Hoe deze controle werkt
Scanaris doet twee tests op de HTML van je pagina, beide bewust ruim om valse positieven te vermijden. Ten eerste: hij zoekt naar elke link waarvan de bestemming of de tekst woorden bevat als privacy, cookies, legal notice, aviso legal, Datenschutz, RGPD, GDPR, terms, términos of condiciones, in meerdere talen. Vindt hij er geen enkele, dan opent hij een bevinding met gemiddelde ernst: het signaal dat er geen juridische pagina is, is sterk. Ten tweede: als het antwoord van je server cookies zet (Set-Cookie-header) en de HTML geen bekend toestemmingsplatform toont (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron en nog zo'n twintig) en ook niet de gebruikelijke bannerteksten ("we use cookies", "accept cookies", "cookie policy"), dan opent hij een bevinding met lage ernst. Laag omdat veel banners door JavaScript worden geladen en niet in de initiële HTML staan; de bevinding zelf zegt dat.
Waarom dit belangrijk is
In de Europese Unie, en in steeds meer landen, verplicht het verwerken van persoonsgegevens je om te melden wie ze verwerkt, waarvoor en hoe lang: dat is de privacyverklaring, en een contactformulier, een registratie of een analysetool zijn al gegevensverwerking. De cookieregels voegen toe dat niet-essentiële cookies (analytics, advertenties, sociale media) alleen met voorafgaande, geïnformeerde en intrekbare toestemming geplaatst mogen worden. De boetes zijn echt en gegevensbeschermingsautoriteiten leggen ze ook op aan kleine bedrijven, meestal na een klacht van een gebruiker. Maar de meest praktische reden is vertrouwen: een site zonder juridische kennisgeving of privacyverklaring oogt verlaten of onserieus, en zakelijke klanten controleren dat voordat ze betalen.
Hoe je het oplost
Privacyverklaring en juridische kennisgeving
- Wat erin moet: wie je bent (naam, btw-nummer, adres, e-mail), welke gegevens je verzamelt en waarvoor, op welke rechtsgrond, met wie je ze deelt (je hoster, je e-mailprovider, je analytics), hoe lang je ze bewaart, hoe men inzage- en verwijderrechten uitoefent, en of er doorgiften buiten de EU zijn.
- Hoe: een generator geeft je een basis; pas die aan op wat je echt doet. Een pagina
/privacyen een pagina/legalof/terms, gelinkt vanuit de footer van elke pagina.
Cookietoestemming
- Eerst een inventaris: welke cookies je plaatst en welke essentieel zijn (sessie, winkelwagen, de toestemmingsvoorkeur zelf) en welke niet (Google Analytics, advertentiepixels, ingesloten video's).
- Gebruik je alleen essentiële, dan heb je geen banner nodig; wel een cookiebeleid dat dat zegt.
- Gebruik je niet-essentiële, dan een toestemmingsmanager die ze blokkeert tot de gebruiker accepteert, met "weigeren" even zichtbaar als "accepteren". Cookiebot, iubenda, Termly of CookieYes om te beginnen; Complianz of Borlabs op WordPress. Gebruik je Google Analytics of Ads, configureer dan de consent mode zodat die de keuze respecteert.
- Laad de banner in de initiële HTML of met een script in de
<head>, niet uitgesteld: zo verschijnt hij vóór de cookies en detecteert deze controle hem ook.
Controleer of het opgelost is
curl -s https://jouwdomein.nl | grep -oiE '<a[^>]*href="[^"]*(privac|legal|cookie|terms|voorwaarden)[^"]*"[^>]*>'
curl -sI https://jouwdomein.nl | grep -i set-cookie
curl -s https://jouwdomein.nl | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|accept cookies|cookies accepteren" | head -3De eerste moet minstens één juridische link tonen. Toont de tweede cookies, dan moet de derde je toestemmingsmanager tonen.
Veelgestelde vragen
Mijn site is een persoonlijk project zonder winstoogmerk. Geldt dit ook?
Als je gegevens van anderen verzamelt (een formulier, een registratie, analytics), ja. Is het een statische pagina zonder formulieren of analytics, dan verwerk je geen persoonsgegevens en volstaat een vermelding van wie je bent. Maar de meeste sites "zonder iets" draaien Google Analytics.
Ik heb de banner, maar de bevinding verschijnt.
Hij wordt waarschijnlijk door JavaScript geladen nadat de HTML is aangekomen, en deze controle voert geen JavaScript uit. Juist daarom heeft de bevinding lage ernst. Werkt je banner en blokkeert hij cookies tot acceptatie, dan kun je hem als geaccepteerd markeren; beter nog, laad het script van de manager in de <head>.
Hebben sessiecookies toestemming nodig?
Nee: cookies die strikt noodzakelijk zijn om de dienst te laten werken, zijn vrijgesteld. Maar ze moeten wel goed geconfigureerd zijn, en dat bekijkt onveilige cookies. De rest van de juridische en technische lijst vóór de lancering staat in de checklist vóór de lancering.