De status van e-privacy met betrekking tot tracking cookies

RECHTSGEBIED | EUROPEES RECHT

DE STATUS VAN E-PRIVACY MET BETREKKING TOT TRACKING COOKIES TEGENWOORDIG KOM JE OP BIJNA IEDERE WEBSITE COOKIEMELDINGEN TEGEN, VAAK KLIK JE ZONDER HIER UITVOERIG OVER NA TE DENKEN OP ‘ACCEPTEREN OF ‘WEIGEREN’ OM VERVOLGENS VERDER TE KUNNEN GAAN OP DEZE WEBSITE. IN DE ALGEMENE VERORDENING GEGEVENSBESCHERMING (AVG) ZIJN REGELS OPGENOMEN DIE VAN TOEPASSING ZIJN OP DEZE COOKIES. MOMENTEEL IS DE EUROPESE UNIE BEZIG MET EEN WETSVOORSTEL VOOR EEN NIEUWE E-PRIVACYVERORDENING, DEZE VERORDENING GAAT VOOR AANVULLENDE EN GESPECIFICEERDE REGELS ZORGEN TEN OPZICHTE VAN DE NU AL BESTAANDE AVG. DOOR AILEEN HOWARD

10

ALIBI MAGAZINE | EDITIE 2 2021

RECHTSGEBIED | EUROPEES RECHT

In grote lijnen weet men hoe cookies in elkaar zitten, maar in hoeverre weet men wat de mogelijkheden van cookies zijn en wat juridisch toelaatbaar is? Wat heeft de AVG precies voor invloed op cookies, en wat voor veranderingen gaat de nieuwe e-privacyverordening met zich meebrengen ten opzichte van de al bestaande AVG? COOKIES Een cookie is een klein tekstbestandje dat op een apparaat kan worden opgeslagen op het moment dat een website wordt bezocht. Er wordt gebruik gemaakt van verschillende cookies. De meest gebruikte zijn functionele cookies, analytische cookies en tracking cookies. Functionele cookies heeft een website nodig om goed te kunnen functioneren. De belangrijkste reden waarom cookies worden gebruikt op een website is om de ene gebruiker van de andere te onderscheiden. Deze worden bijvoorbeeld gebruikt bij websites waar je moet inloggen, om te zorgen dat je ingelogd blijft. Een ander voorbeeld is de website van een winkel zoals Zara, waarbij het voor de webwinkel van belang is om te onthouden dat een bezoeker producten in zijn of haar winkelwagen heeft geladen nadat deze op ‘bestellen’ heeft geklikt. Daarnaast is het voor een webwinkel ook voordelig

Het gebruik van cookies maakt het mogelijk om mensen te ‘volgen’, via zogenaamde tracking cookies kan deze adverteerder zien welke verschillende sites zijn bezocht, en de cookies van de verschillende sites uitlezen. Hiermee kan de adverteerder iemand persoonlijk gerichte producten aanbieden en deze gebruiker advertenties tonen van de bekeken producten op andere websites die deze gebruiker bezoekt. Het gebruik van cookies maakt het dus mogelijk om mensen te ‘volgen’, via zogenaamde tracking cookies.2 TRACKING COOKIES Door middel van tracking cookies is het, zoals eerder genoemd, mogelijk om internetgebruikers te ‘tracken’. De meest gebruikte techniek die er is om iemand te identificeren is de techniek van third party cookies.

om te kunnen zien welke gebruikers welke producten aanklikken. Deze mogelijkheid is er met het gebruik van analytische cookies. 1 Om het surfgedrag van site bezoekers bij te houden worden zogenaamde tracking cookies geplaatst. Adverteerders kunnen op een bepaalde site een cookie plaatsen, hierdoor komt de adverteerder te weten dat iemand een bepaalde site heeft bezocht. Voor

Third party cookies Third party cookies kunnen grote hoeveelheden data verzamelen en koppelen. Het verzamelen en koppelen van data is erg aantrekkelijk voor websites. Door deze manier van verzamelen kan er namelijk goed geadverteerd worden. Tracking cookies worden soms door website-eigenaren gebruikt, maar vaker door adverteerders. Hier komt de naam third party cookies vandaan. Advertentie platforms kunnen tracking cookies plaatsen in de browser op het moment dat iemand een website bezoekt. Na plaatsing van deze cookies worden

de adverteerder is het belangrijk dat deze ook kan zien of diegene andere sites bezoekt. Doordat een adverteerder op meerdere sites een cookie heeft geplaatst, en men bij het bezoeken van deze sites de cookies accepteert,

er automatisch advertenties op de website geplaatst. Het zijn voornamelijk de advertentie platforms die uiteindelijk de meeste gegevens van websitebezoekers verzamelen. Veel websites zijn aangesloten bij deze

EDITIE 2 2021 | ALIBI MAGAZINE

advertentie platforms. Over de bezoekers van de aangesloten websites kan informatie worden verzameld door deze platforms. Indien een website veel bezoekers heeft is deze dus erg aantrekkelijk voor advertentieplatforms. Zij zijn geïnteresseerd in welke websites op welke tijden zijn bezocht, door wie, met welk apparaat en welke producten of zoektermen worden bekeken. Kortom het surfgedrag van de internetgebruiker is interessant en kan worden bijgehouden. Hierdoor weten marketeers welke aanbieding ze het beste aan iemand kunnen tonen.

Maar in hoeverre kan deze informatie die de advertentie platforms verzamelen voordelig zijn voor andere bedrijven? Google is een goed voorbeeld, zij is namelijk een grote speler op het gebied van advertentieplatforms.

Google heeft AdSense als advertentieplatform. Dit platform verzamelt gegevens van website bezoekers, deze gegevens worden opgeslagen. Aangezien Google ook online applicaties

BIO Aileen Howard

Bachelorstudent Rechtsgeleerdheid aan de Universiteit van Amsterdam

11

RECHTSGEBIED | EUROPEES RECHT

Het surfgedrag van de internetgebruiker is interessant en kan worden bijgehouden heeft zoals bijvoorbeeld Gmail, kan zij de gegevens die zijn opgeslagen via AdSense koppelen aan gegevens die zijn opgeslagen via Gmail. Hierdoor komt Google veel te weten over haar bestaande klanten.3 Doordat dit verzamelen zo gedetailleerd is, is er sprake van ‘gegevens die herleidbaar zijn tot een identificeerbaar natuurlijk persoon’. Dit worden persoonsgegevens genoemd.

HET WETTELIJK REGULEREN VAN COOKIES EN DE BETEKENIS VAN DE AVG OP DIT MOMENT VOOR COOKIES Wanneer gegevens van gebruikers worden verzameld, gecombineerd of geanalyseerd, wordt vermoed dat er verwerking van persoonsgegevens plaatsvindt volgens de Algemene Verordening Gegevensbescherming

ijla e

(AVG).4 Bij het gebruik van tracking cookies wordt verondersteld dat er persoonsgegevens worden verwerkt.

Dit kan impact hebben op de privacy van personen en daarom is het belangrijk dat dit gereguleerd wordt.

De AVG vormt de basis van de privacywetgeving in Nederland en bepaalt onder welke voorwaarden persoonsgegevens mogen worden verwerkt.

Het uitgangspunt van de AVG is dat persoonsgegevens alleen mogen worden verwerkt voor gerechtvaardigde doeleinden. De verwerking moet noodzakelijk zijn met het oog op het bereiken van specifiek in de AVG genoemde doelen en er moet toestemming zijn verkregen van degene wiens gegevens worden verwerkt. In de AVG zijn zes rechtsgrondslagen gegeven .

Wanneer een bedrijf het doel van de

De zes rechtsgrondslagen zijn: 1 de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden 2 de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen 3 de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust 4 de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen 5 verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen 6 de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

12

verwerking op één van de zes rechtsgrondslagen kan geven, dan wordt dit gezien als een gerechtvaardigd doel.6 Indien een bedrijf met een gerechtvaardigd doel persoonsgegevens verzamelt, heeft de AVG ook bepalingen over de verantwoordingsplichten die rusten op dit bedrijf. Voorbeelden zijn het doen van een gegevensbeschermingseffectbeoordeling of het doen van een melding in geval van een datalek.7 De Autoriteit Persoonsgegevens is belast met het toezicht op de naleving van de regels in de AVG. Zij heeft de bevoegdheid om toegang te verkrijgen tot alle persoonsgegevens en de middelen die worden gebruikt voor de verwerking van persoonsgegevens van een organisatie. De Autoriteit Persoonsgegevens kan besluiten om een administratieve boete op te leggen, indien een organisatie de AVG niet correct naleeft. Daarnaast heeft zij ook de bevoegdheid om sancties op te leggen. Deze sancties zijn erop gericht overtredingen te beëindigen of nadelige gevolgen voortvloeiend uit een overtreding te herstellen.8 IS ER OP HET MOMENT AL GENOEG GEREGELD VIA DE AVG MET BETREKKING TOT COOKIES? Voorheen was er de Wet bescherming persoonsgegevens (Wpb). Deze is in 2018 vervangen door de AVG, de privacywetgeving die in heel de Europese Unie geldt. De AVG heeft ervoor gezorgd dat er in elk Europees land dezelfde regels op het gebied van databescherming gelden. Naast de AVG is de Europese Commissie sinds januari 2017 ook bezig met het wetsvoorstel voor een nieuwe e-privacyverordening.9 De e-privacyverordening zal voor vervangende en aanvullende regels zorgen ten opzichte van de AVG voor wat betreft elektronische communicatiegegevens en het plaatsen van cookies, zoals tracking cookies. De verordening zal van toepassing zijn

ALIBI MAGAZINE | EDITIE 2 2021

RECHTSGEBIED | EUROPEES RECHT

op alle aanbieders van elektronische communicatiediensten. Onder elektronische communicatiediensten moet worden verstaan: diensten die worden verstrekt door middel van elektronische signalen.10 Deze diensten moeten dan wel aan eindgebruikers worden aangeboden die zich in de Europese Unie bevinden. Op het moment verbiedt de AVG telecomproviders om telefoongesprekken af te luisteren en e-mails te lezen. Bedrijven zoals Microsoft Skype en Google (Gmail) vallen buiten die regels, dit zijn namelijk elektronische communicatiediensten die buiten de Europese Unie vallen.11 De e-privacyverordening moet ervoor zorgen dat ook deze bedrijven zich moeten gaan houden aan de regels rondom de gegevensbescherming.

De e-privacyverordening en wat deze gaat betekenen voor tracking cookies De e-privacyverordening gaat er dus voor zorgen dat ook diensten van bedrijven die buiten de Europese unie vallen expliciete goedkeuring van gebruikers moeten krijgen voordat ze gegevens mogen verzamelen over hun communicatie. Er wordt overwogen om bedrijven ook te verplichten dezelfde diensten aan te bieden voor wie geen toestemming wil geven voor het gebruik van zijn gegevens. Zo zou de e-privacyverordening een einde gaan maken aan de beroemde cookiemuur, waarmee gebruikers alleen toegang kunnen krijgen tot een website indien zij tracking cookies accepteren. Deze cookiemuur kon na het ingaan van de AVG gewoon nog blijven bestaan.12 Met de e-privacyverordening zal dit verleden tijd worden. Mogelijk kan je straks zelfs in één keer in je browser aangeven dat je helemaal nergens gevolgd wil worden. De e-privacyverordening kan dus aardig wat impact gaan hebben op de online advertentie-inkomsten, zoals voor het eerder aangegeven advertentieplatform AdSense van Google.

EDITIE 2 2021 | ALIBI MAGAZINE

CONCLUSIE De e-privacyverordening gaat voor aanvullende en gespecificeerde regels zorgen ten opzichte van de nu al bestaande AVG. De regels van de e-privacy Verordening zijn beter afgestemd op gegevensuitwisseling binnen de huidige technologische ontwikkelingen en moeten bijdragen aan meer vertrouwen en veiligheid op de Europese interne markt. Zo worden alle bedrijven en consumenten op dezelfde manier beschermd en gelden in de gehele Europese Unie dezelfde regels omtrent e-privacy.

Momenteel wordt met de AVG het plaatsen van tracking-cookies en marketing-cookies heel streng toegepast, dit leidt tot een veelvoud aan (verschillende soorten) cookiemeldingen bij gebruikers. Dit moet vereenvoudigd gaan worden voor gebruikers door aanbieders van websites te verplichten om de optie ‘tracking consent option’ toe te laten voegen.

Er wordt dan een bepaling toegevoegd waardoor iedereen slechts eenmalig zijn privacy-instellingen hoeft door te geven. Gebruikers worden hierdoor verlost van het doolhof aan cookie-informatie en vragen die ze nu krijgen als ze op een website terecht komen.

Ook het gevolg dat de regels gaan gelden voor bedrijven buiten de EU zoals Facebook, Google en Microsoft, met gebruikers binnen de EU, zal voor betere gegevensbeschermings mogelijkheden bij deze gebruikers zorgen.

De regels in de e-privacyverordening worden nu zo geformuleerd dat zij zelfs ook van toepassing zullen zijn op elektronische communicatiediensten in de toekomst.

Daarnaast worden de bepalingen in de AVG over het vragen van toestemming, het melden van datalekken en het opleggen van administratieve boetes door de toezichthoudende autoriteiten gelijk getrokken.13

ijla e

Gegevensbeschermingseffectbeoordeling: een gegevensbeschermingseffectbeoordeling is een instrument om, in het geval van verwerking van persoonsgegevens, de effecten hiervan van betrokkenen op een gestructureerde en gestandaardiseerde wijze in kaart te brengen en te beoordelen. Op basis hiervan worden maatregelen getroffen om deze effecten te voorkomen of verkleinen.14

Consumentenbond.nl (www.consumentenbond.nl/ internet-privacy/wat-zijn-cookies) 2 Solv (https://solv.nl/blog/cookies-part-1-hoewerken-ze-en-waarom-bestaan-ze/) 3 Solv (https://solv.nl/blog/cookies-part-3-hoekan-je-worden geidentificeerd-doormiddel-van-cookies/) 4 Justitia.nl (https://www.justitia.nl/cookiewet) 5 Bijlage 1 6 Handleiding Algemene verordening gegevensbescherming 7 Bijlage 2 8 Handleiding Algemene verordening gegevensbescherming 9 Emerce.nl (https://www.emerce.nl/achtergrond/ verschil-tussen-avg-eprivacy-verordening) 10 Ensie.nl (https://www.ensie.nl/eur-lex/elektronische-communicatiediensten) 11 NRC (https://www.nrc.nl/nieuws/2018/05/28/ tracking-cookies-een-juridisch-limbo-a1604537) 12 NRC (https://www.nrc.nl/nieuws/2018/05/28/ tracking-cookies-een-juridisch-limbo-a1604537) 1

Europadecentraal.nl (https://europadecentraal. nl/praktijkvraag/wat-betekent-de-nieuwe-eprivacy-verordening-voor-decentrale-overheden/) 14 Model gegevensbeschermingseffectbeoordeling rijkdienst (PIA) 13

13