Ja/Nee/Weiger alles: de ondraaglijke zinloosheid van de cookiepop-ups

Je cookievoorkeuren invullen, dat is net zo zinloos als het voelt. Het gaat om de pop-ups die je op bijna elke website tegenkomt en zuchtend afvinkt. Maar 7 maart was een heuglijke dag. Eentje om in de agenda te omcirkelen en erbij te zetten: Dag van de Tijdswinst. Op die dag legde het Europese Hof van Justitie een bommetje onder het meest gebruikte advertentiesysteem, TCF. Dat moet zich aan de strenge Europese privacyregels houden omdat TCF persoonlijke gegevens verwerkt zodra het je privacyvoorkeuren vastlegt. En de beheerder van het TCF-systeem moet kunnen uitleggen wat er gebeurt met jouw gegevens, die naar honderden dataverzamelaars verstuurd worden.Vaak zelfs al voordat je op ‘Nee’ hebt geklikt.

Hoe kwamen we ook alweer aan die pop-ups? Cookies zijn kleine documenten die op je computer worden opgeslagen zodra je een website opent. Handig om snel in te loggen of je voorkeuren te bewaren. Het hete hangijzer is de cookie van derde partijen (‘third-party cookie’) om je advertenties op maat voor te schotelen. Daarbij worden persoonlijke gegevens gebruikt, zoals je surfgedrag. Het is de voedingsbodem voor een levendige tracking-industrie die teert op persoonlijke data.

De ePrivacy Verordening van de EU vereist dat adverteerders je zonder toestemming niet kunnen achtervolgen. Vandaar die pop-ups. En vandaar ook TCF, het Transparency & Consent Framework. Dat komt uit de koker van IAB, de brancheorganisatie van de online advertentiemarkt. Dit systeem verzamelt voorkeuren van webbezoekers via zogeheten consentmanagers die je privacyvoorkeuren vastleggen. Die informatie geven ze door aan adverteerders en organisatoren van geautomatiseerde veilingen. Alle grote namen – Google, Amazon, Microsoft, TikTok en honderden andere advertentiebedrijven – zijn erop aangesloten. Big business.

IAB verwacht dat er weinig verandert door de uitspraak van de Europese rechter. Maar daar denkt Cristiana Santos anders over. Zij is universitair docent recht en technologie aan de Universiteit Utrecht en onderzoekt in hoeverre online-trackingsystemen voldoen aan de wet. De korte samenvatting van een twee uur lange spoedcursus: het Transparancy-systeem is niet transparant en toestemming is een loos begrip.

1. Er is geen controle

TCF heeft geen grip op de gegevens die advertentiebedrijven met elkaar uitwisselen. Die hebben alle vrijheid om de persoonlijke gegevens die ze verzamelen te combineren in een profiel. Het gaat om cookies en andere ‘vingerafdrukken’, zoals de computer die je gebruikt, je locatie en de wifigegevens of websites die je bezocht.

Datahandelaren koppelen je profiel aan een geschikte advertentie. Dat gaat via real time bidding, een geautomatiseerde veiling. Er vinden per dag honderden miljoenen van zulke veilingen plaats tussen servers die niemand controleert. Zelfs de allerkleinste spelers verzamelen gegevens van tientallen miljoenen mensen. De techniek die de IAB daarvoor ontwikkelde is ‘blind’ voor wat er achter de schermen gebeurt, concludeert een onderzoek van Johnny Ryan en Cristiane Santos uit 2022. „Controle is onmogelijk. Het lijkt het Wilde Westen wel.”

2. De pop-ups deugen niet

Terug naar de cookiepop-ups. De meerderheid staat bol van de manipulatieve vormgeeftrucs. Deze dark patterns zijn bedacht om je tot waanzin te drijven of zo moedeloos te maken dat je uiteindelijk op ‘ja-haaa’ klikt. Santos constateerde dat de helft van 560 door haar onderzochte formulieren niet deugt. Vaak wachten ‘consent management platforms’ (de bedrijven die de cookiespop-ups ontwerpen en beheren) je keuze niet eens af. Ze beginnen al gegevens te verzenden voordat je het eerste vinkje gezet hebt. Zelfs als je daarna op ‘Nee’ klikt, is het kwaad al geschied. Lees het onderzoek Do cookie banners respect my choice? en huiver.

3. Je-data-of-ik-schiet mag niet

Er zijn online diensten en websites die tracking afdwingen. Je krijgt dan de keuze: of gevolgd worden, of betalen voor een advertentievrije versie. Santos doet onderzoek naar zulke sites. Deze je-data-of-ik-schiet-methode is geen vrije keuze. Je moet op zijn minst goed geïnformeerd worden over de manier waarop tracking plaatsvindt, en de prijs moet binnen proporties zijn. In Nederland zijn relatief weinig betaalmuren die je dwingen je gegevens prijs te geven als je niet betaalt (motorsport.com is er een van). Bekender is Meta, dat de advertentievrije variant van Facebook en Instagram verkoopt voor 12,99 euro per maand. Voelt dat als een keuze?

4) De browser pikt het niet meer

Webbrowsers als Safari en Firefox blokkeren standaard al third-party cookies. Vanaf komende herfst lust Google Chrome, de meest gebruikte browser, zulke cookies ook niet meer. Google bedacht een alternatief: de Privacy Sandbox. De pop-upoverlast neemt dan af. De Sandbox kwam moeizaam tot stand en geeft Google nog meer controle over de advertentiewereld dan het al heeft. De privacybewegingen houden hun twijfels: de cookies worden gewoon ingeruild voor een ander volgsysteem, zegt de Electronic Frontier Foundation. Je kunt de Privacy Sandbox wél uitzetten.

5) De advertenties werken niet

Veel onlineadvertenties zijn gebaseerd op retargeting: reclame die je achtervolgt zodra je ergens interesse voor toonde. Als je een paar schoenen hebt gekocht, denkt elke webwinkel dat je nog eens dat paar schoenen wilt kopen. Dat werkt niet, en daarom is retargeting inmiddels op zijn retour.

De geautomatiseerde veilingen werken bovendien niet zo goed als beloofd. Uit onderzoek van de Amerikaanse adverteerdersclub ANA bleek dat een kwart van het geld dat was uitgegeven aan geautomatiseerd ingekochte advertentieruimte in het afvoerputje verdween: de reclame verscheen op tienduizenden Made For Advertising (MFA) sites. Vol clickbait, vaak door AI gegenereerd.

ANA zegt dat er zo per jaar 20 miljard dollar aan reclamegeld wordt weggegooid. Adverteerders mikken eerder op goedkoop bereik dan op ‘kwaliteitsplekken’. En ze weten niet beter: adverteerders krijgen weinig inzicht in wat er met hun campagnes gebeurt, omdat de realtime bidding-industrie niet gebaat is bij transparantie die de makke van het systeem blootlegt.

De advertentiebranche is toe aan verandering, en de uitspraak van 7 maart is een belangrijke stap om die verandering af te dwingen. Bij webgebruikers blijft de kater. Ook al kun je browserextensies installeren die formulieren automatisch afvinken, bedenk hoeveel tijd je verspilde aan zinloze pop-ups, op je computer en je telefoon.

Teleurstellend bovendien, vond mijn dochter. Lang geleden, als 7-jarige, klikte ze meteen op ‘Ja’ toen de site van het Jeugdjournaal vroeg of ze soms zin had in een cookie. Maar niks, hoor.