Update cookies

Op 18 december 2012 zetten wij in onze Newsflash de nieuwe regels voor cookies uiteen. Hoewel de regels pas sinds juni 2012 gelden, kondigden wij al aan dat er mogelijk een wijziging met betrekking tot analytische cookies zou komen. Dat is inmiddels gebeurd, maar dat is niet de enige ontwikkeling.

Uitzondering voor analytische cookies

Op grond van de regels voor cookies moet eenieder die cookies gebruikt (dat wil zeggen: gegevens plaatst op of uitleest van iemands randapparatuur) vooraf informatie verstrekken en toestemming vragen. Op deze regel zijn twee uitzonderingen. Wanneer het gebruik van cookies (i) noodzakelijk is voor de communicatie of (ii) voor een specifiek door de gebruiker gevraagde dienst, hoef je niet te informeren en geen toestemming te vragen.

De bedoeling is dat ook zogenaamde ‘first party analytic cookies’ onder bovenstaande uitzondering gaan vallen. Op 20 december 2012 maakte minister Kamp van Economische Zaken bekend dat hij met de OPTA had geconcludeerd dat de wet zo kon worden toegepast dat voor het plaatsen en lezen van first party analytic cookies geen toestemming vereist was. Hieraan zouden wel enkele (nader door de OPTA uit te werken) voorwaarden worden verbonden. In ieder geval, zou het moeten gaan om cookies waarmee uitsluitend geanonimiseerde gegevens worden verzameld over het gebruik van de eigen website die niet worden gedeeld met derden.

Inmiddels maakte de minister bekend dat voor de bovenstaande toepassing toch een wetswijziging nodig is. Het toestaan van eigen analytische cookies onder de bestaande uitzonderingen zou namelijk neerkomen op gedoogbeleid. Hij verwacht dat de eerste nieuwe versie van de wet over twee weken gereed is.

Het College Bescherming Persoonsgegevens (CBP) heeft ondertussen aangekondigd dat zij binnenkort samen met de OPTA een gezamenlijk rechtsoordeel over analytische cookies zal presenteren.

Ruimte voor ‘implied consent’?
Daarnaast lijkt er inmiddels meer ruimte te zijn ontstaan voor ‘implied consent’. De voor cookies vereiste toestemming kan volgens minister Kamp namelijk ook impliciet worden verkregen. Het verstrekken van duidelijke informatie over cookies blijft nodig, maar als een website bezoeker een cookiemelding meerdere keren negeert, zou dit toestemming impliceren.

Of de OPTA het daarmee eens zal zijn, valt nog te bezien. In de nieuwe versie van de “Veelgestelde vragen over de cookieregels” gaat de OPTA er nog steeds vanuit dat voor toestemming een <EM><STRONG>handeling</STRONG></EM> van de internetgebruiker nodig is. Als de gebruiker een keuze wordt geboden tot het geven van toestemming, maar geen heeft keuze gemaakt, kan daaruit niet <EM>zonder meer</EM> worden afgeleid dat toestemming is gegeven. In de eerdere versies van de “Veelgestelde vragen” ontbraken de woorden “zonder meer”. Mogelijk zet de OPTA hiermee de deur open voor ‘implied consent’, maar erg duidelijk is het helaas nog niet.

CBP over toestemming en cookie wall NPO
Veel partijen gebruiken een zogenaamde ‘cookie wall’ om te voldoen aan de cookie regels, zo ook de Nederlandse Publieke Omroep (NPO). Voor toegang tot een website van de NPO, bijvoorbeeld http://www.uitzendinggemist.nl/, moet de bezoeker toestemming geven voor cookies. Geeft de bezoeker geen toestemming, dan blijft de site ontoegankelijk. Volgens de NPO is dit noodzakelijk voor het uitvoeren van haar wettelijke taak. De NPO is namelijk verplicht om aan te tonen hoeveel bezoekers haar websites gebruiken. Dat is echter niet het enige waarvoor zij cookies gebruikt.

Een en ander heeft geleid tot Kamervragen en beantwoording daarvan. Het CBP heeft daarop gereageerd. Het CBP is o.a. van mening dat de wijze waarop de NPO toestemming vraagt niet voldoet aan de Wet bescherming persoonsgegevens (Wbp). Toestemming moet in vrijheid gegeven of geweigerd kunnen worden. De NPO biedt bezoekers slechts één keuze: toestemming geven voor alle soorten cookies, waaronder ook tracking cookies van derden. Dit terwijl de informatie die de NPO verspreidt  met publiek geld is gefinancierd en er geen alternatief is om langs digitale weg kennis te nemen van deze informatie (de NPO heeft een feitelijk situationeel monopolie). “Van een in vrijheid gegeven rechtsgeldige toestemming is daarom geen sprake”, aldus het CBP.

Staatssecretaris Dekker van Onderwijs, Cultuur en Wetenschap gaf inmiddels aan dat er zal worden overlegd met de NPO over de wijze waarop zij haar websites toegankelijk maakt, maar dat het uiteindelijk aan de OPTA en het CBP is om te beoordelen of de cookieregels en de Wbp worden overtreden.

Conclusie
Uit het bovenstaande blijkt dat er op het gebied van cookies nog steeds veel gebeurt. Wordt vervolgd…