Uitgelicht: Vooraf aangevinkte selectievakjes zijn geen geldige toestemming

Op 1 oktober 2019 beantwoordde het Hof van Justitie in een prejudiciële beslissing vragen over art. 5 lid 3 van de e-Privacyrichtlijn. Dit artikel bepaalt dat de opslag van informatie of het verkrijgen van toegang tot informatie die al is opgeslagen in de eindapparatuur van een gebruiker, alleen is toegestaan wanneer de betrokken gebruiker toestemming verleent na te zijn voorzien van duidelijke en volledige informatie.

Wat was er aan de hand?
Planet49 had een reclameloterij georganiseerd. Internetgebruikers die aan dit spel wilden deelnemen, moesten hun postcode invoeren, waarna zij op een website terechtkwamen waar zij hun naam en adres moesten opgeven. Onder de invoervelden voor het adres stonden twee mededelingen met daarbij selectievakjes. Het eerste selectievakje, waarmee de internetgebruiker toestemming gaf voor het verzenden van commerciële communicatie, was niet standaard aangevinkt. Het tweede selectievakje betrof het plaatsen van cookies en was standaard aangevinkt. Volgens het Duitse Bundesverband voldeden deze toestemmingsverklaringen van Planet49 niet aan de vereisten van het Duitse recht.

Geldige toestemming?
Overweging 17 van de e-Privacyrichtlijn verduidelijkt dat "toestemming van een gebruiker" in de zin van de e-Privacy-richtlijn dezelfde betekenis moet hebben als "toestemming van de betrokkene" zoals gedefinieerd in de Privacyrichtlijn (nu vervangen door de Algemene Verordening Gegevensbescherming, "AVG"). In de Privacyrichtlijn is toestemming van de betrokkene gedefinieerd als 'elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt'. Volgens het Hof wordt met de eis van een 'wilsuiting' duidelijk naar een actieve gedraging verwezen. Toestemming door middel van een standaard aangevinkt selectievakje impliceert geen actieve gedraging van de gebruiker van een website. In de AVG wordt nu zelfs uitdrukkelijk actieve toestemming voorgeschreven. In de considerans van de AVG is daarnaast expliciet opgenomen dat bij 'stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit' geen sprake is van toestemming onder de AVG. Gelet op het bovenstaande concludeert het Hof dat toestemming voor het gebruik van cookies niet rechtsgeldig kan worden verleend door middel van een standaard aangevinkt selectievakje. Dit geldt overigens niet alleen voor toestemming voor gebruik van cookies, maar voor alle verwerkingen van persoonsgegevens.

Alle data of alleen persoonsgegevens?
Interessant is nog de overweging van het Hof dat het voor de toestemmingseisen uit de e-Privacyrichtlijn niet uitmaakt of de verwerkte gegevens in kwestie kwalificeren als "persoonsgegevens". De toestemmingseisen zijn volgens het Hof namelijk van toepassing op alle informatie die is opgeslagen op eindapparatuur van de gebruiker.

Wat zijn de gevolgen van deze uitspraak?
De Autoriteit Persoonsgegevens ("AP") heeft aangegeven deze uitspraak van het Hof te bestuderen. Hoewel deze uitspraak slechts een bevestiging is van de status quo, is er zeker een kans dat de AP dit arrest zal aangrijpen om het commerciële gebruik van cookies in Nederland verder aan banden te leggen. Organisaties doen er daarom goed aan om een cookie-audit uit te voeren. Welke cookies gebruikt u op uw website en in hoeverre dient u toestemming te vragen aan de gebruiker voor het plaatsen van deze cookies? Wordt toestemming op de juiste wijze verkregen en worden gebruikers voldoende geïnformeerd? Wij kunnen u uiteraard assisteren bij het beantwoorden van deze vragen. Voor meer informatie over de gevolgen van dit arrest voor uw organisatie kunt u contact op nemen met Erik Jonkman.

Lees de volledige uitspraak: ECLI:EU:C:2019:801