Techbedrijf Criteo mag niet zonder toestemming trackingcookies plaatsen op de computer van een man. Dat heeft de Amsterdamse rechter bepaald in een kort geding dat is aangespannen door de man. De uitspraak kan grote gevolgen hebben voor de werkwijze van Criteo.
Franse boete
Criteo levert 'behavioral retargeting'-diensten om via trackingcookies op websites het surfgedrag van consumenten in kaart te brengen. Doel van die tracking is bepalen welke producten en diensten een gebruiker vermoedelijk wil kopen, en hier zo binnen enkele seconden gerichte advertenties voor plaatsen. De toewijzing van advertenties gebeurt via een Real Time Bidding (RTB)-systeem en trackingcookies zijn essentieel om dit systeem te laten functioneren.
Maar de 370 miljoen mensen wiens gegevens door Criteo geanalyseerd zijn, geven geen toestemming voor het plaatsen van trackingcookies. Klachten van privacyorganisaties leidden daarom tot een onderzoek van de Franse toezichthouder CNIL. Die legde Criteo in juni een boete op van veertig miljoen euro voor het schenden van de Algemene Verordening Gegevensbescherming (AVG).
'Flagrante schending van de wet'
De Franse boete zette een privacybewuste Nederlander aan het denken. Hij stuurde Criteo in augustus een brief waarin hij duidelijk maakt dat het bedrijf trackingcookies op zijn computer plaatst en dat Criteo hier direct mee moet stoppen. Ook moet Criteo stoppen met de onrechtmatige gegevensverwerking en alle verzamelde gegevens van de man verwijderen.
Omdat dat niet gebeurde, volgde er een kort geding. Voor dat kort geding hebben deskundigen van Privacy Company onderzoek verricht naar de werkwijze van Criteo. De rechter veegt in zijn uitspraak de vloer aan met het techbedrijf, schrijft onder meer Security.nl. Volgens de rechter is het knip en klaar dat Criteo zonder toestemming van de man trackingcookies op zijn computer plaatst en dat het bedrijf om die reden niet voldoet aan haar wettelijke verplichtingen. Criteo stelt dat haar partners verantwoordelijk zijn voor het verkrijgen van gebruikerstoestemming, maar daar is de rechter het niet mee eens. De rechter maakt ook gehakt van de argumentatie van Criteo dat de man de trackingcookies kan weigeren door zijn browserinstellingen te veranderen of een opt-out in te stellen voor Criteo-cookies. Volgens de rechter hoeft de man geen actie te ondernemen, Criteo moet zorgen dat het zich aan de wet houdt.
Het is volgens de rechter ook duidelijk dat Criteo niet van plan is om haar huidige werkwijze om te gooien. De man in kwestie kan aantonen dat na het sturen van de brief aan Criteo nog 39 keer inbreuk op zijn privacy is gemaakt. 'Het gaat hier om een - naar voorlopig oordeel - flagrante schending van de wet', zo valt in de uitspraak te lezen.
'Flink pak slaag'
Criteo moet van de rechter per direct stoppen met het op onrechtmatige wijze plaatsen van trackingcookies op de computer(s) van de man. Doet het bedrijf dit niet dan legt de rechter een dwangsom op van 250 euro per dag, met een maximum van 25 duizend euro. De rechter kan Criteo even hoge dwangsommen opleggen als de man niet binnen zeven dagen inzicht krijgt in zijn gegevens, het verwijderen van die gegevens en het delen van informatie over derde partijen.
Dwangsommen van honderden tot tienduizenden euro's in deze zaak zijn voor Criteo klein bier; het bedrijf boekte vorig jaar een omzet van 2,2 miljard dollar. Maar: de dwangsom is opgelegd in een zaak van één persoon. En Criteo heeft - volgens de rechter dus zonder toestemming - trackingcookies geplaatst bij honderden miljoenen mensen. Wat als een deel van die mensen ook naar de rechter stapt om Criteo te dwingen te stoppen met het plaatsen van trackingcookies op straffe van een dwangsom? Dan kunnen de bedragen dusdanig oplopen dat het bedrijf zijn werkwijze gaat aanpassen. En dat kan volgens Privacy Company grote gevolgen hebben. Een algemeen verbod op het plaatsen van cookies plaatst namelijk een bom onder het verdienmodel van Criteo.
Is die kans aannemelijk? Techjurist Menno Weij van BDO Legal Nederland vertelt desgevraagd: 'Het is weliswaar een kort geding, maar Criteo krijgt een flink pak slaag. Mocht Criteo in hoger beroep gaan of een bodemprocedure opstarten, verwacht ik dat dit oordeel in stand blijft. Dat betekent ook dat het model van Criteo voor de toekomst grondig op de schop zal moeten. En het zou me niet verbazen als over het verleden een claimstichting opstaat die vergoeding voor alle gedupeerden gaat eisen.'
