Cookielessen voor nu en straks

De sanctie die de toezichthouder Autoriteit Consument & Markt (ACM) aan NPO oplegde voor overtreding van de cookiewet, geeft een aantal lessen over het gebruik van cookies, ook vooruitlopend op de nieuwe cookiewet.

Cookiewet
De toezichthouders ACM en College Bescherming Persoonsgegevens (CBP) zijn druk bezig met de handhaving van de huidige wet, het parlement werkt ondertussen aan een wetsvoorstel voor aanpassing van de cookiewet. De huidige cookiewet (artikel 11.7a van de Telecommunicatiewet) bepaalt dat voor het plaatsen en uitlezen van  cookies voorafgaande toestemming nodig is en duidelijke informatie moet worden verschaft en kent een beperkte uitzondering voor puur functionele cookies.

In de aangepaste wet zal deze uitzondering worden opgerekt en ook gelden voor cookies om informatie te verkrijgen over de kwaliteit van of effectiviteit van een geleverde dienst, zolang deze cookies maar geringe gevolgen hebben voor de persoonlijke levenssfeer.

Vier dagen
De ACM heeft in de zomer van vorig jaar de NPO een last onder dwangsom opgelegd voor overtreding van de (huidige) cookiewet. De ACM stelde vervolgens vast dat de NPO gedurende (slechts) vier dagen via een aantal NPO-websites Javascripts (van DoubleClick, Google Adsense technologie en Semilo advertising) plaatste zonder toestemming, waardoor de NPO een dwangsom van EUR 25.000,- moest betalen.

De NPO heeft daartegen een groot aantal bezwaren geuit, maar deze zijn - in een besluit dat vrijdag 16 januari jl. openbaar is gemaakt - door ACM allemaal van de hand gewezen.

Cookielessen
Dit besluit van ACM benadrukt maar weer dat het gebruik van cookies de nodige aandacht vergt:

• De cookiewet ziet niet alleen op cookies, maar op het plaatsen en uitlezen van gegevens in het algemeen, waaronder ook Javascripts, flash cookies en web beacons;
• De toestemming moet worden verkregen vóórdat er gegevens worden geplaatst;
• Het aanklikken van overige onderdelen van een website mag worden aangemerkt als toestemming, als bij aanvang van het bezoek van de website maar duidelijk is aangegeven dat dit zal worden opgevat als het geven van toestemming;
• Toestemming kan niet worden afgeleid uit het aanklikken van een button voor meer informatie over cookies. Toestemming moet altijd gebaseerd zijn op een geïnformeerde en bewuste keuze die moet blijken uit een handeling;
• De toekomstige uitzondering geldt voor cookies die een gering gevolg hebben voor de persoonlijke levenssfeer. Dat kunnen analytische, affiliate en a/b-testing cookies zijn;
• Ook voor deze cookies geldt volgens het CBP een ruime informatieplicht;
• Javascripts voor het tonen van reclame, scripts voor het faciliteren van sociale media en cookies die direct bij het laden van een pagina de gebruikersvoorkeuren registreren, vallen volgens de ACM niet onder de uitzondering van de (huidige) cookiewet.

Toekomstige uitzondering
Hoewel de ACM nog niet gehouden was om te oordelen op basis van de nieuwe cookiewet, wordt daarop toch alvast een voorschot genomen.

De ACM benadrukt dat de nieuwe uitzondering uitsluitend ziet op het plaatsen van of verkrijgen van toegang tot gegevens om informatie over de kwaliteit of effectiviteit van de geleverde dienst te verkrijgen. Bij het plaatsen van scripts om reclame te kunnen tonen, om sociale media te faciliteren en gebruikersvoorkeuren voor het afspelen van filmpjes te kunnen registreren, is daarvan volgens ACM geen sprake.

Bovendien gaat het veelal om scripts van derde partijen (bijvoorbeeld Google en Twitter) en moet de websitehouder waarborgen dat de gegevens niet op een manier worden gebruikt die meer dan geringe gevolgen heeft voor de privacy van de gebruiker. Dat kan bijvoorbeeld door vast te leggen dat deze derde partij de gegevens alleen mag gebruiken voor het meten van de kwaliteit of effectiviteit van de geleverde dienst.

Het moge duidelijk zijn dat de ACM de nieuwe cookiewet ook strikt zal uitleggen.