Zijn tracking cookies straks verleden tijd?

Al in eerdere blogs is de regelgeving omtrent het gebruik van cookies aangestipt.

Op dit moment mogen tracking cookies alleen geplaatst worden indien voldaan is aan het toestemmingsvereiste. Volgens de European Data Protection Board (EDPB), een Europees comité voor gegevensbescherming, werkt dit systeem echter niet voldoende. Daarom pleit zij in haar advies voor een totaalverbod op gepersonaliseerde advertenties en tracking cookies. In dit blog wordt ingegaan op het gebruik van tracking cookies, het verbod op cookiewalls en de gevolgen van mogelijk strengere regelgeving.

Wat zijn tracking cookies?

Tracking cookies zijn in staat om nauwgezet het internetgedrag van de bezoeker van een website te volgen. Hierdoor kan ook het bezoek aan een andere website worden vastgelegd. Uiteindelijk is het mogelijk om op basis van het internetgedrag een persoonlijk profiel af te leiden en zelfs gepersonaliseerde advertenties te plaatsen. Voor de grote social medianetwerken en Big Tech bedrijven zijn deze advertenties een belangrijke inkomstenbron.

Het gebruik van cookies is geregeld door de Telecommunicatiewet (Tw), welke gebaseerd is op de EU ePrivacy Richtlijn 2002/58/EC. Wegens het verzamelen van persoonsgegevens, is ook de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Tracking cookies mogen enkel geplaatst worden als nadrukkelijk toestemming is gegeven door de websitebezoeker. Deze toestemming dient zowel aan de Tw als de AVG te voldoen. In 2019 oordeelde het Hof van Justitie (HvJ) al dat een vooraf aangekruist vakje niet volstaat om als toestemming voor het gebruik van cookies te kwalificeren.

Naast het toestemmingsvereiste geldt volgens de AP ook een verbod op cookiewalls. Een cookiewall maakt het voor de gebruiker onmogelijk om de website te bezoeken zonder de cookies te accepteren. Dit kan daarom niet als een ‘vrije’ keuze worden gezien. We hebben al eerder aandacht besteed aan de discussie omtrent de lezing van de AVG door de AP. In de recent uitgebrachte EDPB-richtlijnen 05/2020 is de EDPB ook van mening dat toestemming die verkregen wordt via cookiewalls, niet-conform is. De nieuwe e-Privacyverordening, die de huidige ePrivacy Richtlijn vervangt, zal waarschijnlijk op dit punt meer verduidelijking met zich meebrengen. De definitieve wettekst wordt pas in 2022 verwacht.

Helaas zijn volgens de EDPB bovenstaande regels niet effectief genoeg omdat gebruikers nog steeds dagelijks worden lastig gevallen met hinderlijke pop-ups. Deze pop-ups worden zo vormgegeven dat gebruikers vaak geneigd zijn toch op ‘OK’ te klikken om van het gezeur af te zijn. Uit onderzoek naar cookies is dan ook gebleken dat veel websites nog steeds niet voldoen aan de huidige wetgeving. De EDPB adviseert daarom aan de Europese Commissie om het gebruik van tracking cookies geleidelijk uit te faseren en uiteindelijk niet meer toe te staan.

Een populair business model

De aanbeveling van de EDPB past in een breder plaatje waarin de EU de macht van de Big Tech probeert in te dammen. De Europese Commissie bereidt wetten voor om sociale medianetwerken en techbedrijven, zoals Google en Facebook, harder aan te pakken. Naast een verbod op gepersonaliseerde advertenties wil de EDPB ook dat er een verbod komt op gezichtsherkenning en andere real time biometrie in de publieke ruimte. Ook wil de EDPB een einde maken aan het profileren van kinderen.

Indien de Europese Commissie inderdaad er voor kiest om het gebruik van tracking cookies in te perken, valt een populair business model in duigen. Apple is onlangs al gestopt met tracking cookies met de nieuwe update van IoS. Dit heeft ertoe geleid dat advertentie inkomsten van bedrijven als Snapchat, Facebook, YouTube en Twitter flink zijn gedaald. Een mooie vergelijking kan worden getrokken met een recente uitspraak van de Hoge Raad over ongeadresseerd reclamedrukwerk. Het Hof kwam in deze zaak terecht tot het oordeel dat de Gemeente Amsterdam niet onrechtmatig handelde tegen verspreiders van ongeadresseerd reclamedrukwerk met de invoering van een folder systeem met JA/JA stickers. Dit heeft tot gevolg dat waar voorheen reclamedrukwerk overal bezorgd mocht worden, met uitzondering van NEE/JA of NEE/NEE sticker, nu in de Gemeente Amsterdam geen verspreiding geldt, tenzij dit uitdrukkelijk is gewenst. Een flinke domper voor bedrijven die ongeadresseerd reclamedrukwerk bezorgen. Het valt dan ook te verwachten dat sociale medianetwerken en techbedrijven niet blij zullen zijn als er daadwerkelijk scherpere regelgeving komt op het gebied van tracking cookies.