Eindelijk is daar dan het door minister Kamp in maart aangekondigde wetsvoorstel voor wijziging van artikel 11.7a Telecommunicatiewet (hierna: de “Cookiewet”). Het is nog een concept waarop een ieder gedurende zes weken kan reageren via de openbare internetconsultatie. In vergelijking met de huidige Cookiewet bevat het wetsvoorstel een aantal ingrijpende wijzigingen. Deze wijzigingen zullen door de meeste internetgebruikers en websitehouders worden toegejuicht.
Hoe was het ook al weer?
De in juni 2012 van kracht geworden Cookiewet bepaalt dat degene die via een elektronisch communicatienetwerk gegevens wenst op te slaan in randapparatuur van gebruikers of toegang wenst te krijgen tot opgeslagen gegevens, daarvoor eerst:
i) toestemming moet hebben gekregen van de gebruiker;
ii) de gebruiker duidelijk en volledig over de doeleinden moet hebben geïnformeerd.
Daarnaast is op 1 januari 2013 het onderdeel van de Cookiewet in werking getreden waarin wordt bepaald dat als cookies worden gebruikt voor tracking doeleinden, het rechtsvermoeden geldt dat er sprake is van de verwerking van persoonsgegevens.
Op deze regels bestaat een uitzondering. De Cookiewet geldt niet voor zover er sprake is van functionele cookies. Functionele cookies zijn cookies die i) uitsluitend dienen om communicatie mogelijk te maken en/of ii) noodzakelijk zijn voor een door de gebruiker gevraagde dienst.
Ergernissen
In de praktijk bleek dat er veel irritatie is ontstaan over de werking van de Cookiewet bij zowel internetgebruikers als partijen die de cookies plaatsen/uitlezen. De toelichting op het concept wetsvoorstel geeft aan dat deze ergernis enerzijds ziet op het feit dat voor alle cookies, behalve de functionele, toestemming moet worden gevraagd zonder dat onderscheid wordt gemaakt tussen privacygevoelige cookies en cookies waarbij de privacygevolgen gering zijn. Op dit punt wordt de wet aangepast.
Anderzijds hebben de gebruikers volgens de toelichting vaak het gevoel niet echt een vrije keuze te hebben als hen om toestemming wordt gevraagd, bijvoorbeeld omdat er van cookie walls gebruik wordt gemaakt. Dit is niet erg gebruiksvriendelijk. Omdat de wet nu al mogelijkheden biedt om aan dit bezwaar tegemoet te komen, worden er op dit punt geen wijzigingen in de wet doorgevoerd. Wel bevat de toelichting meer duidelijkheid over de wijze waarop de Cookiewet gebruiksvriendelijker kan worden toegepast.
Wetswijziging
Minister Kamp heeft in het wetsvoorstel een nieuwe uitzondering toegevoegd. Deze uitzondering is als volgt geformuleerd (het gaat om het deel in cursief):
“Het bepaalde in het eerste lid is niet van toepassing indien het de opslag of toegang betreft: (…) die strikt noodzakelijk is om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren of – mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker – om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij.”
Wanneer er sprake is van cookies die louter worden gebruikt voor het verkrijgen van informatie over de kwaliteit of effectiviteit van een dienst, is geen voorafgaande toestemming vereist en hoeft de gebruiker niet vooraf te worden geïnformeerd.
Verder is van belang dat de uitzondering alleen opgaat als de cookies geen of slechts geringe gevolgen hebben voor de persoonlijke levenssfeer van de gebruiker. De toelichting geeft aan dat voor de uitleg hiervan bij artikel 8 aanhef en sub f Wet bescherming persoonsgegevens moet worden aangesloten. Desondanks zou er, omdat er sprake is van een open norm, discussie kunnen ontstaan over de vraag of cookies die informatie verschaffen over de kwaliteit of effectiviteit van een dienst een meer dan geringe invloed hebben op de persoonlijke levenssfeer.
De bepaling is niet toegespitst op een specifiek type cookies en is als zodanig dus techniek neutraal. Onder de uitzondering kunnen dus ook andere cookies vallen dan de veel aangehaalde analytics cookies. De toelichting geeft een aantal voorbeelden van cookies die in ieder geval onder de nieuwe uitzondering kunnen vallen.
Analytics cookies
Over analytics cookies is al veel te doen geweest. Deze cookies worden gehanteerd om het gebruik van een website te analyseren zodat, onder meer, de kwaliteit ervan kan worden verbeterd. Hiermee vallen ze in beginsel onder de uitzondering. Dat geldt zowel voor first party cookies als third party cookies.
Hierbij wordt in de toelichting wel een kanttekening geplaatst. De cookies die voor analytics doeleinden worden gebruikt, mogen niet tevens worden gebruikt voor het opstellen van een profiel van de gebruiker. Daarnaast moeten waarborgen worden getroffen om de privacy-impact zo veel mogelijk te beperken wanneer de gegevens worden gedeeld met derden.
Concreet betekent dit dat er een bewerkersovereenkomst moet worden gesloten waarin is afgesproken dat de derde de verkregen informatie niet voor eigen doeleinden zal gebruiken wanneer dit meer dan geringe gevolgen heeft voor de privacy van de gebruiker. Dit zal van belang zijn voor websitehouders die gebruik maken van Google analytics. Het is maar de vraag of Google wil meewerken aan het sluiten van dergelijke bewerkersovereenkomsten.
Affiliate cookies
Ook over affiliate cookies is al het een en ander gezegd. In een eerdere blog heb ik aangegeven dat dit type cookies mijns inziens ook onder de uitzondering zouden moeten vallen. Uit de toelichting blijkt dat dit inderdaad het geval is.
Affiliate cookies worden gebruikt om bij te houden welke advertentie leidt tot een aankoop zodat degene die de advertentie heeft getoond, hiervoor een vergoeding kan ontvangen. Het doel van affiliate cookies is het verschaffen van informatie over de effectiviteit van de cookies, niet om informatie over de gebruiker op te slaan. Als de affiliate cookies alleen hiervoor worden gebruikt, zijn de gevolgen voor de persoonlijke levenssfeer van de gebruiker beperkt en vallen de affiliate cookies onder de uitzondering.
A/B testing
Bij A/B testing worden bijvoorbeeld twee verschillende versies van een website aan gebruikers getoond om er achter te komen welke het beste aanslaat. Voor het meten welke website het meest effectief is, worden cookies gebruikt.
De cookies zijn bedoeld om inzage te krijgen over de getoonde versies, niet om informatie over de gebruiker op te slaan. Als de cookies alleen worden gebruikt voor het meten van de effectiviteit van de beide versies, zijn de gevolgen voor de persoonlijke levenssfeer van de gebruiker beperkt. Cookies voor A/B testing vallen daarmee onder de uitzondering.
Tracking cookies
Ten aanzien van tracking cookies, waarbij het individuele surfgedrag van gebruikers wordt gevolgd teneinde profielen op te stellen, verandert er niets. De uitzondering zal niet op dit type cookies van toepassing zijn. Ook blijft het rechtsvermoeden dat er bij tracking cookies sprake is van de verwerking van persoonsgegevens in stand.
In de toelichting wordt ook nader ingegaan op de wijze waarop de informatieplicht en het toestemmingsvereiste moeten worden uitgelegd. Deze onderwerpen komen aan bod in een volgende blog.
Lees hier het concept wetsvoorstel en de toelichting
Thomas van Essen, Solv Advocaten
Deze tekst verscheen eerder op de blog van Solv
