Vragen van het lid Verhoeven (D66) aan de minister van Economische Zaken, Landbouw en Innovatie over vermeende privacy-schendingen met cookies door Facebook (ingezonden 4 oktober 2011).

Antwoord van minister Verhagen (Economische Zaken, Landbouw en Innovatie) (ontvangen 4 november 2011).

Vraag 1 en 2

Heeft u kennisgenomen van het artikel «Roep onderzoek cookiegebruik Facebook»?¹

Wat is uw mening over het verzamelen van privacy-gevoelige informatie door Facebook via onverwijderbare cookies?

Overtreedt Facebook met deze onverwijderbare cookies de Wet Bescherming Persoonsgegevens omdat er niet om «ondubbelzinnige toestemming» is gevraagd?

Antwoord 1 en 2

Ik heb kennis genomen van het artikel. Wanneer door middel van cookies persoonsgegevens worden verwerkt, is de Wet bescherming persoonsgegevens² (hierna: Wbp) van toepassing. De Wbp bepaalt dat persoonsgegevens slechts mogen worden verwerkt als daarvoor ondubbelzinnige toestemming is verkregen, of als een van de andere in dat artikel genoemde gronden voor verwerking van toepassing zijn. Deze toestemming moet de betrokkene altijd kunnen intrekken³. Dat lijkt niet mogelijk bij onverwijderbare cookies. Of in de beschreven situatie sprake was van verwerking van persoonsgegevens, en of in dat geval voldaan is aan de Wbp, is niet aan mij om te beoordelen. Het is aan het College bescherming persoonsgegevens (Cbp) om te beoordelen of in specifieke gevallen in strijd met de Wbp wordt gehandeld.

Vraag 3

Hoe verhoudt het beleid van Facebook zich ten opzichte van het aangenomen amendement Van Bemmel /Van Dam⁴? Wat betekent het eventuele aannemen van de Wijziging van de Telecommunicatiewet ter implementatie van de herziene telecommunicatierichtlijnen⁵ door de Eerste Kamer voor het toepassen van dergelijke cookies?

Antwoord 3

Zodra het Wetsvoorstel tot wijziging van de Telecommunicatiewet ter implementatie van de herziene telecomrichtlijnen door de Eerste Kamer is aangenomen en in werking treedt, zal de OPTA toezien op de naleving van het door amendement Van Bemmel/Van Dam gewijzigde artikel 11.7a van de Telecommunicatiewet (hierna: Tw). Volgens dit artikel is voor het lezen of plaatsen van cookies toestemming⁶ van de gebruiker vereist.

Wanneer door middel van cookies persoonsgegevens worden verwerkt, is naast artikel 11.7a Tw ook de Wbp van toepassing, op grond waarvan dan «ondubbelzinnige» toestemming vereist is⁷. Op grond van artikel 11.7a Tw wordt vermoed dat er sprake is van verwerking van persoonsgegevens als cookies gebruikt worden om voor commerciële, charitatieve of ideële doeleinden informatie te verzamelen over bijvoorbeeld het surfgedrag van de gebruiker. Deze «tracking cookies» moeten dan niet alleen voldoen aan de eisen van artikel 11.7a Tw. Ze vallen dan ook onder het regime van de Wbp, tenzij degene die de cookies plaatst en leest kan aantonen dat hij hiermee géén persoonsgegevens verwerkt. Het CBP ziet toe op de naleving van de Wbp. Tegelijkertijd blijft OPTA bevoegd om toe te zien op de naleving van artikel 11.7a Tw. Of de in het artikel genoemde acties van Facebook hier mee in strijd zijn, is aan de toezichthouders om te beoordelen.

Vraag 4

Hoe verhoudt uw pleidooi tijdens de behandeling van de wijziging van de telecomwet tegen het genoemde cookie-amendement en voor zelfregulering zich tot de in het artikel genoemde acties van Facebook?

Antwoord 4

Het wetsvoorstel tot wijziging van de Telecommunicatiewet ter implementatie van de herziene telecomrichtlijnen in oorspronkelijke vorm (Kamerstukken 2010–2011, 32 549, nr. 2) voorzag met het voorgestelde artikel 11.7a al in een wettelijke verplichting om voor het plaatsen en lezen van cookies informatie te verstrekken en toestemming te verkrijgen. Zowel in de Nota naar aanleiding van het Verslag⁸, als tijdens de behandeling van het wetsvoorstel in de Tweede Kamer⁹ heb ik uitgelegd dat de richtlijn vereist dat de voorwaarden voor het gebruik van cookies in de wet wordt geregeld, en dat zelfregulering daar niet voor in de plaats kan komen. Ik heb met andere woorden niet gepleit voor zelfregulering als vervanging voor wetgeving. Wel heb ik gezegd dat ik het een goede ontwikkeling vind als er door de markt samenwerkingsinitiatieven worden ondernomen, met dien verstande dat deze ontwikkelingen niets afdoen aan het feit dat partijen zich aan artikel 11.7a Tw zullen moeten houden.

Ik heb inderdaad gepleit tegen het cookie-amendement in zijn oorspronkelijke vorm, omdat de oorspronkelijke formulering voor alle cookies «ondubbelzinnige» toestemming vereiste. Dat is een strenger regime dan de richtlijn voorschrijft. De indieners van het amendement hebben daarop de formulering aangepast.

---

1 http://www.nu.nl/internet/2628337/roep-onderzoek-cookiegebruik-facebook.html

2 Artikel 8 Wbp.

3 Artikel 5, tweede lid, Wbp.

4 Kamerstuk, 32 549 nr. 39.

5 Kamerstuk, 32 549 nr. 1 e.v.

6 artikel 11.1, onderdeel g, Tw verwijst voor de definitie van «toestemming» naar artikel 1, onderdeel i, Wbp.

7 Zoals gezegd: tenzij een van de overige verwerkingsgronden van artikel 8 van de Wet bescherming persoonsgegevens van toepassing is.

8 Kamerstukken 2010–2011, 32 549, nr. 7, p. 29 en 33.

9 Handelingen 2010–2011, nr. 90, item 3, datum vergadering: 08-06-2011, p. 28.