De pop-ups die internetgebruikers op vaak misleidende wijze vragen cookies te accepteren zijn illegaal, oordeelde een Belgische toezichthouder. Dus einde verhaal? En wat komt er dan voor in de plaats?

In De Volkskrant, 18 februari 2022

Als we ooit niet meer eindeloos hoeven te klikken op cookiebanners (‘gaat u akkoord met cookies?’), dan hebben we dat mede te danken aan Johnny Ryan. Ryan, medewerker van de burgerrechtenbewering Irish Council of Civil Liberties, diende al in 2018 een formele klacht in tegen het systeem dat persoonlijke data van internetgebruikers doorsluist naar het bedrijfsleven.

‘Ik heb voorheen gewerkt in de onlineadverteerdersindustrie en zag het grootste gegevenslek ooit’, legt Ryan uit. ‘Informatie over wat iedereen bekijkt, leest, beluistert en waar we ons bevinden, wordt gestuurd naar duizenden bedrijven, zonder dat we enige controle hebben over wat er met die data gebeurt. Wat ze deden als industrie was volledig illegaal, maar ze probeerden het te verbergen onder cookiebanners. Je kunt mensen niet vragen om akkoord te gaan met een datalek.’

Ryans initiatief leidde uiteindelijk tot de uitspraak van de Belgische gegevensbeschermingsautoriteit, begin deze maand, dat het in Europa meest gebruikte Transparency & Consent Framework (TCF) illegaal is. Dit systeem, waarbij pop-ups websitebezoekers op vaak misleidende wijze akkoord vragen voor cookies, ontfutselt gebruikers persoonlijke data die worden gebruikt voor onlineveilingen van advertentieruimte. Op basis van die data krijgt de internetgebruiker gepersonaliseerde advertenties.

Alle data sinds 2018 vernietigen

De Europese brancheorganisatie van digitale adverteerders, IAB Europe, moet een boete betalen van 250 duizend euro en krijgt twee maanden de tijd om met plannen voor aangepaste cookies te komen. Vervolgens krijgen de adverteerders nog een half jaar om de websites aan te passen. Alle illegaal vergaarde data sinds 2018, het jaar waarin de Europese privacywetgeving van kracht werd, moeten worden vernietigd. De Nederlandse toezichthouder adviseert adverteerders direct te zoeken naar een andere advertentiemethode.

IAB Nederland zegt de uitspraak nog te bestuderen en wil graag in overleg met de Autoriteit Persoonsgegevens. Menno Westinga, directeur van het mediabureau Mediaplus, vindt de oproep om simpelweg te stoppen met gepersonaliseerde advertenties ‘rigoureus’ en onverstandig. ‘Europese uitgevers, zoals DPG Media of RTL, moeten grote investeringen doen om te voldoen aan de wetgeving’, zegt hij. ‘Grote partijen als Google, Meta en Amazon kunnen de veranderingen binnen hun ecosysteem toepassen. Zij zitten meer op een accountstructuur. Zodra je inlogt, geef je Google toestemming om van allerlei gegevens gebruik te maken.’ Zij kunnen de omstreden cookies dus makkelijker missen.

De uitspraak van de Belgische privacytoezichthouder drijft de advertentiemarkt volgens hem in de armen van die grote spelers. ‘Zij krijgen zo meer macht, terwijl lokale partijen minder in staat zijn om gerichte advertentiemogelijkheden aan de adverteerders te bieden.’

Effecten moeilijk te meten

Als gepersonaliseerde advertenties veel effectiever zijn dan andere advertentiemethoden is het verzet van de advertentie-industrie begrijpelijk. Maar is dat wel zo? Volgens onderzoeker Evert de Haan van de Rijksuniversiteit Groningen zijn de effecten van gepersonaliseerd adverteren niet makkelijk te meten. ‘De kans dat iemand klikt op een banner is gemiddeld ongeveer een op vijfduizend. Dat maakt het lastig om statistisch significante verschillen te zien tussen groepen.’ Met andere woorden: je hebt al snel miljoenen internetgebruikers nodig om betekenisvolle verschillen te zien tussen de advertentiemethoden. ‘Als de doelgroep kleiner is, wordt het heel lastig om het effect van een campagne te meten.’

De rest van dit artikel is te lezen op de website van De Volkskrant.