Websites gaan nog altijd de fout in met cookiebanners en trackingscookies, waarbij een veelgemaakte fout is dat trackingcookies worden geplaatst voordat hiervoor toestemming is gegeven. Ook blijkt vaak een weigerknop op de eerste laag te ontbreken, waardoor weigeren lastiger is dan accepteren, wat niet is toegestaan. Dat laat de Autoriteit Persoonsgegevens (AP) aan de Stichting Internet Domeinregistratie Nederland (SIDN) weten.

Een voorname oorzaak van de fouten met cookiebanners en trackingcookies is volgens de AP dat websitebeheerders niet altijd weten welke partijen op hun site actief zijn. Zo wordt er bijvoorbeeld gebruikgemaakt van embedded video's, kaarten, chatfuncties, plug-ins, analytics en scripts van derden die ook gegevens verzamelen. "In de praktijk zie je dat soms wel honderden partijen betrokken zijn", zegt Lars de Bie van de AP tegenover SIDN. "Dan staan er bijvoorbeeld ook Japanse of Koreaanse advertentiebedrijven tussen die hier meestal weinig te zoeken hebben. De persoonsgegevens van jouw websitebezoekers kan daar potentieel wel naartoe gaan."

Volgens De Bie laat de wildgroei aan derde partijen die op websites actief zijn vooral zien hoe weinig organisaties erbij stilstaan wat ze op hun eigen site installeren. Ook bij het gebruik van een extern consentmanagementplatform (CMP) voor de cookiebanner blijven websites zelf verantwoordelijk. Daarbij moeten websites er ook rekening meehouden dat de standaardinstellingen van veel CMP’s niet altijd aan de Nederlandse en Europese regels voldoen. Sommige van deze tools zijn gemaakt voor markten waar andere privacywetgeving geldt. De AP adviseert websites dan ook om geregeld zelf te controleren wat er daadwerkelijk op de website gebeurt.