Tracking cookies

Voor het plaatsen van tracking cookies is de actieve toestemming van de websitegebruiker vereist

Het Europees Hof van Justitie (het ‘Hof’) heeft in het arrest van 1 oktober jl. tussen de Duitse federale vereniging van consumentenbeschermingsorganisaties en Planet49 bepaald dat voor het plaatsen van zogenaamde tracking cookies – het gaat dan om cookies die de internetgebruiker over meerdere websites kunnen volgen – de actieve toestemming van de gebruiker is vereist. Een vooraf aangevinkt vakje dat door de internetgebruiker moet worden uitgezet als hij niet wil dat zijn gegevens op die manier worden gebruikt, volstaat volgens het Hof niet. Meer weten? Lees dan verder.

Inleiding

De Duitse onderneming Planet49 heeft een loterij georganiseerd via de website www.dein-macbook.de. Mensen die aan de loterij wilden deelnemen, moesten op de website hun postcode opgeven waarna zij naar een andere website werden doorverbonden waar zij hun gegevens verder konden aanvullen (o.a. naam, adres en e-mailadres). Op die website stonden onder de invoervelden twee mededelingen met daarbij selectievakjes. Het eerste selectievakjes, dat niet vooraf was aangevinkt, luidde als volgt:

“Ik vind het goed dat sponsors en partners mij per post of telefonisch dan wel via e‑mail of sms op de hoogte stellen van aanbiedingen die verband houden met hun respectievelijke activiteiten. Ik kan deze hier zelf bepalen; anders zal de keuze door de organisator worden gemaakt. Ik kan mijn instemming te allen tijde weer intrekken. Meer informatie daarover is hier te vinden.”  

De tekst bij het tweede selectievakje, dat wél vooraf was aangevinkt, luidde:

“Ik vind het goed dat webanalysedienst Remintrex bij mij wordt ingeschakeld. Dat brengt mee dat de organisator van de loterij, Planet49 […], na mijn registratie voor de loterij cookies zal plaatsen, waardoor deze in de gelegenheid zal zijn mijn surf‑ en gebruiksgedrag op websites van reclamepartners te analyseren en Remintrex mij specifieke reclameberichten zal kunnen toesturen. Deze cookies kan ik te allen tijde weer wissen. Meer daarover hier.”

De vraag die aan het Hof is voorgelegd, is of Planet49 met het tweede selectievakje rechtsgeldig de toestemming van de gebruikers heeft verkregen om hun gegevens via cookies te verwerken. Ik zal kort ingaan op de vereisten voor toestemming en vervolgens het antwoord van het Hof bespreken.

Vereisten toestemming

De regels omtrent het plaatsen van cookies zijn (op dit moment) opgenomen in de Richtlijn 2002/58 (richtlijn betreffende privacy en elektronische communicatie).[1] De verwachting is dat daar binnenkort de regels uit de e-Privacy Verordening voor in de plaats komen, maar de definitieve tekst daarvan is nog niet bekend.

Uit de Richtlijn 2002/58 volgt dat voor het plaatsen van commerciële cookies toestemming van de websitegebruiker is vereist. Onder toestemming van een gebruiker wordt verstaan: een vrije, actieve, specifieke en op informatie berustende wilsuiting waarmee de gebruiker aanvaardt dat zijn persoonsgegevens via cookies worden verwerkt.

De vraag die in deze zaak dus in wezen voorligt, is of je wel kunt spreken van een actieve handeling van een websitegebruiker als het selectievakje vooraf is aangevinkt. Het antwoord op die vraag lijkt niet zo moeilijk, in het geval van aangevinkte vakjes moeten gebruikers immers juist uit hun stoel komen om te voorkomen dat gegevens van hen worden verwerkt. Dat is niet de bedoeling. Het Hof oordeelde dan ook:

“Gelet op een en ander moet op de eerste vraag, onder a) en c), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming niet rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt selectievakje dat deze gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.”

Bovendien bevestigt het Hof dat de toestemming van de gebruiker ‘specifiek’ moet zijn, hetgeen betekent dat de gebruiker niet al enkel door zijn deelname aan de loterij geacht kan worden toestemming te hebben gegeven voor de verwerking van zijn gegevens via cookies.

Conclusie

Het was lange tijd onduidelijk welke soort van toestemming nodig is voor het plaatsen van commerciële tracking cookies: is impliciete toestemming voldoende of moet er een actieve handeling zijn. Het Hof heeft nu bepaald dat waar het gaat om tracking cookies impliciete toestemming níet afdoende is. Dat is ook al langere tijd de opvatting van de Nederlandse toezichthouder. Om risico’s te voorkomen, is het zaak dat organisaties hun websites, indien nodig, aanpassen.

Voor meer informatie kun je contact opnemen met onze privacyspecialisten Kim de Bonth en Anne Coenders.

[1] Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie).