Tracking cookies weigeren : hoe zit dat ook alweer?

Share
Share on linkedin
Share on facebook
Share on google
Share on twitter

Het gebeurt nog regelmatig dat bezoekers geen toegang krijgen tot een website omdat zij de (tracking) cookies niet accepteren. Maar mag dit eigenlijk wel? In deze blog gaan wij in op de wettelijke regels die gelden voor het gebruik van tracking cookies.

Iedereen kent het waarschijnlijk wel: de bekende pop-up die je de kans geeft om cookies te weigeren als je een website bezoekt. Bij veel websitebezoekers leiden cookiemeldingen tot een hoop ergernis. Maar het lijkt haast alsof je er niet omheen kan. Cookies accepteren óf een andere website gebruiken, het is vaak of het één óf het ander. Veel bezoekers accepteren deze cookies dan ook zomaar. En dat is exact wat bedrijven willen.

Maar wist u dat websites die bezoekers alleen toegang geven tot hun site als ze akkoord gaan met het plaatsen van zogeheten ‘tracking cookies’ in strijd handelen met de Algemene verordening gegevensbescherming (AVG)? In deze blog gaan we nader in op tracking cookies in het licht van de AVG en de Nederlandse Telecommunicatiewet.

Wat zijn cookies?

Cookies zijn kleine bestanden die de aanbieder van een website op de apparatuur van een bezoeker plaatst. Bijvoorbeeld op een computer of telefoon. Met cookies kan informatie worden verzameld of opgeslagen over het websitebezoek of over (het apparaat van) de gebruiker. In dit artikel ligt de nadruk op ‘tracking cookies’. Bent u benieuwd naar de wettelijke eisen aan andere soorten cookies? Deze zijn te vinden op de website van de Autoriteit Consument en Markt (ACM).

Een manier om uzelf te ‘beschermen’ tegen cookies is door gebruik te maken van de incognito-modus van uw browser: die slaat de browsergeschiedenis en niet-essentiële cookies niet op. Benieuwd hoe u cookies kunt verwijderen? Bekijk het stappenplan van Radar.

Tracking cookies

Tracking cookies of marketing cookies vormen van alle cookies de grootste inbreuk op je privacy. Tracking cookies zijn cookies die gegevens over het internetgedrag van bezoekers kunnen volgen. Een tracking cookie wordt geplaatst om een internetgebruiker te identificeren op één of meerdere websites. Er wordt niet alleen bijgehouden welke websites worden bezocht, maar bijvoorbeeld ook met welk IP-adres en toestel de internetgebruiker de sites bezoekt. En dat zijn persoonsgegevens. Door deze gegevens op te slaan wordt het mogelijk om profielen van mensen op te stellen (profilering) en hen op basis daarvan bijvoorbeeld gerichte advertenties te sturen.

Wat zijn de wettelijke regels voor tracking cookies?

Als een website gebruikmaakt van cookies dan moet de (Nederlandse) Telecommunicatiewet (Tw) in acht worden genomen. Worden gebruikmakend van deze cookies ook persoonsgegevens verwerkt? Dan zal ook moeten worden voldaan aan de Algemene verordening gegevensbescherming (AVG).

De Telecommunicatiewet (of ‘Cookiewet’)

In de Telecommunicatiewet zijn regels omtrent het gebruik van cookies opgenomen (artikel 11.7a Tw). Deze cookiebepaling is gebaseerd op de EU ePrivacy Richtlijn 2002/58/EC. Onlangs schreven wij een blog over de e-privacyverordening, die de ePrivacy Richtlijn uiteindelijk moet vervangen. Eind 2021 of begin 2022 is de verordening waarschijnlijk definitief. Wilt u meer lezen over de e-privacyverordening en welke wijzigingen deze teweegbrengt? Bekijk dan onze blog.

Artikel 11.7a TW bevat een aantal regels omtrent cookiegebruik. Zo moet een bezoeker toestemming verlenen voor de plaatsing van cookies (artikel 11.7a lid 1 sub b). Daarnaast moet het voor de bezoeker bekend zijn voor welke doeleinden cookies worden geplaatst (artikel 11.7a lid 1 sub a). Daarop zijn echter uitzonderingen vastgelegd in artikel 11.7a lid lid 3. Zijn de cookies noodzakelijk voor het functioneren van de website of zijn ze uitsluitend bedoeld om de communicatie over een elektronisch communicatienetwerk uit te voeren? Dan komen de informatieverplichting en het toestemmingsvereiste te vervallen.

Wat zegt de AVG?

Strikt genomen gaat de AVG over de bescherming van persoonsgegevens en niet over het plaatsen van cookies. De AVG is echter wel van toepassing op het gebruik van tracking cookies. Dit komt doordat bij tracking cookies, zoals bijvoorbeeld een Facebook Pixel of Like-button, (vaak) persoonsgegevens worden verwerkt en doorgegeven. Maar wat bepaalt de AVG over het gebruik van tracking cookies?

Noodzakelijk of toestemming

Het verwerken van persoonsgegevens mag alleen als hiervoor een “legitieme verwerkingsgrondslag” bestaat. De AVG kent zes verwerkingsgronden (artikel 6 lid 1 AVG). Een geldige grondslag kan zijn dat het noodzakelijk is om deze persoonsgegevens te verwerken, bijvoorbeeld om een overeenkomst uit te voeren.

Als bedrijven echter mensen willen volgen met tracking cookies, moeten zij daarvoor altijd eerst op een rechtsgeldige manier toestemming vragen. Bij cookies die geen of geringe inbreuk maken op de privacy hoeft dit niet.

Rechtsgeldige toestemming onder de AVG houdt in dat toestemming “vrij, specifiek, geïnformeerd en ondubbelzinnige is’’. Het moet daarbij gaan om een wilsuiting waarmee de bezoeker door middel van een duidelijke actieve handeling, de betreffende verwerking van persoonsgegevens aanvaardt (artikel 4 lid 11 AVG). Een standaard aangevinkt selectievakje is dus onvoldoende, aldus het Europese Hof van Justitie.

De Autoriteit Persoonsgegevens (AP) had al in 2019 een controle uitgevoerd met betrekking tot het gebruik van tracking cookies. Daaruit bleek dat bijna de helft van de websites die tracking cookies gebruiken, niet voldeden aan de toestemmingsvereisten.

Het gebeurt bijvoorbeeld regelmatig dat bezoekers geen toegang krijgen tot een website omdat zij de tracking cookies niet accepteren. Wanneer bij weigering van tracking cookies toegang tot de website of service niet mogelijk is (‘cookiewall’), kan het zijn dat bezoekers onder deze druk toch hun persoonsgegevens afstaan. De gegeven toestemming wordt daarmee geacht niet ‘’vrij’’ te zijn gegeven – en dat is onrechtmatig.

Informatieverplichting

Ook de AVG kent, net als de Telecommunicatiewet, een informatieverplichting jegens betrokkenen. Deze informatieverplichting houdt in dat betrokkenen vooraf geïnformeerd dienen te worden over de persoonsgegevens die verwerkt worden, waarom zij verwerkt worden en hoe. Op grond van artikel 12 lid 1 AVG dient de informatie op een beknopte en begrijpelijke wijze te worden verstrekt.

Conclusie

Als een website gebruikmaakt van tracking cookies moeten bezoekers daarover tijdig worden geïnformeerd. Doorgaans hebben websites voor het plaatsen van tracking cookies rechtsgeldige toestemming nodig van hun bezoekers. Voorgaande impliceert ook dat bezoekers tracking cookies moeten kunnen weigeren. Op die manier kunnen zij welbewust en op de juiste manier gebruik maken van hun recht op bescherming van persoonsgegevens. Websites moeten daarbij toegankelijk blijven voor mensen die tracking cookies weigeren, anders handelen zij in strijd met de AVG.

Ivy Woanya

Ivy Woanya

Ivy Woanya is jurist bij The Privacy Factory. Momenteel volgt zij de Master Internet, IE en ICT aan de Vrije Universiteit Amsterdam. Zij heeft een passie voor privacy, big data en artificial intelligence.

Meld u aan voor Privacy Weekly

Aanmelden Privacy Weekly
Elke donderdag een privacy alert, blog of whitepaper in uw inbox!
cookie

Wij gebruiken alleen functionele en analytische cookies om u een optimale gebruikerservaring te bieden op onze website. Onze cookies verzamelen geen persoonsgegevens. Meer informatie.