U heeft ze wellicht al gezien: pop-ups, stukken tekst, groot, klein, storend, minder storend, maar allemaal met hetzelfde doel; u als gebruiker informeren over het opslaan en gebruiken van cookiebestanden in webbrowsers. Wat zijn deze cookies? Waarom wordt u over het gebruik van deze cookies geïnformeerd? In deze bijdrage zal ik dit nader toelichten.
Prijs vergelijk ADSL, kabel, glasvezel aanbieders en bespaar geld door over te stappen!
Cookies zijn kleine bestanden die op uw pc worden geplaatst, of eigenlijk op elk apparaat waarmee u op het internet gaat. Deze bestanden bevatten informatie over uw bezoek aan een bepaalde website. De informatie die wordt opgeslagen kan verschillen. Er zijn cookies die slechts uw voorkeuren of inloggegevens bewaren. Er zijn ook cookies die u volgen in uw reis over het internet en over verschillende websites. Dit zijn de zogenaamde ‘tracking cookies’. Wanneer u zich bijvoorbeeld afvraagt waarom u een type camera wordt aangeboden op de ene website, waar u juist gisteren op een andere website een recensie over hebt gelezen: dit zijn de tracking cookies. Er is geregistreerd dat u kijkt naar de recensie. Vervolgens krijgt u het aanbod om deze zelfde camera te kopen.
Sinds 5 juni 2012 is het ongelimiteerd volgen van gebruikers en het opslaan van privacygevoelige informatie aan regels gebonden. Op die datum is de aangepaste Europese ePrivacy Richtlijn geïmplementeerd in de Nederlandse wet. De aanpassingen zijn doorgevoerd in de Telecommunicatiewet, met betrekking tot cookies meer in het bijzonder in artikel 11.7A van deze wet. Conform dit artikel is het opslaan van gegevens in randapparatuur van gebruikers, alsmede het toegang krijgen tot in die randapparatuur opgeslagen gegevens aan regels gebonden.
Het is zeer interessant om te zien dat gebruik wordt gemaakt van relatief techniek-onafhankelijke begrippen. In plaats van ‘cookies’ en ‘computer’ wordt gebruik gemaakt van ‘gegevens’ en ‘randapparatuur’. Zodoende vallen ook andere technieken dan cookies, maar waarbij u als gebruiker wel wordt gevolgd, onder de richtlijn en de wet. Ook andere randapparatuur dan uw computer, zoals bijvoorbeeld uw telefoon of uw tablet, valt onder de wet.
Ten aanzien van deze gegevens is in de wet een informatieplicht opgenomen. De partij die de gegevens plaatst, of hier toegang toe wenst, moet de gebruiker duidelijke en volledige informatie conform de Wet bescherming persoonsgegevens geven en in ieder geval over de doeleinden waarvoor de gegevens worden geplaatst. Voordat de gegevens worden geplaatst of geraadpleegd, dient toestemming te zijn verkregen van de gebruiker.
Verschillende partijen, zoals onder meer het College bescherming persoonsgegevens, hebben zich hard gemaakt voor de opname van een expliciete toestemming in de wet. Deze lobby heeft het in het uiteindelijke wetsvoorstel niet gehaald. Dit betekent niet dat de verantwoordelijke voor de cookies een ongelimiteerde vrijheid heeft om het toestemmingsvereiste zelf in te kleden. De bewijslast dat toestemming is verkregen ligt immers bij deze verantwoordelijke. Een zekere expliciete toestemming lijkt dus impliciet aanwezig.
Moet dan voor elke cookie toestemming worden gevraagd? Nee. Lid 3 van artikel 11.7A van de Telecommunicatiewet geeft een uitzondering voor zogenaamde ‘functionele cookies’. Wat zijn deze functionele cookies? Wanneer naar de wet gekeken wordt, zien we dat dit gegevens zijn met het uitsluitende doel communicatie over een elektronisch communicatienetwerk uit te voeren of een door de gebruiker gevraagde dienst van de informatiemaatschappij te leveren, waarbij de opslag en de toestemming strikt noodzakelijk zijn. Denk hierbij aan cookies die nodig zijn om te zien of u bent ingelogd, of cookies die onthouden wat er in uw digitale winkelmand zit.
De ePrivacy Richtlijn geeft de lidstaten enige vrijheid in hoe streng zij de toestemmingsvereisten hanteren. Nederland heeft, zoals gezegd, niet gekozen voor een expliciete toestemming in de wet. Door een wijziging die op het laatste moment is uitgesteld tot 1 januari 2013 gaat Nederland, ondanks dat geen sprake is van in de wet opgenomen expliciete toestemming, verder dan is voorgeschreven door de richtlijn. Deze wijziging betreft de zogenaamde ‘tracking cookies’; cookies of andere technieken die gebruikers volgen over meerdere websites. Ik refereer hier weer aan de camera waarmee ik mijn verhaal begon.
Ten aanzien van deze tracking cookies is een bewijsvermoeden voorgesteld op basis waarvan het enkele gebruik van deze cookies vermoed wordt al een verwerking van persoonsgegevens te zijn. Op deze cookies is bij voorbaat al de Wet bescherming persoonsgegevens van toepassing, met alle daarin opgenomen waarborgen. Het is aan de verantwoordelijke voor deze cookies om aan te tonen dat geen sprake is van verwerking van persoonsgegevens. Deze wijziging is uitgesteld tot 1 januari 2013 om zodoende Europese ontwikkelingen op dit vlak af te wachten. Mocht geen alternatief worden gevonden dat minder verstrekkend is, dan zal ook deze wijziging worden doorgevoerd in de Telecommunicatiewet, met alle gevolgen van dien.
De nieuwe cookiewetgeving is met de nodige scepsis ontvangen. Het is de vraag of het beoogde doel, meer bescherming van de privacy van de burger, behaald wordt. De toezichthouders hebben al aangegeven niet de capaciteit te hebben om actief op te treden tegen cookiemisbruik. Ook de nog niet doorgevoerde aanpassing ten aanzien van tracking cookies lijkt meer kwaad dan goed te doen. De tijd zal het leren. Is de cookiewetgeving de redding voor de argeloze internetgebruiker of is het de zoveelste wassen neus?
mr. Frederick Leentfaar, Deterink Advocaten en Notarissen N.V.
