan is dat diegene die het wel zo ingesteld hadden, een duidelijk signaal afgaven.

Dat die aanbieders dit op allerlei manieren ontduiken, maakt het er niet minder om of gewild of dat het maar goed is.
Helaas wel, maar zulke headers zouden mi. gewoon in de wet vastgelegd moeten worden en websites die het negeren gewoon van buitenaf geblokkeerd worden + hoge boetes totdat ze het netjes verwerken.
Technisch gezien te negeren. Wettelijk gezien niet. AVG Artikel 21.5 - "In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande Richtlijn 2002/58/EG, mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties."

Dat is vervallen toen DNT als W3C Recommendation viel.
Maar de rol van Do Not Track is ondertussen overgenomen door Global Privacy Control (GPC) - wat wel nog steeds een officieel staande specificatie is die door alle browsers geimplementeerd wordt. En daar heb je je dus wettelijk aan te houden, of je bent in overtreding van de AVG.

21.5 is trouwens ook waar ad-blockers onder vallen. Vziw precedent over geweest binnen de Duitse gerechtshoven. Dus anti ad-blocker techniek is in die lezing het niet respecteren dan wel direct frustreren van het uitoefenen van het recht van bezwaar door een betrokkene, en daarmee beboetbaar.

[Reactie gewijzigd door R4gnax op 16 oktober 2026 21:51]

Het grotere probleem is dat het websites juist meer informatie geeft om jou te beter fingerprinten. Dit is ook waarom privacybewuste browsers over het algemeen aanraden om die optie uit te laten.
Ja precies, de EU zou moeten afdwingen dat deze gerespecteerd moet worden (en dan ook geen cookiewall gegeven mag worden).

Dan komt hij zo weer terug in alle browsers.

En standaard aan staan is helemaal geen probleem want tracking hoort opt-in te zijn, niet opt-out. Dus standaard de flag aanzetten is precies wat er moet gebeuren.
https://istilldontcareaboutcookies.com/

En ik snap ook niet dat browsers geen betere opties bieden. Ik heb mijn browser op whitelist only gezet (qua cookies / local storage / etc), en heb er zelf een frontend voor gevibecode om dit bij te werken, want in Firefox vind ik het niet gebruiksvriendelijk om te beheren.
Als ik het zo even bekijk haalt dit de banners weg. Dat is functioneel nogal anders dan cookies weigeren. Cookies worden nog steeds geplaatst en waarschijnlijk worden alle cookies mbt "legitimate interest" gewoon geplaatst. Ik gebruik nu zelf al een tijdje consent-o-matic, ontwikkeld door een Deens universiteit die je kunt instellen hoe om te gaan met cookies. Voor mij vult ie bij zowat alles in dat ik geen toestemming geef voor legitimate interest.
Ik gebruik Consent-O-Matic ook, inmiddels al jaren; echt een topextensie. Ik stel in dat alleen preferences worden geaccepteerd en de rest niet. Want ik wil niet dat het voor dezelfde site bij elk bezoek opnieuw de cookiewall moet gaan instellen. Het werkt soms niet en dat komt, denk ik, doordat maintenance al een tijdje op een laag pijtje zit.

[Reactie gewijzigd door Blizz op 16 oktober 2026 19:25]

Klopt, vandaar dat ik ook een whitelist heb, daarmee worden de cookies en local storage bij afsluiten gewoon weer verwijderd. Op die manier blijft alles functioneel, maar blijft er toch niets achter. Je kan ook een cookie auto delete extensie gebruiken, maar die zorgt meestal niet dat ook local storage wordt verwijderd, en dat wordt tegenwoordig vrijwel net zo veel misbruikt voor tracking.

[Reactie gewijzigd door Defspace op 16 oktober 2026 19:48]

Dat zou dan weer illegaal zijn.

Er moet namelijk toestemming zijn en zolang ik niks klik geef ik geen toestemming, ook legimate interest (wat echt keihard misbruikt word trouwens) is dan niet legaal.
Ik klik meestal op disable Java Script in uBlock. Sommige websites moet je tig instellingen door om te weigeren.
Heeft het mogelijk te maken met de tracking data te maken die Tweakers/DPG Media plaatst? :Y)
Het artikel is een beetje onduidelijk:
De organisaties kregen van de AP de kans hun cookiemuur aan te passen. "Het merendeel van de organisaties, zo'n 70 procent, past daarop een verkeerde cookiebanner aan", zegt de AP. In twee gevallen is dat dus daadwerkelijk gebeurd; daar begint de AP een onderzoek naar.
Ik neem aan dat bedoeld wordt dat de meerderheid dus de cookiemuur aanpast zodat die wel aan de wet voldoet. En dat er dus 2 gevallen onderzocht worden waar de bedrijven geen aanpassing hebben gedaan.

“…past daarop een verkeerde cookiebanner aan.” Kan je ook lezen als “de AP bedoelde dat cookiebanner A moest worden aangepast, maar ze hebben cookiebanner B aangepast.”

“In twee gevallen is dat dus daadwerkelijk gebeurd…” moet volgens mij zijn: “In twee gevallen is dat dus NIET gebeurd.”
Gaat dit over die blauw-witte micromanage cookie vensters, met 100'en schuifjes? die zijn vreselijk. Geef standaard een opt-out dan zijn we verlost.
geef als website de browser maker de schuld en stop met cookiemuren want het werkt gewoon niet. Browsers kunnen veel beter limiteren welke data waar heen gaat, in theorie is bijvoorbeeld alleen uitlezen mogelijk zodat er geen copie gemaakt kan worden, dan heeft alleen de eindgebruiker het volledige regie in handen van zijn eigen data. En beloon dan ook de eindgebruiker voor het gebruik van die data bij iedere nieuwe verzoek tot inzage, dan is het snel afgelopen met het gegraai.

[Reactie gewijzigd door bbstreams op 18 oktober 2026 01:31]

De websites die hier problematisch mee zijn willen die controle helemaal niet uit handen geven aan browsermakers. Dat zou nl. betekenen dat alle dark patterns waar deze website partijen nu dankbaar misbruik van maken om hun bezoekers te naaien, en ze zover te krijgen hun privacy op te geven voor een paar advertentie-pegels, dan niet meer mogelijk zijn.
Welke 2 organisaties?

Kunnen gerust met naam worden geplaatst als men al zo ver is, dat men nu verdere stappen wil ondernemen en dat alle normale waarschuwingen, niets hebben voort gebracht.

Het zijn nm de 2 rotte appels in de mand.


edit; typo

[Reactie gewijzigd door GameNympho op 16 oktober 2026 17:57]

Dat is letterlijk hoe AP het gecommuniceerd heeft, dus ik vermoed dat je momenteel enkel kan speculeren welke bedrijven het zijn.
Inderdaad. Het is niet het beleid van de AP om bedrijven aan de schandpaal te nagelen.
Hoewel ik laatst wel iets las dat ze voortaan bij een boete wat eerder gaan publiceren dat een bedrijf een boete heeft gekregen. Dat hielden ze in het verleden vaak ook geheim.

Maar in dit geval gaat het pas om een onderzoek, dus er is nog niet eens bepaald of er een boete komt.

Je zou denken dat je wel erg hardleers moet zijn om na een waarschuwing alsnog je cookiemuur niet aan te passen. Maar het simpele feit dat ze het ook na een waarschuwing niet hebben gedaan betekent waarschijnlijk dat ze denken goede juridische argumenten te hebben voor hun handelen. Ik ben heel benieuwd wat er uit komt. Dat ze maar twee bedrijven onderzoeken terwijl 30% nog niet heeft aangepast betekent denk ik ook dat het geen hamerstukken zijn.
AuteurTijsZonderH Nieuwscoördinator @mjtdevries • 16 oktober 2026 18:02
Hoewel ik laatst wel iets las dat ze voortaan bij een boete wat eerder gaan publiceren dat een bedrijf een boete heeft gekregen. Dat hielden ze in het verleden vaak ook geheim.
Voor zover ik weet hebben ze dat zelden zelf achtergehouden. Ik weet van één boete dat die nooit gepubliceerd is maar wel op rechtspraak.nl was verschenen, maar verder worden de meeste boetes wel gepubliceerd.

Als een boete wordt achtergehouden, is dat doorgaans omdat het bedrijf daar zelf om vraagt, al dan niet tijdelijk zolang er bijvoorbeeld een hoger beroep loopt.

Dat ze de boetes nu sneller gaan publiceren, is een verplichting vanuit Europa, niet omdat ze dat zelf willen.
Het openbaarmakingsbeleid is een beetje ingewikkeld als je naar deze cookiebrieven kijkt. Sinds kort moet de AP alle door haar genomen beschikkingen tot het opleggen van een bestuurlijke sanctie openbaar (vernieuwing van de UAVG). Maar ondanks dat de AP deze brieven 'waarschuwingen' noemt, zijn het geen waarschuwingen onder de AVG en (volgens de AP) ook geen besluiten. Deze brieven worden dan ook niet gepubliceerd. Maar, ondanks het wat stellig taalgebruik in de persberichten stelt de AP eigenlijk ook niet echt overtredingen vast. Hoewel de AP niet erg zorgvuldig is in het taalgebruik en dat soms dan toch wel opschrijft. Inhoudelijk kan de AP ook best wel onzorgvuldig zij en ik heb dingen gelezen in die brieven die echt niet kloppen. Maar de ontvangers van de brieven kunnen zich ook niet echt verweren: omdat het geen besluiten zijn kan met niet in bezwaar. Dus wat dat betreft is het maar goed dat er geen brieven met een soort suggestieve beschuldigingen waartegen de verwerkignsverantwoordelijken niet in verweer kunnen gaan niet worden gepubliceerd. Aan de andere kant: alle betrokkenen hebben recht om geinformeerd te worden over de verwerking van hun persoonsgegevens en het wordt betrokkenen nu wel ontnomen om bijvoorbeeld om verwijdering van de al verzamelde persoonsgegevens te vragen.
Als ze dat nu zouden zeggen, zouden die partijen snel hun cookiewalls kunnen aanpassen, dus dat komt later pas naar buiten als er sancties uitgedeeld worden.
Dat is absoluut niet de reden. Er zijn organisaties die de AP een stuk of vijf waarschuwingen gegeven heeft zonder nog maar aanstalte te maken om een boete op te leggen. Ik zie vanuit een paar verschillende kanten hoe de AP dit aanpakt. Ongeveer elk excuus om maar te kunnen beweren dat het lijkt alsof men de overtreding wil beeindigen wordt gebruikt als excuus om niet te hoeven handhaven.

De echte reden is dat in deze cookiebrieven eigenlijk geen overtredingen worden vastgesteld. Er wordt stevig gesuggereerd dat er dingen zijn gezien die toch wel heel erg lijken op overtredingen. Dat zal meestal wel kloppen, maar ik heb ook echt absurde fouten gezien. De betreffende organisaties kunnen zich ok niet verweren: er wordt namelijk niet een besluit genomen dus bezwaar is niet mogelijk. De ontvanger van de brief moet doen wat er in de brief staat of anders kan de AP een onderzoek starten om uit te zoeken of wat er in de brief staat terecht was en eventueel een boete op te leggen. Maar het is veel efficienter als men gewoon gelijk gehoorzaamd.
Als ik zou mogen gokken: marktplaats. Daar heb je 2 knoppen, accepteren en instellingen. Weigeren kost 2 klikken terwijl accepteren maar 1 kost en dat mag voor zover ik weet niet.
Het suggestieve taalgebruik van de AP is hier link. Bij niemand van de aangeschreven partijen is een overtreding vastgesteld. Bij deze twee partijen gaat de AP nu in eerste instantie onderzoeken of de brief eigenlijk terecht verstuurd is. Als de overtreding wel al was vastgesteld was er geen onderzoek nodig maar had de AP meteen kunnen handhaven.
Wat offtopic maar; als je enkel analytics wil gebruiken zijn er ook mooie alternatieven tov Google waarbij er geen cookie banner nodig is. Stuk gebruiksvriendelijker imo voor je bezoekers en geen data naar Google. Wij zijn over op opensource project Umami.
Heeft weinig met google te maken. Zodra je een uniek id hebt zit je al in de hoek van toestemming. Het gaat om het achterlaten van informatie conform telecommunicatiewet. De grens is vrij laag .
Skoften zou een onderzoekje waard zijn

Om te kunnen reageren moet je ingelogd zijn