De Europese Unie ligt een voorstel op tafel dat een van de meest repetitieve ervaringen van het huidige web zou kunnen veranderen: privacy-instellingen vanaf de browser of het besturingssysteem configureren en ervoor zorgen dat websites automatisch die keuze respecteren. Een coalitie van 19 organisaties, bedrijven en academische instellingen onder de campagne Kill the Cookie Banner pleit ervoor dat dit mechanisme wordt behouden in de onderhandelingen over het Europese Digital Omnibus.
De kernpunten van de toekomst van cookie-banners in 20 seconden
- Artikel 88b stelt voor om automatische privacy-signalen een wettelijke status te geven.
- Browsers en andere actoren zouden toestemming, afwijzing, intrekking of oppositie kunnen doorgeven.
- GPC en ADPC demonstreren dat deze ideeën al referentietechnologieën hebben.
- De coalitie wil voorkeuren differentiëren op basis van bedrijf en doel.
- De onderhandelingen verlopen nog, en banners zullen nog niet verdwijnen.
Het voorstel is vooral technologisch interessant omdat het de interactieplaats verandert. Momenteel presenteren websites hun eigen consent-beheersysteem, gewoonlijk een Consent Management Platform (CMP). De gebruiker reageert en de site registreert welke categorieën geactiveerd kunnen worden.
Het door de coalitie voorgestelde model keert dat proces deels om.
De browser, het besturingssysteem, de app of het agent van de gebruiker zou kunnen fungeren als de bron van een gestandaardiseerd signaal dat vooraf de voorkeuren communiceert. Wanneer een website zo’n juridisch geldig signaal ontvangt, moet deze erop handelen zonder onnodig dezelfde vraag opnieuw te stellen.
Het is geen blokkeringsmiddel voor cookies noch een universele optie om ze allemaal te weigeren. Het voorstel voorziet in een veel fijnmaziger mechanisme: verschillende beslissingen afhankelijk van de verwerkingsverantwoordelijke en het doel.
Van het CMP van elke website naar een signaal dat door de browser wordt verzonden
De huidige banners bestaan door een combinatie van wettelijke vereisten en ontwerpkeuzes.
Cookies die strikt noodzakelijk zijn voor bepaalde diensten hoeven niet hetzelfde behandeld te worden als cookies voor reclame, meting of tracking. Wanneer toestemming vereist is, moet deze voldoen aan de voorwaarden van de Algemene Verordening Gegevensbescherming (AVG).
Het voorstel in artikel 88b beoogt die vereisten niet weg te nemen.
Wat het probeert te veranderen, is de interface voor het uiten van de beslissing.
Een eenvoudige implementatie zou als volgt kunnen werken:
Gebruiker → browser of besturingssysteem → privacy-signaal → website of app → CMP/consent-systeem
De website zou de voorkeur al ontvangen voordat ze beslist of ze een extra interface moet tonen.
De brief van Kill the Cookie Banner eist dat signalen vier hoofdhandelingen kunnen representeren: toestemming geven, weigeren, eerdere toestemming intrekken en bezwaar maken tegen bepaalde verwerkingen.
Daarnaast moet de doorgegeven toestemming via deze methodiek blijven voldoen aan artikel 4.11 van de AVG. Automatisering mag de juridische vereisten niet ondermijnen om geldig te zijn.
| Laag | Huidig model | Voorgesteld model |
|---|---|---|
| Browser | Laadt pagina en controles | Geeft ook voorkeuren door |
| Web | Vraagt aan de bezoeker | Interpretatie van het signaal |
| CMP | Vindt en slaat beslissing op | Kan een eerdere beslissing verwerken |
| Gebruiker | Stelt per website in | Definieert voorkeuren vooraf |
| Persistentie | Afhankelijk van elke dienst | Negatief wordt bewaard totdat deze wordt gewijzigd |
| Doelstellingen | Keuze binnen banner | Kunnen worden uitgedrukt via signalen |
De technische verandering lijkt klein, maar kan de werking van de online privacy-industrie aanzienlijk beïnvloeden.
CMP’s zouden niet per se verdwijnen. Ze kunnen evolueren om externe signalen te interpreteren, het bereik ervan te controleren, bewijs vast te leggen en te bepalen wanneer verdere interactie nog nodig is.
GPC en ADPC anticiperen al deels op dit model
Europa hoeft niet vanaf nul te beginnen.
Global Privacy Control (GPC) maakt het mogelijk dat browsers en andere tools een signaal sturen dat bepaalde privacyvoorkeuren aangeeft.
Het concept doet denken aan de oude Do Not Track (DNT), maar er is een cruciaal verschil: het versturen van een technische header helpt weinig als websites niet juridisch verplicht zijn om dit te respecteren.
Dat was een van de grote problemen van DNT.
GPC heeft momenteel juridische erkenning in bepaalde Amerikaanse jurisdicties. De Europese campagne noemt het als bewijs dat een automatisch door de gebruiker verzonden signaal binnen een regulatoir kader kan worden opgenomen.
Artikel 88b wil verder gaan dan enkel een opt-out.
De brief noemt ook Advanced Data Protection Control (ADPC), ontwikkeld in samenwerking met de Universiteit voor Economie en Bedrijf van Wenen en organisaties zoals noyb.
ADPC streeft ernaar complexere voorkeuren uit te drukken, inclusief toestemming voor specifieke doeleinden of verwerkingsverantwoordelijken.
De coalitie stelt voor dat de toekomstige Europese standaard het bestaande technische werk benut, maar dat de juridische betekenis van elk signaal door de EU-wetgeving wordt bepaald, niet door de technologische standaard zelf.
Standaardisatieorganisaties zouden vragen over interoperabiliteit, formaten en transmissie moeten oplossen zonder de rechten vastgesteld door regelgeving opnieuw te definiëren.
Verzet moet overblijven bij volgende bezoeken
Hier ligt waarschijnlijk de meest relevante verandering voor de gebruikerservaring.
Als iemand via de browser aangeeft een behandeling te weigeren, wil de coalitie dat die negatieve keuze geldig blijft totdat de gebruiker deze zelf wijzigt.
Een website zou die weigering niet kunnen negeren door meteen een nieuw scherm te tonen met vrijwel dezelfde vraag.
De ondertekenaars eisen dat het signaal voorrang krijgt boven latere verzoeken over dezelfde behandeling, en dat bedrijven niet kunnen ontwijken door interfacewijzigingen, andere terminologie of herhaalde verzoeken.
Dit pakt een van de grote problemen van het huidige systeem aan: de zogeheten consent fatigue (vermoeite met toestemming).
Wanneer iemand tientallen of honderden keren soortgelijke interfaces beantwoordt, wordt de interactie een formaliteit. Bovendien bevatten bepaalde banners meer stappen om te weigeren dan om te accepteren, iets dat Europese privacytoezichthouders al jaren onderzoeken.
Met een persistent signaal zou de architectuur anders worden. De beslissing wordt in een laag genomen die vooral door de gebruiker wordt gecontroleerd en automatisch wordt doorgegeven aan de diensten.
Chrome, Safari en Edge kunnen een cruciaal element worden
Het overbrengen van voorkeuren via de browser lost een probleem op, maar introduceert een ander: wie controleert de browser?
Google Chrome, Apple Safari en Microsoft Edge maken deel uit van platforms die worden beheerd door enkele van de grootste techbedrijven ter wereld. Android en iOS voegen een tweede controlelaag toe wanneer voorkeuren via het besturingssysteem worden beheerd.
De brief besteedt hier speciale aandacht aan.
De ondertekenaars willen voorkomen dat dominante bedrijven of gatekeepers de signalen zo ontwerpen dat ze hun commerciële belangen dienen of hun marktpositie versterken.
Specifiek wordt Google genoemd in relatie tot de browsers en wordt geëist dat dominante systemen voorkeuren zonder extra interferentie kunnen doorgeven.
Ook worden onafhankelijke apps en agenten gevraagd deze signalen te kunnen verzenden.
Dit wordt nog belangrijker naarmate het aantal browsers en agenten gebaseerd op kunstmatige intelligentie toeneemt. Wanneer een groot deel van de navigatie via assistenten gebeurt die diensten bezoeken, informatie vergelijken of handelingen uitvoeren voor de gebruiker, moet ook worden vastgesteld welke privacyvoorkeuren daarbij horen.
Het onderliggende principe blijft hetzelfde: de keuze moet bij de gebruiker blijven en door het agentsysteem worden meegenomen, niet afhankelijk van de interfaces van individuele websites.
De precedentwerking van Do Not Track onderstreept het belang van een wettelijke verplichting
De geschiedenis van het internet bevat een soortgelijke poging.
Do Not Track maakte het mogelijk een HTTP-signaal te sturen dat aangaf dat de gebruiker niet getraceerd wilde worden. Veel browsers ondersteunden dit, maar de aanpak kreeg nooit brede acceptatie.
Een van de zwaktes was dat zo’n signaal niet automatisch afdroeg dat diensten zich eraan moesten houden.
Artikel 88b probeert dit probleem te ondervangen door een correlatie te leggen tussen technische signalen en juridische verplichtingen.
De coalitie wil dat aanbieders en andere partijen die toegang hebben tot opgeslagen informatie op apparaten de automatisch verzonden en wettelijk geldige signalen moeten respecteren.
Dit is de sleutel die een browservoorkeur onderscheidt van andere configuratie-opties in het menu.
Cookie-banners hebben nog geen vaste datum voor verdwijnen
Het is niet de bedoeling dat ze morgen verdwijnen. Het artikel 88b maakt deel uit van de onderhandelingen over het Digital Omnibus, en de brief van 10 september benadrukt dat de voortzetting ervan niet is gegarandeerd.
De ondertekenaars vragen de Ierse Presidensie om artikel 88b opnieuw op te nemen in haar volgende compromistekst. Ze roepen ook de lidstaten, het Europees Parlement en de Commissie op om een versterkte versie van het voorstel te ondersteunen.
Het zou dus verkeerde conclusies zijn om te stellen dat de EU heeft besloten banners af te schaffen.
Zelfs bij goedkeuring moet er nog gewerkt worden aan het standaard, de implementaties en aanpassing van browsers, besturingssystemen, CMP’s, advertentieplatforms, apps en websites.
De verandering kan groot zijn, omdat de banner slechts het zichtbare deel is van een veel grotere technische infrastructuur.
Achter de schermen bevinden zich tag-managers, advertentieplatforms, analysetools, CMP’s, consent-API’s en systemen die de beslissingen van elke bezoeker bewaren.
Kill the Cookie Banner stelt voor om de toegangspoort tot al die keten te wijzigen.
In plaats van elke website opnieuw aan de gebruiker te vragen wat hij wil, zou de browser met het antwoord al klaar kunnen zijn.
Als artikel 88b uiteindelijk de Europese onderhandelingen doorstaat, zal de grootste verandering niet zijn dat een vervelende pop-up verdwijnt. Het zal zijn dat de privacy-voorkeur wordt omgezet in een interoperabel signaal dat technisch de gebruiker door het web begeleidt.
Bron: Sociale Media