Privacy gate als workflow: waarop u een cookiemuur moet controleren na de DPG-zaak

U moet elke stap in uw toestemmingsworkflow per gebruikersreis kunnen reconstrueren: welke keuze werd gemaakt, wanneer, hoe gemakkelijk was weigering, en wat gebeurde daarna. Dit is nu een handhavingsonderwerp, niet een juridische formaliteit.

De aanleiding is een analyse van 4 september 2026 van de werkwijze van toestemmingsschermen en hun controleerbare ontwerp, die stelt dat een privacy gate alleen verdedigbaar is als u haar werking per gebruikersreis kunt aantonen. De Belgische Gegevensbeschermingsautoriteit onderzoekt de cookiemuur van DPG Media op basis van een klacht van NOYB, gericht op de ontwerpkeuzes rond accepteren, weigeren en intrekken van toestemming. In onze inschatting betekent dit dat toestemmingsschermen niet langer als front-end-banner kunnen worden behandeld, maar als controleerbare workflows moeten worden ontworpen en gedocumenteerd.

Wat onderzoekt de toezichthouder precies?

De Belgische Gegevensbeschermingsautoriteit stelt concrete ontwerpkeuzes ter discussie: het ontbreken van een duidelijke weigerknop naast de accepteerknop, het kleurgebruik dat gebruikers naar toestemming kan sturen, en de moeite die het kost om eerder gegeven toestemming weer in te trekken. Dit is een beslissing om de zaak inhoudelijk te behandelen, geen eindoordeel over rechtmatigheid. Wat de stap wél doet, is formeel erkennen dat de manier waarop u toestemming vraagt, weigert en intrekt, een handhavingsonderwerp is.

De spanning in dit dossier ligt hier: DPG Media presenteert de privacy gate als bewijs van verantwoord datagebruik en transparantie, terwijl de toezichthouder juist onderzoekt of het ontwerp geldige toestemming en eenvoudige weigering oplevert. Dit laat zien dat een privacy-architectuur niet beoordeeld wordt op de intentie erachter, maar op de concrete werking per keuzemoment.

Welke eisen gelden al voor geldige toestemming?

De maatstaf ligt al langer vast in de toestemmingsrichtsnoeren van de Article 29 Working Party. Die richtsnoeren stellen dat toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig moet zijn. Ze bekritiseren geforceerde toestemming waarbij toegang afhankelijk wordt gemaakt van het accepteren van tracking. Vertaald naar het ontwerp van een cookiemuur of privacy gate betekent dit:

• Weigering net zo eenvoudig als acceptatie — beide knoppen even duidelijk zichtbaar, even groot en even gemakkelijk bereikbaar.
• Geen kleurstrategie die één keuze bevordert — de visuele hiërarchie mag niet naar toestemming duwen.
• Intrekking zonder extra stappen — gebruikers moeten eerder gegeven toestemming even gemakkelijk kunnen wijzigen als ze hem hebben gegeven.
• Specifieke toestemming per doel — bundeling van doeleinden onder één knop is niet toegestaan.
• Geen voorgeselecteerde vakjes — opt-in, niet opt-out.
• Duidelijke informatie vóór de keuze — niet verborgen in links of vervolgschermen.

Deze eisen maken van een toestemmingsscherm een ontwerpvraagstuk met controleerbare uitkomsten, niet louter een juridische tekst onderaan de pagina. Wie AI-gegenereerde content of gepersonaliseerde aanbevelingen op dezelfde toestemming baseert, krijgt daarnaast te maken met markeringsverplichtingen.

Hoe ziet een controleerbare workflow eruit?

De privacy gate is de zichtbare kop van een diepere keten. Achter het keuzescherm zitten accountkoppeling tussen merken, het vastleggen van toestemming, latere voorkeurwijzigingen, toegang tot data en de personalisatie- en aanbevelingslaag die daarop draait. De compliancevraag verschuift van "hoe ziet de banner eruit" naar "kan elke stap in deze keten per gebruikersreis worden gereconstrueerd".

Dat sluit aan bij een bredere beweging waarin privacy, cybersecurity en AI-governance als één vertrouwensarchitectuur worden behandeld. Voor media-organisaties betekent dit dat een privacy gate niet losstaat van de rest: het is de plek waar toegang, toestemming en datagebruik samenkomen. Wie deze onderdelen als aparte silo's beheert, kan bij een onderzoek de samenhang niet aantonen.

Welke controles moet u kunnen aantonen?

Na de DPG-zaak is de kernvraag niet of uw toestemmingsscherm er netjes uitziet, maar of u per workflow kunt laten zien wat er gebeurt. Een praktische controlevolgorde:

1. Documenteer welk model en welke gegevens elke workflow gebruikt — vastleggen welke AI-modellen, welke toestemming en welke datakwaliteit per gebruikersreis.
2. Toon dat weigering en acceptatie symmetrisch zijn — beide keuzes even zichtbaar, even bereikbaar, geen verborgen stappen.
3. Bewaar een audit trail van elke toestemmingswijziging — wie, wat, wanneer, welk resultaat, per gebruiker.
4. Koppel toestemming aan de daadwerkelijke dataverwerking — niet alleen vastleggen dat toestemming gegeven is, maar ook dat de gegevens alleen voor dat doel zijn gebruikt.
5. Test intrekking end-to-end — zorg dat intrekking ook daadwerkelijk stopt met verwerking, niet alleen in de database.
6. Maak de keten traceerbaar — van keuzescherm tot anonimisering tot model tot output, per gebruikersreis.

Wat kunnen tools doen, wat blijft uw verantwoordelijkheid?

Wie zulke controles wil ondersteunen bij documentgedreven werk waarin AI gevoelige inhoud verwerkt, kan verificatielagen inzetten die voorbewerking en anonimisering op EU-infrastructuur plaatsvinden en bij een mislukte privacycontrole niets doorsturen. Dat geeft meer zicht op de stappen, maar is geen garantie van naleving of foutloze anonimisering. Het eindoordeel blijft bij u. De les uit de DPG-zaak is breder dan één toezichthouder of één bedrijf: een privacy gate is pas verdedigbaar als u haar werking per gebruikersreis kunt tonen.