Geen cookiebanner. Dit is waarom.

1Waarom er geen banner staat

Een cookiebanner is er om toestemming te vragen voor wat een site op je apparaat zet om je te volgen. Deze site doet dat niet. Er staat geen advertentiecookie op en er wordt geen profiel van je bezoek gemaakt. Dan is een banner een vraag over iets dat hier niet gebeurt, en die zou ik je niet willen voorleggen.

Bezoekcijfers meet ik met Plausible. Dat werkt zonder cookies: er wordt niets op je apparaat gezet en er wordt niets uit je apparaat gelezen. Er komt geen profiel van je, je bent bij een volgend bezoek niet te herkennen, en je bent van deze site naar een andere niet te volgen. Wat er geteld wordt, staat in de privacyverklaring.

Die positie houdt precies zolang Plausible de enige meting is die in je browser draait. De koppeling met Google Ads wordt nog ingericht. Zodra die actief is, gaat mijn server aanvragen uit Google-advertenties aan Google Ads melden, zoals hieronder staat. Die melding gaat dan van mijn server naar Google. In je browser staat de klik-id alleen in de sessieopslag tot je het tabblad sluit. Hoe die regel onder de wet valt, lees je bij wat de regels hierover zeggen. Komt er een tag bij die wel een kenmerk op je apparaat zet, dan is toestemming verplicht en komt er een banner. Wat dat verder betekent, staat verderop op deze pagina.

2Wat er wel op je apparaat komt

Drie dingen, en geen daarvan houdt je bij. De taalcookie en de inlogsleutel voor /studio zijn functioneel, dus die mogen zonder toestemming. Voor diginesso.first-touch ga ik daar ook van uit, en bij wat de regels hierover zeggen lees je waarom die vraag niet beslecht is. Benoemd moeten ze alle drie worden, dus hier staan ze met naam, inhoud en bewaartijd.

Verder staat er niets. Geen cookie die bijhoudt welke pagina’s je las, en geen kenmerk dat je bezoek van vandaag aan dat van volgende week knoopt.

3De regel die onthoudt waarmee je binnenkwam

De enige regel die deze site zelf op je apparaat zet, heet diginesso.first-touch. Hij wordt gezet op de pagina waarop je bezoek begint, welke pagina dat ook is, en staat in de sessieopslag van je browser. Dat is iets anders dan een cookie: hij gaat nooit mee met een verzoek aan de server, en hij verdwijnt zodra je het tabblad sluit.

Wat erin staat:

• de pagina waarop je bezoek begon
• de site die je hierheen stuurde, als dat een andere site was dan deze
• de campagnelabels uit de link waarmee je kwam: utm_source, utm_medium en utm_campaign
• de klik-id van Google Ads, gclid, als je via een advertentie kwam

Er zit geen naam in, geen e-mailadres en geen IP-adres. De klik-id is een code die Google aan een klik op een advertentie hangt. Mij zegt hij niets over wie je bent, maar Google kan hem koppelen aan de klik waar hij bij hoort.

Waarom het er staat: de bezoekcijfers zijn cookieloos en dus anoniem, dus daaruit valt nooit op te maken waar een aanvraag vandaan kwam. En wie hier eerst een paar pagina’s leest, vult het formulier misschien op een andere pagina in. Zonder deze ene regel is bij zo’n aanvraag niet meer te zien of hij uit een advertentie kwam, uit een zoekmachine of uit een verwijzing van iemand anders.

Kom je een week later terug, dan begint het opnieuw. Er is dan niets bewaard van je vorige bezoek.

Wat ermee gebeurt: de regel zelf blijft in je browser. De waarden komen pas bij je aanvraag in mijn database als je zelf een formulier verstuurt. Verstuur je niets, dan bewaart niemand er iets van, ik niet en Google niet.

Met de link waarmee je binnenkomt, gaat het zoals met elk webadres. De pagina waarop je landt, de campagnelabels en een gclid staan in die link. Ze komen dus bij het eerste paginaverzoek op de server aan en staan in de logregels, die maximaal 30 dagen bewaard worden. Waar het script van Plausible draait, stuurt dat het adres ook mee om het bezoek te tellen.

Zodra de koppeling met Google Ads is ingericht en actief is, gaat één waarde verder. Kwam je via een Google-advertentie en verstuur je daarna een aanvraag, dan gaat mijn server die later aan Google Ads melden, met de klik-id van je eerste bezoek, als welke conversie je aanvraag telt, het tijdstip van die conversie en een waarde als die is ingesteld. Je naam, je e-mailadres en je bericht gaan niet mee. Daarmee zie ik dan welke advertenties aanvragen opleveren, zonder tag van Google in je browser. Tot de koppeling actief is, gaat er niets van je aanvraag naar Google.

Juist dat houdt deze site vrij van een advertentietag en van de banner die zo’n tag nodig heeft: de melding gaat dan van mijn server naar Google, en in je browser praat niets met Google Ads. De grondslag, en hoe je bezwaar maakt, staan in de privacyverklaring.

Zelf weghalen: sluit het tabblad, dan is hij weg. Wil je niet wachten, dan wis je in je browser de opslag voor deze site. Dat zit bij de site-instellingen die je vindt via het pictogram links in de adresbalk. De site blijft daarna gewoon werken.

4Wat de regels hierover zeggen

Hier loopt een grens en daar wil ik open over zijn. De Europese regel hierover gaat over het opslaan van gegevens op je apparaat en het uitlezen daarvan. Hij gaat dus over meer dan cookies alleen: sessieopslag valt er ook onder. In Italië staat die regel in artikel 122 van de Codice Privacy, in Nederland in artikel 11.7a van de Telecommunicatiewet.

Voor gegevens die strikt noodzakelijk zijn om te leveren wat jij zelf vroeg, hoeft geen toestemming gevraagd te worden. Ik ga ervan uit dat deze regel daaronder valt. Er staat alleen in wat de link en je browser bij binnenkomst al aan de server lieten weten. Hij verlaat je browser alleen binnen een formulier dat je zelf verstuurt, en hoort dan bij die aanvraag. Weten waar een aanvraag vandaan kwam, is het gerechtvaardigd belang dat de privacyverklaring noemt voor wat bij je aanvraag bewaard wordt. Dat belang gaat over wat ik met de gegevens doe nadat je ze verstuurd hebt. Of de regel zonder toestemming op je apparaat mag staan, is een aparte vraag, en dat is precies de vraag die deze wet stelt.

Bij een strenge lezing is het onthouden waarmee een bezoek begon geen strikte noodzaak voor wat je vroeg, en zou er toestemming voor nodig zijn. Ik ga niet doen alsof die vraag beslecht is. Zodra de koppeling met Google Ads actief is, gaat de klik-id erin ook door naar Google Ads, en dan weegt die strenge lezing zwaarder.

Wat ik heb gedaan, is het zo klein mogelijk houden. Eén regel, geen cookie, geen eigen nummer waarmee je bij een volgend bezoek te herkennen bent, niets dat je over sites heen volgt, en weg zodra je het tabblad sluit. Vindt een toezichthouder of een jurist dat het anders moet, dan haalt die regel het niet en verandert deze pagina als eerste.

5De taalcookie

Deze site staat in vier talen en elke taal heeft zijn eigen adres. Kies je in het menu een andere taal, dan zet de site een cookie met de naam NEXT_LOCALE. Daarin staat alleen een taalcode: nl, en, de of it.

Hij wordt ook gezet als de taal die je te zien krijgt, niet de taal is die je browser vraagt. Dan weet de site bij een volgende pagina dat je zelf iets anders koos.

Er staat geen einddatum op, dus het is een sessiecookie: hij verdwijnt als je je browser afsluit. Zet je browser na een herstart alles terug zoals het was, dan kan hij die herstart overleven. Er zit geen nummer in dat naar jou verwijst en hij gaat naar niemand anders dan naar deze site.

6Het inloggen op het contentsysteem

Op /studio zit de plek waar de teksten en afbeeldingen van de site worden beheerd. Alleen ik kan daar inloggen. Bij dat inloggen zet Sanity, het systeem erachter, een inlogsleutel in de browser waarmee is ingelogd.

Voor een bezoeker gebeurt daar niets. Zonder inloggen komt er ook geen inlogsleutel in je browser, en inloggen kan alleen ik.

7Wat er niet op deze site staat

Dit is de lijst die ik zelf zou willen zien op een site die dit belooft.

• geen advertentiecookie en geen advertentiepixel
• geen Meta-pixel en geen LinkedIn-tag
• geen tag van Google Ads. Zodra de koppeling met Google Ads actief is, gaat mijn server aanvragen die via een Google-advertentie binnenkwamen melden, zoals hieronder staat.
• geen sessie-opname en geen heatmap, dus niemand kijkt mee met je muis
• geen A/B-tool die je in een groep indeelt en dat op je apparaat bewaart
• geen botcontrole van Google bij het formulier. Er zit één onzichtbaar veld in dat alleen bots invullen, en dat is genoeg.
• geen lettertypen van een ander domein. Ze worden met de site meegeleverd, dus je browser doet geen verzoek aan Google Fonts.
• geen ingesloten video en geen ingesloten kaart van een andere site, want die zetten zelf iets bij jou neer.
• geen toestemmingsplatform. Niets op deze site volgt je, en hoe diginesso.first-touch onder de wet valt, lees je hierboven bij wat de regels hierover zeggen.

8Zelf opruimen of blokkeren

Alles hierboven kun je zelf weghalen. In elke browser zit onder de site-instellingen, te vinden via het pictogram links in de adresbalk, een knop om de cookies en de opslag van deze site te wissen. Het kan ook via de instellingen voor privacy en gegevens.

Blokkeer je de opslag voor deze site helemaal, dan blijft de site werken. De taal moet je dan elke keer opnieuw kiezen, en bij een aanvraag weet ik niet meer waarmee je binnenkwam. Verder merk je er niets van.

Houdt een uitbreiding het script van Plausible tegen, dan verlies ik één streepje in een teller en jij niets.

9Google Ads zonder tag in je browser

De meeste sites die op Google adverteren, meten met een conversietag van Google Ads in je browser welke advertenties aanvragen opleveren. Deze site doet dat niet. De gekozen route loopt via mijn server, en die koppeling wordt nog ingericht.

Zo’n tag zet wel een kenmerk op je apparaat en is er wel om je te volgen. Dan zou toestemming verplicht zijn, en dat zou betekenen:

• een banner, met een echte keuze en een weigering die even makkelijk is als een ja
• een meting die zich naar die keuze moet schikken, met de toestemmingsstand die Google daarvoor vraagt
• voor Europese bezoekers een gecertificeerd toestemmingsplatform, dat Google eist, dus een partij erbij die iets van je te zien krijgt
• de belofte op de rest van de site, dat er niets op je apparaat komt om je te volgen, zou niet meer waar zijn en zou overal weg moeten

Daarom gaan conversies straks de andere kant op. Een aanvraag staat toch al in mijn database, met de klik-id uit diginesso.first-touch als je via een Google-advertentie kwam. Zodra de koppeling actief is, gaat mijn server hem van daaruit melden aan het eigen Google Ads-account van Diginesso, zonder tag in je browser en zonder cookie. Zo kan deze pagina blijven zoals hij nu staat: geen advertentietag en geen cookiebanner.

Wat er dan naar Google gaat, op welke grondslag en hoe je bezwaar maakt, staat in de privacyverklaring bij het contactformulier.

Een Meta-pixel of een andere tag zou nog steeds alles uit het lijstje hierboven meebrengen. En wat er in geen geval gebeurt: iets aanzetten en deze pagina daarna bijwerken. Komt er iets bij, dan staat het hier voordat het aangaat. Dezelfde belofte staat in de privacyverklaring en op de pagina Veilig en Europees.

10Een vraag hierover

Mail info@diginesso.com. Dat komt bij mij terecht, Wesley Beerendonk, en ik antwoord zelf. Je hoort binnen vijf werkdagen van me.

Wil je zien welke gegevens er van je bewaard worden en hoe lang, dan staat dat in de privacyverklaring. Wil je weten hoe de techniek eronder is ingericht, dan staat dat op de pagina Veilig en Europees.

Diginesso di Beerendonk Wesley Johannes Wijnand, Piazza Guglielmo Marconi 6, 56046 Riparbella (PI), Italia.

11Wijzigingen en versies

Verandert er iets aan wat op je apparaat komt, dan verandert deze pagina voordat die verandering ingaat.