Veel grote websites niet AVG proof

Vrijdag 25 mei was er grote paniek. Vanaf die dag moet iedereen aan de AVG wetgeving voldoen. Onder de AVG, ook wel Algemene verordening gegevensbescherming en GDPR genoemd, moeten bedrijven veel meer toestemming vragen aan consumenten. Pas na toestemming mogen zij hun data commercieel inzetten. Van plaatselijke amateurvereniging tot bank en van sociaal netwerk tot online marketing bureau. Niemand ontkomt aan de nieuwe Europese privacywet. Alles wat te maken heeft met het tracken en tracen van mensen, het opnemen van mensen in lijsten, het gebruik van remarketing valt onder die privacy wetgeving. Last minute werd naar alle abonnees nog een groot aantal mails gestuurd met betrekking tot vernieuwde privacy verklaringen.

Grote partijen als eerste aan de beurt bij handhaving

Minister Sander Dekker van Rechtsbescherming heeft in een interview met NOS aangegeven dat kleine organisaties niet direct bang hoeven te zijn voor de AVG wet. Volgens hem zal de Autoriteit Persoonsgegevens niet direct boetes uitdelen. Hoewel hij wil dat de Autoriteit Persoonsgegevens goed toeziet op naleving van de wet, moet er ook schappelijk mee omgegaan worden. Minister Dekker geeft wel aan dat kleine organisaties moeten laten zien dat zij zich met de nieuwe privacywet bezighouden: “gegevens mogen niet in de verkeerde handen vallen.”

Van grote organisaties verwacht de minister wel dat ze helemaal conform de AVG wet zijn. “Als grote bedrijven er met de pet naar gooien en jouw of mijn gegevens op straat liggen, dan heb je echt een probleem.” Aleit Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, sluit zich bij de woorden van de minister aan. Hoewel de maatregelen minder zwaar worden toegepast dan aangekondigd, geeft hij in diverse interviews wel aan dat de grote partijen als eerste aan de beurt komen bij handhaving. Maar hoe hebben de grote partijen het sinds het ingaan van de AVG wet opgepakt?

Hoe het niet moet: deze websites schenden de AVG/GDPR wet

Kranten en publishers spannen de kroon. De Telegraaf biedt namelijk een niet functionele website wanneer je niet akkoord wilt gaan met de cookies die zij plaatsen. Dit is uitdrukkelijk verboden. Websites moeten altijd blijven werken, ook al deel je niets. Ook NRC doet hier vrolijk aan mee. Geen cookies? Dan ook geen website. Als je denkt dit te omzeilen door op ‘lees meer’ te klikken plaatsen zij cookies. Tot slot maakt de Volkskrant er ook een potje van. Hoewel ze een pagina hebben met een uitleg over alle cookies, bieden ze niet de mogelijkheid tot uitschrijven. Daarbij is het onmogelijk om de website te bekijken als je niet akkoord gaat.

Nieuwssite Tweakers.net geeft bezoekers alleen de mogelijkheid tot opt in. Wil je dat niet? Dan heb je pech. De website van Emerce biedt geen optie voor bezoekers om via de website cookies uit te schakelen. Dit kan je alleen doen met je browser. Heb je de cookies eenmaal verwijderd? Dan laden ze vervolgens alsnog een groot aantal cookies in. Doubleclick, Facebook, hs-analytics en hs-script worden doodleuk geladen.

Ook Bunq en Marktplaats voldoen niet aan de AVG/GDPR regelgeving. Zo kun je op de website van Bunq alleen akkoord geven. Je hebt geen enkele mogelijkheid tot ‘niet akkoord’. Marktplaats doet hetzelfde trucje maar geeft bezoekers wel de mogelijkheid om zich op de cookies in te lezen.

Techreuzen uit Amerika

Tot slot zijn er nog de techreuzen uit Amerika: Google en Facebook. Beiden werden op 25 mei direct aangeklaagd door Oostenrijkse privacy activist Max Schrems. Volgens hem schenden beide techgiganten de AVG/GDPR privacywet.

Google en YouTube geven een mededeling en lijken alleen cookies te plaatsen ten behoeve van de toestemming van de websitebezoeker. Als je de ‘lees meer’ knop gebruikt kan je wel je cookie-instellingen aanpassen. Dit kost wel veel moeite. In de AVG/GDPR staat duidelijk omschreven dat het geven en intrekken van toestemming net zo makkelijk moet zijn. Bekijk hier een voorbeeld.

Bij Facebook lijkt de mededeling niet helemaal juist. Geef je geen akkoord? Ze plaatsen alsnog cookies. Dit lijken functionele én marketing cookies te zijn.

De netste jongetjes van de klas: AVG proof websites

Natuurlijk zijn er ook grote partijen die hun website wél AVG/GDPR proof hebben gemaakt. Marketing blog Frankwatching gaat hierin heel ver. Standaard staan alle cookies, op de noodzakelijk na, uitgevinkt. Ook de Consumentenbond en NS hebben de AVG wetgeving goed begrepen. Zij geven de websitebezoeker namelijk de mogelijkheid om ‘niet akkoord’ te gaan met cookies.

De NPO en ING hebben hun website redelijk goed AVG proof gemaakt. Op de website van de NPO kun je met behulp van een knop namelijk de cookie-instellingen aanpassen. Vervolgens krijg je genoeg informatie om een goede beslissing te nemen. ING vraagt haar websitebezoekers na de eerste pagina of zij een cookie mogen plaatsen. De bezoeker kan dit vervolgens op drie niveaus inregelen: compleet, basis en functioneel. Dit geldt ook voor ABN AMRO. Al tonen zij de cookiemelding direct op de eerste pagina.

Conclusie? Heel veel werk aan de winkel

De conclusie na een paar dagen AVG? Bijna alle kranten en publishers hebben maling aan de regels. Ze gebruiken een cookiewall terwijl dit specifiek door de AVG verboden is. Zelfs als je van mening bent dat de ePrivacy wetgeving hier later pas antwoord op geeft. AVG/GDPR wijst erop dat mensen de website moeten kunnen bezoeken ook al hebben ze geen akkoord gegeven voor de opslag van gegevens. Alle functies van een website moeten namelijk werken zoals het hoort.

Verder moet het voor een gebruiker net zo makkelijk zijn om toestemming en géén toestemming voor cookies te geven. Ook hier gaan grote websites de mist in. Zowel Google, Facebook en Marktplaats laten de gebruiker zwemmen om de privacy instellingen naar hun wens aan te laten passen.