Regels en handhaving rondom cookies - een overzicht van 2019

Afgelopen jaar zijn ze regelmatig in het nieuws geweest: cookies, lokaal opgeslagen bestanden die informatie bevatten van internetgebruikers. Soms, wanneer die informatie betrekking heeft op een geïdentificeerde of identificeerbare persoon, is er sprake van persoonsgegevens in de zin van de Algemene verordening gegevensbescherming (AVG). Hieronder vallen met name tracking-cookies, cookies die je internetgedrag bijhouden. Sinds de invoering van de AVG is gegevensbescherming een hot item en het is dus niet zo gek dat dit soort cookies breder onder de aandacht kwamen. Er zijn een aantal interessante publicaties en rechterlijke uitspraken verschenen in 2019 over dit onderwerp. Sommigen van die publicaties deden stof opwaaien zoals die van de Autoriteit Persoonsgegevens (AP) in maart. Hieronder een kort overzicht van wat zoal voorbijkwam op het gebied van cookies en wat de juridische consequenties zijn voor websites die ze gebruiken.

In maart kwam de AP eerst met de mededeling dat cookiemuren illegaal zijn. Het gaat dan specifiek om cookiemuren die een bezoeker de toegang tot een website weigeren als die niet akkoord gaat met alle cookies, waaronder tracking-cookies. Het argument van de AP was dat cookiemuren de bezoeker de vrijwillige keuze ontnemen om akkoord te gaan met het verzamelen van persoonsgegevens wanneer toegang tot een website anderzijds niet mogelijk is. Niet iedereen was het eens met deze lezing van de AVG. Het is ook de vraag of de AVG zo moet worden uitgelegd. Voor websites waarop de gebruiker is aangewezen voor bepaalde belangrijke informatie, zoals overheidswebsites, geldt dat wel. De bezoeker heeft dan echt geen andere keuze om de informatie tot zich te nemen. Maar voor veel commerciële websites gaat dat argument niet zonder meer op. Vooral bij nieuwswebsites, waarvan er velen zijn, is het niet helemaal duidelijk waarom een gebruiker niet elders zijn informatie zou kunnen halen. Hoe het ook zij, vooralsnog handhaaft het AP wel op basis van deze redenering. Pas dus op als je een website runt die gebruik maakt van tracking-cookies. Een gewaarschuwd mens telt voor twee.

In oktober deed het Hof van Justitie van de Europese Unie vervolgens uitspraak in een zaak waarin sprake was van toestemming voor cookies door middel van vooraf ingevulde vinkjes. Die vooraf ingevulde vinkjes mochten niet, zo oordeelde het Hof. Toestemming voor gegevensverwerking dient expliciet te zijn. Het moet gaan om een duidelijke, actieve handeling aldus overweging 32 AVG. In december berichtte de AP echter dat ondanks de uitspraak van het Hof nog steeds nagenoeg alle webshops cookie-regels overtreden. Veel websites gebruiken van tevoren ingevulde hokjes of een cookiemuur. De reden wordt in januari van dit jaar duidelijk. Hoewel weleens wordt gedacht dat cookiemuren alleen maar zorgen dat mensen klakkeloos akkoord gaan, blijkt het tegendeel waar te zijn. Sinds de Ster een cookiemuur hanteert waarin bezoekers kunnen kiezen voor verschillende cookie-opties wordt massaal gekozen voor ‘enkel functionele cookies’. Slechts 10% accepteert nog tracking cookies. De Ster heeft daarom besloten per 1 januari 2020 maar helemaal te stoppen met die cookies. Voortaan zullen adverteerders niet langer persoonsgegevens mogen opkopen om gericht te adverteren. Bij de Ster gaat het weer op de oude manier: advertentieprofielen worden gebaseerd op de context en inhoud van het bekeken programma.

Het laatste woord over cookies is echter nog lang niet gezegd. In het voorstel voor de ePrivacy Verordening die straks voorrang boven de AVG krijgt op het gebied van cookies, stond lange tijd dat een cookiemuur onder omstandigheden is toegestaan. Het zou dus kunnen dat de AP op haar eerdere uitspraken moet terugkomen. Maar de toekomst van de ePrivacy Verordening is verre van zeker. De laatste versie is op 22 november 2019 door de lidstaten weggestemd. De cookiemuur blijft een discussiepunt en het kan nog een tijd gaan duren voor er overeenstemming bereikt wordt. Voorlopig moet dus voor de zekerheid van de lezing van de AP worden uitgegaan.