Het Franse juridische kader maakt een onderscheid tussen twee lagen van bescherming die vaak door elkaar worden gehaald: de laag die het plaatsen van trackers op een terminal regelt (artikel 82 van de wet Informatique et Libertés) en de laag die de verwerking van de gegevens die via deze trackers zijn verzameld, omkadert (AVG). Het verwarren van beide betekent dat je je verdedigingen verkeerd instelt. Je persoonlijke gegevens op internet in 2024 beschermen, vereist dat je deze samenhang begrijpt en vervolgens actie onderneemt op de verzamelingsvectoren die de meeste populaire gidsen negeren.
Trackers en cookies: het echte juridische bereik dat je moet kennen
De meeste cookie-banners die je elke dag tegenkomt, passen de AVG op een onnauwkeurige manier toe. In Frankrijk valt het plaatsen van cookies eerst onder artikel 82 van de wet Informatique et Libertés, de omzetting van de ePrivacy-richtlijn. De AVG komt pas in beeld nadat de gegevens daadwerkelijk zijn verzameld en verwerkt.
Ook interessant : Ontdek hoe je je online aanwezigheid kunt vergroten met de webinhoud van Geekstinct
Dit onderscheid heeft praktische gevolgen. Een site die een trackingpixel plaatst voordat de toestemming is verkregen, overtreedt artikel 82, zelfs als de latere verwerking van de gegevens in overeenstemming is met de AVG. De CNIL heeft haar eisen verscherpt met betrekking tot de symmetrie van de toestemming: het weigeren van cookies moet net zo eenvoudig zijn als accepteren, met één klik, zonder ontmoedigende stappen.
Controleer altijd het werkelijke gedrag van de cookie-banner van een site voordat je een account aanmaakt. Hulpmiddelen zoals CookieViz (ontwikkeld door de CNIL) of de ingebouwde netwerkinspecteurs in browsers maken het mogelijk om te zien welke trackers worden geladen voordat je een keuze maakt.
Aanvullende lectuur : Hoe het netwerkprobleem op Messenger effectief op te lossen
Als er externe verzoeken worden verzonden voordat de toestemming is bevestigd, is de site in overtreding en circuleren je gegevens al. Aanvullende bronnen over digitale veiligheid zijn beschikbaar op cyberspass.fr, met name om bewustzijn te creëren over de risico’s van dagelijks browsen.
Trackingpixels in e-mails: een onderschatte verzamelingsvector
De klassieke gidsen voor gegevensbescherming richten zich op de browser. Ze missen een massaal verzamelingskanaal: de trackingpixels die in marketing-e-mails zijn ingebed. Deze onzichtbare afbeeldingen (vaak een transparante GIF van één pixel) registreren het openen van het bericht, het tijdstip, het IP-adres en soms het type apparaat dat wordt gebruikt.
Deze pixels worden nu door de CNIL als trackers behandeld wanneer ze worden gebruikt voor profilering, statistiek of gerichte reclame. Concreet loopt een afzender die een trackingpixel zonder geldige juridische basis invoegt, het risico op dezelfde sancties als bij het ongeoorloofd plaatsen van cookies.
Om je te beschermen, blijft de meest effectieve maatregel het automatisch laden van afbeeldingen in je e-mailclient uit te schakelen. In Thunderbird is deze optie standaard ingeschakeld. In Gmail (webinterface) moet je de instelling “Vraag voordat externe afbeeldingen worden weergegeven” forceren. In Apple Mail verbergt de functie Bescherming van de privacy van e-mail het IP-adres en het tijdstip van openen.
Beperkingen van deze bescherming
Het blokkeren van afbeeldingen neutraliseert de getrackte doorverwijslinks niet. Elke klik op een link in een marketing-e-mail gaat meestal via een tussenliggende server die de actie registreert. We zien dat de combinatie van het blokkeren van afbeeldingen + VPN + handmatig openen van links in een beveiligde browser (Firefox met uBlock Origin) de verzamelingsoppervlakte aanzienlijk vermindert.
Bewijs van toestemming en omkeerbaarheid: wat de CNIL van sites vereist
De naleving is niet langer alleen gebaseerd op het tonen van een banner. De CNIL vereist nu dat elke site het bewijs van de verkregen toestemming bewaart en een intrekkingsmechanisme biedt dat net zo toegankelijk is als de oorspronkelijke acceptatieknop. In de praktijk betekent dit dat een permanente link naar het beheer van cookievoorkeuren zichtbaar moet blijven op elke pagina.
Voor de gebruiker creëert deze eis een concreet hefboom. Als een site geen toegankelijke intrekkingslink biedt (meestal onderaan de pagina), kun je je recht op verzet rechtstreeks uitoefenen bij de DPO of het gebrek melden bij de CNIL via het online klachtenformulier.
Gerichte uitoefening van je AVG-rechten
In plaats van generieke verzoeken te sturen, raden we aan om je te richten op de drie meest operationele rechten:
- Recht van toegang (artikel 15 AVG): vraag de exacte lijst van de gegevens die worden bewaard en de derde ontvangers. Het antwoord onthult vaak onopgemerkte delen met gegevensmakelaars.
- Recht op verwijdering (artikel 17): van toepassing zodra de gegevens niet langer nodig zijn voor het oorspronkelijke doel. Bijzonder nuttig na beëindiging van een online dienst.
- Recht van verzet (artikel 21): stelt je in staat om gerichte reclameprofilering te blokkeren zonder je account te verwijderen. Werkt zelfs wanneer de verwerking is gebaseerd op de legitieme belangen van de verantwoordelijke.
Elk verzoek moet binnen een maand een antwoord krijgen. Het ontbreken van een antwoord is een tekortkoming die de CNIL systematisch onderzoekt.
Technische configuratie van de browser en de terminal in 2024
De combinatie van browser + extensies blijft de eerste verdedigingslinie. Firefox met de extensies uBlock Origin en Skip Redirect biedt een hoger filtratieniveau dan de meeste op Chromium gebaseerde browsers, waarvan de overstap naar Manifest V3 de mogelijkheden van contentblockers heeft verminderd.
Op mobiel gaat de bescherming via vaak genegeerde instellingen:
- De advertentie-identificatie uitschakelen (IDFA op iOS via Instellingen > Privacy > Apple-advertenties, GAID op Android via Instellingen > Google > Advertenties).
- De machtigingen van apps beperken tot het strikt noodzakelijke: locatie “alleen tijdens gebruik”, toegang tot de microfoon en camera op aanvraag.
- Versleutelde DNS (DNS over HTTPS) inschakelen in de netwerkinstellingen van de browser of op systeemniveau (natively compatible op recente iOS- en Android-versies).
Het verwijderen van de mobiele advertentie-identificatie snijdt de belangrijkste vector voor inter-apps profilering af. Zonder deze identificatie kunnen advertentienetwerken je gebruik niet meer correleren tussen verschillende apps die op dezelfde terminal zijn geïnstalleerd.
De bescherming van persoonlijke gegevens online beperkt zich niet tot een lijst van generieke best practices. Het is gebaseerd op het begrijpen van de juridische en technische mechanismen van gegevensverzameling, en vervolgens op specifieke acties: het controleren van het werkelijke gedrag van trackers, het blokkeren van e-mailpixels, het gerichter uitoefenen van je AVG-rechten en het verstrakken van de configuratie van je terminals. Elke toegevoegde beschermingslaag vermindert exponentieel de oppervlakte van exploiteerbare gegevens door derden.