33 902 Wijziging van de Telecommunicatiewet (wijziging artikel 11.7a)

Nr. 3 MEMORIE VAN TOELICHTING

1. Inleiding

In juni 2012 is artikel 11.7a van de Telecommunicatiewet (hierna: Tw) geïntroduceerd. Dit artikel schrijft voor dat degene die via een elektronisch communicatienetwerk gegevens wenst op te slaan in de randapparatuur van een gebruiker of toegang wenst te verkrijgen tot opgeslagen gegevens in de randapparatuur, daarvoor vooraf toestemming van de gebruiker moet hebben verkregen, na de gebruiker duidelijk en volledig over de doeleinden te hebben geïnformeerd.

1.1 Achtergrond

Artikel 11.7a vormt de implementatie van artikel 5, derde lid, van richtlijn 2002/58/EG (hierna: de Bijzondere privacyrichtlijn). Deze richtlijnbepaling beoogt de persoonlijke levenssfeer (ook wel: privacy) van de gebruiker van elektronische communicatienetwerken te beschermen. De gedachte hierachter¹ is dat de gegevens op een randapparaat zoals een computer of smartphone deel uitmaken van de persoonlijke levenssfeer van de gebruiker. Als iemand zonder medeweten van de gebruiker toegang krijgt tot persoonlijke informatie op de computer of smartphone van een gebruiker kan dit een ernstige inbreuk maken op diens privacy. Artikel 11.7a zorgt er dan ook in de eerste plaats voor dat het niet is toegestaan om zonder medeweten en geïnformeerde toestemming van de gebruiker persoonlijke informatie (zoals tekstbestanden, foto’s, video’s, e-mails, adressenlijsten) op de computer of smartphone van een gebruiker te lezen of te kopiëren.

Daarnaast verbiedt het artikel het plaatsen, verspreiden of gebruiken van malware, spyware, virussen, botnets en andere vormen van schadelijke software. Gelet op de aard van dergelijke software wordt immers iets op het randapparaat geplaatst zonder de toestemming van de gebruiker. Artikel 11.7a heeft volgens het eerste lid betrekking op de opslag of toegang tot informatie op een randapparaat «via een elektronisch communicatienetwerk». Daarnaast bepaalt het tweede lid dat de informatieplicht en het toestemmingsvereiste ook gelden als op een andere manier, bijvoorbeeld via fysieke media (zoals usb-sticks, cd-roms of externe harde schijven) of draadloze transmissiesystemen (zoals Bluetooth en NFC), iets op het randapparaat van een gebruiker wordt geplaatst dat bewerkstelligt dat er informatie wordt opgeslagen of gelezen via een elektronisch communicatienetwerk. Het is op grond van dit artikel dus niet alleen verboden via een elektronisch communicatienetwerk, zoals internet, een virus op een computer te plaatsen. Het is ook verboden om een geïnfecteerde usb-stick uit te delen zodat die, zodra deze gebruikt wordt, de computer via internet een virus laat verspreiden.

De meest voorkomende situatie waarin informatie wordt opgeslagen op en gelezen van een randapparaat van een gebruiker, is het gebruik van cookies. Cookies zijn kleine tekstbestanden die worden geplaatst en gelezen als een gebruiker een internetpagina bezoekt. Cookies kunnen een legitiem en nuttig hulpmiddel zijn om ervoor te zorgen dat de dienstverlening via internet naar behoren functioneert. Cookies kunnen echter ook worden gebruikt op een manier die de privacy van de gebruiker en de vertrouwelijkheid van diens communicatie raakt. Met behulp van tracking cookies bijvoorbeeld wordt het surfgedrag van een gebruiker gevolgd. De gegevens die daarmee worden verkregen kunnen worden gebruikt om een profiel op te stellen waarin een beeld wordt geschetst van de interesses van de gebruiker. Adverteerders kunnen gebruikers daarop indelen aan de hand van sociaaleconomische, psychologische, filosofische of andere criteria en hen op basis daarvan verschillende reclames tonen of kortingen aanbieden. Zoekmachines kunnen bezoekers aan de hand van dergelijke indelingen verschillende zoekresultaten aanbieden. Artikel 11.7a bepaalt daarom dat cookies alleen mogen worden geplaatst en gelezen als de gebruiker hiervoor toestemming heeft verleend nadat hij duidelijk en volledig is geïnformeerd, onder meer over het doel waarvoor de cookies worden gebruikt.

De bepaling is zoals gezegd uitdrukkelijk niet beperkt tot het gebruik van cookies: de reikwijdte is breder en de formulering is techniekneutraal. Maar omdat in de praktijk artikel 11.7a vooral in verband met cookies wordt besproken (het artikel wordt ook wel de cookiewet of cookiebepaling genoemd), vormt dit het centrale onderwerp van de verdere toelichting.

1.2 Ontstaansgeschiedenis

De vernieuwde tekst van artikel 5, derde lid, van de Bijzondere privacyrichtlijn maakt deel uit van een bredere herziening van de telecommunicatierichtlijnen (het Nieuw Regulerend Kader of New Regulatory Framework, bestaand uit de Richtlijn burgerrechten en de Richtlijn betere regelgeving). In het oorspronkelijke voorstel van de Commissie en het Gemeenschappelijk Standpunt van de Raad werd dit artikel maar beperkt (redactioneel) gewijzigd. In deze stukken werd op deze redactionele wijzigingen na, vastgehouden aan het oude systeem waarin naast de informatieplicht voor het plaatsen en lezen van cookies geen toestemming vereist was, maar volstaan kon worden met het aanbieden van een mogelijkheid om de cookies te weigeren. Het Europees Parlement introduceerde bij amendement het toestemmingsvereiste.

Bij de stemming over de geamendeerde richtlijntekst in de Raad werd door verschillende landen (België, Duitsland, Estland, Finland, Ierland, Letland, Malta, Oostenrijk, Roemenië, Slowakije, Spanje en het Verenigd Koninkrijk) een gezamenlijke stemverklaring afgegeven. Hierin verklaarden deze landen dat zij, gelet op de ongewijzigde overweging 66 bij de richtlijn, ook aan het gewijzigde artikel 5, derde lid van de Bijzondere privacyrichtlijn konden voldoen door vast te houden aan het voorschrift dat de bezoeker het recht moet hebben om het gebruik van cookies te weigeren. Nederland heeft zich niet aangesloten bij deze stemverklaring omdat een dergelijke invulling ons inziens niet voldoet aan de tekst van artikel 5, derde lid, van de Bijzondere privacyrichtlijn, die nu juist op dit onderdeel bij amendement van het Europees Parlement was veranderd van «recht op weigering» naar «toestemming».

Ten tijde van de totstandkoming van het Nederlandse implementatiewetsvoorstel was er in de lidstaten veel onduidelijkheid over de manier waarop aan de cookiebepaling kon worden voldaan op een gebruiksvriendelijke manier. Ook was er door de stemverklaring onduidelijkheid ontstaan over hoe strikt de bepaling moest worden geïmplementeerd. De Europese Commissie heeft geprobeerd om samen met het bedrijfsleven (W3C onder andere) een gebruiksvriendelijke oplossing te zoeken om aan de toestemmingsverplichting te kunnen voldoen. Die onderhandelingen hebben tot op heden geen resultaat opgeleverd. Ook de Artikel 29-werkgroep, het advies- en overlegorgaan waarin de nationale privacytoezichthouders van alle lidstaten zijn verenigd, was bij die onderhandelingen betrokken. Er zijn wel initiatieven tot stand gekomen zoals youronlinechoices.com, maar de daarbij gebruikte technieken voldoen niet aan de eisen van de richtlijn, omdat zij neerkomen op een opt-outsysteem in plaats van toestemming vooraf.

In de versie van het concept van het oorspronkelijke wetsvoorstel dat via internet werd geconsulteerd, sprak het wetsvoorstel nog van «ondubbelzinnige» toestemming. In de consultatie wezen meerdere partijen op het feit dat artikel 5, derde lid, van de Bijzondere privacyrichtlijn «toestemming» voorschrijft, niet «ondubbelzinnige» toestemming. De term «ondubbelzinnige» toestemming wordt alleen in richtlijn 96/46/EG (hierna: de Algemene privacyrichtlijn) gebruikt. Omdat de regering het met deze constatering eens was, en niet verder wilde gaan dan de Bijzondere privacyrichtlijn voorschrijft, werd in het voorstel dat in de Tweede Kamer werd ingediend het woord «ondubbelzinnig» geschrapt.

Tijdens de behandeling van het wetsvoorstel ter implementatie van onder andere de gewijzigde cookiebepaling in de richtlijn stuurde het College bescherming persoonsgegevens (CBP) een brief aan de Tweede Kamer, waarin het betoogde dat het wetsvoorstel toch zou moeten spreken van «ondubbelzinnige toestemming», in plaats van «toestemming». Er werd daarop een amendement (nr. 14) ingediend, waarin werd voorgesteld om «toestemming» alsnog te vervangen door «ondubbelzinnige toestemming».

Hier zijn de indieners van dit amendement vervolgens op teruggekomen. Amendement nr. 14 is gewijzigd bij amendement nr. 39², dat niet langer spreekt van «ondubbelzinnige» toestemming voor alle cookies. Amendement nr. 39 verduidelijkt ten eerste dat de cookiebepaling niet afdoet aan de Wet bescherming persoonsgegevens (Wbp). Daarnaast introduceert het amendement een rechtsvermoeden dat bij het gebruik van tracking cookies persoonsgegevens worden verwerkt. Het rechtsvermoeden heeft tot gevolg dat tenzij de plaatser van trackingcookies aannemelijk maakt dat hij géén persoonsgegevens verwerkt, hij aan de eisen van de Wbp moet voldoen. Artikel 8 van de Wbp bepaalt dat alleen persoonsgegevens mogen worden verwerkt indien sprake is van een van de in dat artikel genoemde rechtvaardigingsgronden, waaronder (maar niet uitsluitend) ondubbelzinnige toestemming van degene wiens persoonsgegevens het betreft. Dit amendement nr. 39 is vervolgens aangenomen, waardoor het rechtsvermoeden voor tracking cookies (in wezen een omkering van de bewijslast voor de vraag of er sprake is van verwerking van persoonsgegevens, en dus aan de Wbp moet worden voldaan) is opgenomen in artikel 11.7a, eerste lid, van de Tw. Tegen dit rechtsvermoeden staat tegenbewijs open.

De Eerste Kamer was kritisch ten aanzien van het door het amendement geïntroduceerde rechtsvermoeden. De vrees was dat Nederland met deze aanvulling op de cookiebepaling verder ging dan nodig zou zijn op grond van de Bijzondere privacyrichtlijn. Het rechtsvermoeden houdt echter slechts een omkering van de bewijslast in, en brengt geen materiële wijzigingen aan in de normen die worden voorgeschreven in de Algemene privacyrichtlijn en de Bijzondere privacyrichtlijn. Het rechtsvermoeden maakt de Nederlandse wet materieel dan ook niet strenger, het legt alleen de bewijslast bij degene die tracking cookies plaatst en leest.

De wet inclusief de cookiebepaling is in mei 2012 aangenomen. Omdat de vaste verandermomenten niet gelden bij implementatie, en Nederland de implementatiedeadline van 25 mei 2011 al ruim had overschreden, trad de wet direct na publicatie in werking, op 5 juni 2012. Het bij amendement geïntroduceerde onderdeel van de cookiebepaling, dat geen implementatie betrof, trad op het eerstvolgende vaste verandermoment, 1 januari 2013, in werking.

2. Ervaringen met de cookiebepaling

Nu in de praktijk enige tijd ervaring is opgedaan met artikel 11.7a, zijn internetgebruikers bewuster geworden van het feit dat veel websites cookies plaatsen op hun computers. In dat opzicht heeft artikel 11.7a een positief effect. Maar er is ook veel ergernis over de effecten van de bepaling.

Deze ergernis ziet enerzijds op het feit dat nu voor alle cookies, behalve technisch noodzakelijke³ cookies, toestemming wordt gevraagd. Hierbij kan op grond van de huidige wet geen onderscheid worden gemaakt tussen privacygevoelige cookies en cookies waarbij de privacygevolgen gering zijn, zoals sommige analytic cookies. Analytic cookies worden door veel websitehouders gebruikt om informatie te verkrijgen over de kwaliteit en effectiviteit van hun website (ook wel: «dienst van de informatiemaatschappij»). Met deze informatie⁴ kan de kwaliteit van de website waar nodig worden verbeterd. Analytic cookies zijn dan ook zeer nuttig, maar ze zijn niet technisch noodzakelijk: het niet kunnen gebruiken van analytic cookies zorgt niet voor technische problemen bij het leveren van de opgevraagde website. Daarom vallen deze cookies niet onder de uitzondering in het huidige derde lid. Voor het plaatsen en lezen van analytic cookies moet momenteel dan ook toestemming worden verkregen, terwijl het gebruik van cookies uitsluitend om de werking van de website in kaart te brengen, over het algemeen weinig impact op de privacy heeft. Zoals hierna wordt toegelicht brengt het wetsvoorstel hier verandering in.

Anderzijds hebben gebruikers vaak het gevoel dat zij niet echt een vrije keuze hebben als hen om toestemming wordt gevraagd, bijvoorbeeld bij het gebruik van zogenoemde cookiemuren, waarbij er zonder toestemming geen gebruik kan worden gemaakt van de website. Ook wordt bij het verzoek om toestemming meestal niet de mogelijkheid gegeven voor gedifferentieerde toestemming voor het geval de bezoeker bijvoorbeeld wel toestemming wil geven voor analytic cookies en cookies voor sociale media, maar geen toestemming wil geven voor tracking cookies voor gepersonaliseerde reclame. Omdat de huidige cookiebepaling al de nodige ruimte biedt om aan deze bezwaren tegemoet te komen, geeft dit mij geen aanleiding om de wet op dit punt aan te passen. Wel maak ik graag gebruik van de gelegenheid om in hoofdstuk 4 (in het bijzonder paragraaf 4.2.4) van de toelichting bij dit wetsvoorstel meer duidelijkheid te geven over de wijze waarop de cookiebepaling gebruiksvriendelijker kan worden toegepast.

2.1 Uitzondering voor analytic cookies

Door de verplichting om bezoekers te informeren over het gebruik van cookies realiseren wij ons eigenlijk nu pas hoe vaak er gebruik wordt gemaakt van cookies. Dat was deels ook het doel van deze verplichting. Maar door de huidige opzet van de cookiebepaling, waarbij toestemming vereist is voor alle soorten cookies behalve technisch noodzakelijke cookies, is het voor de bezoeker moeilijk om de privacygevoelige cookies te onderscheiden van de cookies die nauwelijks gevolgen hebben voor de persoonlijke levenssfeer van de bezoeker, zoals sommige analytic cookies. Dat voor deze cookies ook toestemming moet worden verkregen is eigenlijk niet in het belang van de privacybescherming van internetgebruikers. Integendeel, het kan juist verwarrend werken en er voor zorgen dat de internetgebruiker automatisch toestemming verleent voor alle typen cookies zonder erbij stil te staan of dit gevolgen heeft voor zijn privacy.

Dat het voor de privacy van de internetgebruiker overbodig is om toestemming te vragen voor het gebruik van analytic cookies, en dat hierdoor de cookiebepaling juist zijn doel voorbij schiet, werd ook opgemerkt tijdens het Algemeen Overleg met de Vaste commissie voor Economische Zaken van de Tweede Kamer van 21 november 2012. Tijdens dit overleg deed het lid Verhoeven (D66) het voorstel om «first party analytic cookies» niet langer onder het toestemmingsvereiste te laten vallen. Aangezien dit type cookies doorgaans inderdaad niet privacygevoelig is, kon ik mij in een dergelijke benadering vinden.

Naar aanleiding van dit voorstel heb ik dan ook in overleg met de voorganger van de Autoriteit Consument & Markt (ACM), de Onafhankelijke Post en Telecommunicatie Autoriteit (OPTA), de mogelijkheden onderzocht om dit te bewerkstelligen. Daarbij kwamen wij tot de conclusie dat de huidige tekst van het derde lid geen ruimte biedt om first party analytic cookies onder de uitzondering te brengen. De enige mogelijkheid binnen de huidige wet was dat OPTA het gebruik van dit type cookies zou gedogen. Websitehouders en internetgebruikers zijn echter beter geholpen met een meer structurele, rechtszekere en toekomstbestendige oplossing, en daarvoor is het dan ook nodig om de wet te wijzigen. Dit heeft geleid tot het voorstel om artikel 11.7a, derde lid, van de Tw te wijzigen. Dit wordt nader toegelicht in hoofdstuk 3.

3. Uitzondering voor cookies met geringe privacygevolgen

Onder de huidige cookiebepaling moet voor alle typen cookies toestemming worden verkregen, alleen voor cookies die technisch noodzakelijk zijn om de communicatie uit te voeren of de door de internetbezoeker gevraagde dienst van de informatiemaatschappij te leveren is een uitzondering gemaakt. De achtergrond van deze uitzondering is dat bij het gebruik van cookies voor deze doelen er weinig gevolgen zullen zijn voor de privacy van de gebruiker. Er zijn echter ook cookies die, alhoewel niet technisch noodzakelijk, wel heel nuttig zijn en die ook nauwelijks nadelige gevolgen hebben voor de privacy van de gebruiker. Het gaat hierbij om cookies die uitsluitend worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij. Zoals gezegd wordt met dit wetsvoorstel beoogd om ook dit type cookies onder de uitzondering in het derde lid te brengen, mits het gebruik van dit type cookies geen of slechts geringe gevolgen heeft voor de persoonlijke levenssfeer van de internetgebruiker.

Voorop staat dat ik het van belang vind dat met een aanpassing van de cookiebepaling geen afbreuk wordt gedaan aan het doel van de cookiebepaling, bescherming van de persoonlijke levenssfeer van de internetgebruiker, en dat de nieuwe cookiebepaling binnen de grenzen van de Bijzondere privacyrichtlijn blijft. De Bijzondere privacyrichtlijn voorziet volgens artikel 1 van deze richtlijn in de «... harmonisering van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen ...». De cookiebepaling (artikel 5, derde lid, van deze richtlijn) moet dan ook in dit licht worden gezien: de bepaling dient ter bescherming van de persoonlijke levenssfeer (de privacy) van de internetgebruiker bij de verwerking van diens persoonsgegevens. Ik ben er van overtuigd dat internetgebruikers beter in staat worden gesteld om hun privacy te beschermen als zij alleen in gevallen waarin dit hun persoonlijke levenssfeer raakt, om toestemming wordt verzocht. Als ook toestemming wordt verzocht voor cookies die de privacy niet schenden, zoals analytic cookies die niet voor andere doeleinden worden gebruikt, verliest het verzoek om toestemming aan betekenis. Dit sluit ook niet aan bij het uitgangspunt in overweging 66 van richtlijn 2009/136/EG dat op een zo gebruiksvriendelijk mogelijke manier toepassing moet worden gegeven aan de informatieplicht en het toestemmingsvereiste in artikel 5, derde lid, van de Bijzondere Privacyrichtlijn, en het kan zelfs een averechtse werking hebben op de bescherming van de privacy. In de bestrijding van dit averechtse effect en het daarmee beter verwezenlijken van de doelstelling van artikel 5, derde lid, ziet de regering een rechtvaardiging om een extra uitzondering op de informatieplicht en het toestemmingsvereiste in te voeren, naast de twee in de richtlijn genoemde situaties.

Voorop staat wel dat waar het plaatsen en lezen van cookies belangrijke gevolgen kan hebben op de persoonlijke levenssfeer, zoals bij het gebruik van tracking cookies, het evident is dat dit niet is toegestaan zonder toestemming van de bezoeker. Dit blijft in het gewijzigde artikel 11.7a gewaarborgd.

Ik heb gezocht naar een techniekneutrale formulering van de uitzondering voor cookies waarvoor gelet op het gerechtvaardigde doel en de geringe gevolgen voor de privacy geen toestemming nodig zou moeten zijn. Tijdens het VAO van 10 maart 2013 gaf het lid Verhoeven in overweging om bij de uitzondering op de cookiebepaling aan te sluiten bij artikel 8, onderdeel f, van de Wbp.⁵

In artikel 8 van de Wbp wordt bepaald onder welke omstandigheden persoonsgegevens mogen worden verwerkt. In onderdeel f staat dat persoonsgegevens mogen worden verwerkt als dat «noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert».

Artikel 8, onder f, van de Wbp kijkt ten eerste naar het belang van degene die persoonsgegevens verwerkt: de gegevensverwerking moet noodzakelijk zijn voor de behartiging van een gerechtvaardigd belang. Ten tweede vereist artikel 8, onder f, van de Wbp dat het belang bij de verwerking van persoonsgegevens opweegt tegen de belangen van de betrokkene bij de bescherming van diens persoonlijke levenssfeer. Deze twee in de Wbp genoemde belangen zijn open geformuleerd omdat de Wbp op alle vormen van verwerking van persoonsgegevens van toepassing is.

De Wbp is gebaseerd op de Algemene privacyrichtlijn, en is van toepassing op alle vormen van verwerking van persoonsgegevens. Artikel 11.7a van de Tw vloeit voort uit de Bijzondere privacyrichtlijn, en ziet specifiek op de privacyaspecten bij het plaatsen en lezen van informatie op het randapparaat van een gebruiker. Om recht te doen aan dit verschil tussen beide richtlijnen heb ik de algemene norm niet een-op-een overgenomen in de specifieke regeling van artikel 11.7a Tw. Wel heb ik bij het formuleren van de uitbreiding van het derde lid, onderdeel b, de twee belangen genoemd in artikel 8, onder f, van de Wbp als basis gebruikt en deze vertaald naar de specifieke situatie die in artikel 11.7a Tw geregeld wordt.

Dit heeft geresulteerd in de uitbreiding van de uitzondering genoemd in onderdeel b van het derde lid, waarin wordt gekeken naar zowel het gerechtvaardigde belang bij het gebruik van cookies om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij als het belang van de internetgebruiker bij bescherming van diens privacy. Als cookies worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij, vallen deze cookies onder de uitzondering op de cookiebepaling, mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker.

Ik heb daarmee een formulering gekozen die aansluit bij de doelstelling van de Bijzondere privacyrichtlijn, en die techniekneutraler (en daarmee toekomstbestendiger) is dan het uitzonderen van «first party analytic cookies».

Hierna worden enkele voorbeelden gegeven van cookies die worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij. Deze opsomming is echter niet limitatief. Om onder de uitzondering voor deze categorie cookies te vallen is het daarnaast altijd vereist dat er geen of slechts geringe gevolgen zijn voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Dit is bij het gebruik van tracking cookies, waarmee het surfgedrag wordt gevolgd zodat interesseprofielen van de gebruiker kunnen worden opgesteld, hoe dan ook niet het geval (nog los van de vraag of tracking cookies informatie verzamelen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij). Hiervoor zal de uitzondering dus niet gelden, wat betekent dat tracking cookies niet kunnen worden gebruikt zonder duidelijke en volledige informatie en voorafgaande toestemming van de gebruiker.

3.1 Analytic cookies

Analytic cookies worden gebruikt om het gebruik van een bepaalde website in kaart te brengen en te analyseren, zodat de kwaliteit van de website verbeterd kan worden. Dit is een duidelijk voorbeeld van cookies die worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij. Om onder de uitzondering te vallen, mag het gebruik van deze cookies geen of slechts geringe gevolgen hebben voor de persoonlijke levenssfeer van de internetgebruiker. Ook eventueel verder gebruik van de met deze cookies gegenereerde gegevens mag niet meer dan geringe gevolgen hebben voor de privacy. Als de privacygevolgen voor de internetgebruiker gering zijn, valt het gebruik van analytic cookies onder de uitzondering op de cookiebepaling. Dit geldt voor zowel first party analytic cookies, als third party analytic cookies: beiden kunnen onder de uitzondering vallen.

Om te voorkomen dat het gebruik van analytic cookies meer dan geringe gevolgen heeft voor de privacy van de internetgebruiker, is het vereist dat deze cookies of de daarmee gegeneerde gegevens niet worden gebruikt om bijvoorbeeld een profiel van de internetgebruiker op te stellen, ook niet door een eventuele derde waarmee de websitehouder de gebruiksgegevens van een door hemzelf geplaatste analytic cookie deelt. Daarvan is ook sprake als een door de websitehouder geplaatste (en dus «first party») analytic cookie kan worden uitgelezen door een derde partij.⁶ De websitehouder die zijn gebruiksgegevens uit analytic cookies deelt met een derde moet – om onder de uitzondering te vallen – waarborgen treffen om de privacy-impact zo veel mogelijk te beperken. Hij moet in een (bewerkers)overeenkomst duidelijk afspreken met de derde dat ook hij de informatie niet zal gebruiken op een manier die meer dan geringe gevolgen heeft voor de privacy van de internetgebruiker wiens gegevens het betreft. In deze (bewerkers)overeenkomst moet worden afgesproken dat de derde de gegevens niet voor eigen doeleinden gebruikt, of alleen voor afgebakende, in de overeenkomst opgenomen doeleinden die geen of slechts geringe gevolgen hebben voor de persoonlijke levenssfeer van de betrokken abonnees en gebruikers.

Indien een derde partij via de bezochte website analytic cookies plaatst, om de websitehouder van informatie over het gebruik van de site te kunnen voorzien, kan ook deze third party analytic cookie onder de uitzondering vallen, mits het gebruik van deze cookies en de daarmee gegenereerde gegevens geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de gebruiker. Gebruikt de derde partij de via deze cookies gegenereerde gegevens ook voor andere doeleinden die wel meer dan geringe gevolgen hebben voor de privacy, zoals bijvoorbeeld het opstellen van profielen van gebruikers, dan moet de derde hiervoor vooraf toestemming verkrijgen.

Deze verplichting rust op degene die de cookies daadwerkelijk plaatst en leest, in dit geval de derde partij die de analytic cookies plaatst. Indien deze zich niet aan deze verplichting houdt is hij in overtreding.

Voorbeeld: De houder van een website schakelt de diensten van een statistiekenleverancier in om het gebruik van zijn website in kaart te kunnen brengen. De statistiekenleverancier plaatst daartoe analytic cookies bij de bezoeker van deze website. Dit zijn zogeheten third party cookies als deze worden geplaatst vanuit een ander domein dan dat van de door de internetgebruiker bezochte website. Als de statistiekenleverancier de gegevens uit deze analytic cookies niet voor andere doeleinden gebruikt dan het in kaart brengen van het gebruik van deze website zijn er geen of geringe gevolgen voor de persoonlijke levenssfeer en geldt hiervoor geen informatieplicht of toestemmingsvereiste.

Als de statistiekenleverancier de gegevens uit deze analytic cookies echter ook voor andere, privacygevoelige doeleinden gebruikt (zoals het combineren met andere gebruiksgegevens en daarmee opstellen van profielen ten behoeve van gerichte reclame), dan zijn de gevolgen voor de privacy van de internetgebruiker meer dan gering en valt dit niet onder de uitzondering op de cookiebepaling. Dan moet de bezoeker hierover duidelijk en volledig worden geïnformeerd worden en is voor het plaatsen en lezen van deze cookies toestemming van de bezoeker vereist. De informatieplicht en het toestemmingsvereiste zijn gericht tot degene die de cookies daadwerkelijk plaatst en leest, in dit geval de statistiekenleverancier. Indien de statistiekenleverancier zich niet aan deze verplichtingen houdt is hij in overtreding.

Als de websitehouder of een derde die analytic cookies gebruikt deze cookies of de daarmee gegenereerde gegevens niet voor andere doelen gebruikt, zullen de gevolgen voor de persoonlijke levenssfeer van de internetgebruiker gering zijn. Hiermee valt dit onder de uitzondering. Er hoeft dan op grond van artikel 11.7a⁷ niet over het gebruik van deze analytic cookies te worden geïnformeerd en er is geen toestemming van de gebruiker voor nodig.

Een organisatie die meerdere websites beheert, zou voor het analyseren van het gebruik van verschillende websites eenmalig een analytic cookie kunnen plaatsen en die via de verschillende websites kunnen uitlezen. Met een dergelijke unieke identifier kan dan inzicht worden verkregen in het surfgedrag van een bezoeker over meerdere websites. Of het gebruik van een analytic cookie over meerdere websites onder de uitzondering op de informatieplicht en toestemmingsvereiste valt, hangt af van de manier waarop de daarmee vergaarde informatie wordt gebruikt. Alleen het gebruik van «zuivere» analytic cookies valt onder de uitzondering. Als een analytic cookie daarnaast ook wordt gebruikt om interesseprofielen van unieke gebruikers mee op te stellen zijn er wel degelijk meer dan geringe gevolgen voor de persoonlijke levenssfeer van deze gebruikers en valt dit niet onder de uitzondering. Om onder de uitzondering voor cookies die geen of geringe gevolgen voor de privacy hebben te kunnen vallen moet degene die een analytic cookie wil gebruiken om het gebruik van meerdere eigen websites te analyseren maatregelen nemen om te voorkomen dat de daarmee verkregen informatie wordt gebruikt om interesseprofielen mee op te stellen van unieke gebruikers. Hierover zullen binnen de organisatie afspraken moeten worden gemaakt. Als de gegevens worden gedeeld met een derde moet met deze derde worden afgesproken dat ook hij de gegevens niet voor dergelijke doeleinden gebruikt.

Als deze analytic cookies die het gebruik van meerdere websites in kaart brengen niet alleen worden gebruikt om de kwaliteit van de website te kunnen verbeteren, maar daarnaast ook worden gebruikt om interesseprofielen van unieke gebruikers op te kunnen stellen, zijn de gevolgen voor de privacy van de gebruikers meer dan gering. In dat geval zijn deze «analytic» cookies tevens tracking cookies. Deze cookies vallen niet onder de uitzondering. De uitzondering voor analytic cookies geldt alleen als de cookies en de gegevens die daarmee worden verzameld, uitsluitend worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van de betreffende website.

3.2 Affiliate cookies (of: performance cookies)

Affiliate cookies, ook wel performance cookies genoemd, worden gebruikt om bij te houden welke advertentie leidt tot een aankoop, zodat degene die deze advertentie heeft getoond (de affiliate), hiervoor een beloning kan ontvangen. Dit type cookies kan worden geplaatst bij vertoning van een advertentie voor een bepaald product. Op het moment dat een bezoeker via een webwinkel dit product heeft aangeschaft, worden één of meer cookies uitgelezen door de affiliatenetwerken waarvan de adverteerder gebruik maakt. Door middel van de cookies wordt nagegaan of de bezoeker tot deze aankoop is overgegaan na het zien van de advertentie waarbij de affiliate cookie is geplaatst, en zo ja, door welke affiliate. Indien dit het geval is, ontvangt de affiliate die de advertentie heeft vertoond een commissie van de verkoper van het product.

Affiliate cookies verschaffen informatie over de effectiviteit van een getoonde advertentie (een geleverde dienst van de informatiemaatschappij) in die zin dat de cookie bijhoudt of de advertentie geleid heeft tot een aankoop. Met deze informatie wordt bepaald welke affiliate recht heeft op de beloning omdat zijn advertentie heeft geleid tot een verkoop. Indien de cookies en de daarmee verkregen gegevens uitsluitend met dit doel worden gebruikt, zal dit geen of nauwelijks gevolgen hebben voor de privacy van de internetgebruiker. De cookie is ook niet bedoeld om informatie te verzamelen over de gebruiker.

Hiermee valt het gebruik van dit type cookies – mits uitsluitend met dit doel – onder de uitzondering op de cookiebepaling. Of de cookies alleen voor dit doel worden gebruikt kan onder meer blijken uit de omstandigheid dat de levensduur van de cookies niet langer is dan nodig voor dit doel.

3.3 A/b-testing

Bij a/b-testing worden twee verschillende versies (versie a en versie b) van bijvoorbeeld een reclamebanner of een website getoond, en wordt met behulp van een cookie bijgehouden welke van de twee varianten het meest effectief is. Voor reclamebanners kan die effectiviteit bijvoorbeeld worden gemeten in de hoeveelheid bezoekers die op de reclamebanner klikt. Om te meten op welke van de twee versies relatief het vaakst wordt geklikt, kan gebruik worden gemaakt van cookies.

Ook deze cookies worden met andere woorden gebruikt om informatie te verkrijgen over de effectiviteit van een dienst van de informatiemaatschappij. De gevolgen voor de persoonlijke levenssfeer zullen daarbij gering zijn, mits de cookies uitsluitend voor dit doel worden gebruikt (hetgeen kan blijken uit een levensduur die niet langer is dan noodzakelijk voor dit doel). Het is degene die gebruik maakt van dit type cookie ook hier niet te doen om informatie over de bezoeker, maar om informatie over de getoonde versies. Om die reden valt het gebruik van cookies met uitsluitend het doel het verschil in effectiviteit van twee verschillende versies van een website of reclame te testen, onder de uitzondering en hoeft er bij dit type cookies op grond van artikel 11.7a niet te worden geïnformeerd of toestemming te worden verkregen.

3.4 Overige situaties

In dit hoofdstuk zijn enkele voorbeelden besproken van cookies die onder de ruimere uitzondering op de cookiebepaling kunnen vallen. Het is verder aan de toezichthouder om per geval de ernst en omvang van de gevolgen voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker te beoordelen. Daarnaast zijn de in dit hoofdstuk besproken voorbeelden niet uitputtend. Indien toekomstige ontwikkelingen daar aanleiding toe geven kan de ACM in overleg met het CBP⁸ in een beleidsregel duidelijk maken of andere dan de in dit hoofdstuk besproken categorieën cookies beschouwd worden als cookies die noodzakelijk zijn om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij, en welke omstandigheden relevant zijn bij de beoordeling of voldaan wordt aan de voorwaarde dat er geen of slechts geringe gevolgen zijn voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Indien nodig kunnen hierover nadere regels worden gesteld bij of krachtens algemene maatregel van bestuur.

4. Op informatie berustende toestemming

Het plaatsen of lezen van informatie (zoals cookies) op een randapparaat is op grond van artikel 11.7a, eerste lid, uitsluitend toegestaan op voorwaarde dat de internetgebruiker is voorzien van duidelijke en volledige informatie, en daarvoor toestemming heeft verleend. De cookiebepaling bevat met andere woorden een informatieplicht en een toestemmingsvereiste. Deze voorschriften worden hier nader besproken.

4.1 Informatieplicht

De cookiebepaling schrijft voor dat voorafgaand aan het verkrijgen van toestemming voor het plaatsen of lezen van cookies, de gebruiker duidelijk en volledig wordt geïnformeerd overeenkomstig de Wbp, in ieder geval over de doeleinden waarvoor deze informatie wordt gebruikt.

De Artikel 29-werkgroep heeft in een Opinie⁹ van 22 juni 2010 enkele voorbeelden genoemd van informatie die in het geval van het gebruik van cookies voor gepersonaliseerde reclame ten minste moet worden verstrekt. De internetgebruiker moet duidelijk worden gemeld wie cookies plaatst en leest en wie de beschikking krijgt over en verantwoordelijk is voor de daarmee verkregen gegevens. Ook moet duidelijk worden gemaakt of cookies gebruikt worden om profielen op te stellen, welk type informatie wordt verzameld om dergelijke profielen mee op te stellen, of deze profielen worden gebruikt om gerichte reclame aan te bieden en of het surfgedrag van de gebruiker wordt gevolgd doordat de gebruiker aan de cookie op zijn computer kan worden herkend op meerdere websites¹⁰.

Naast de zelfstandige informatieplicht, is voorafgaande informatie ook een vereiste voor geldige toestemming (zie de definitie van toestemming in de volgende paragraaf). De Artikel 29-werkgroep heeft op 13 juli 2011 een Opinie uitgebracht over de definitie van toestemming (Opinion 15/2011 on the definition of consent). Over het vereiste dat de toestemming «op informatie berust» moet zijn, zegt de Artikel 29-werkgroep dat de gebruiker wiens toestemming wordt verkregen, moet begrijpen waar hij al dan niet mee instemt. De informatie moet duidelijk zichtbaar en inhoudelijk begrijpelijk zijn voor de gemiddelde gebruiker. De uitleg over de cookies waarvoor toestemming wordt verkregen mag niet misleidend zijn (bijvoorbeeld «voor het goed functioneren zijn cookies vereist» kan misleidende informatie zijn als het gaat om het gebruik van tracking cookies). Een misleidende tekst kan ertoe leiden dat de verkregen toestemming niet voldoet aan de hieronder nader besproken eis dat deze «op informatie berust» en voldoende «specifiek» is.

4.2 Toestemmingsvereiste

Voor de definitie van «toestemming» in de zin van artikel 11.7a Tw wordt verwezen naar de definitie in artikel 1, onderdeel i, van de Wbp. Dit is ook het geval op richtlijnniveau: voor de definitie van «toestemming» in de zin van artikel 5, derde lid, van de Bijzondere privacyrichtlijn wordt ook verwezen naar de definitie in artikel 2 van de Algemene privacyrichtlijn.

Definitie van toestemming: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt.

4.2.1 Voorafgaand aan de handeling

De Artikel 29-werkgroep heeft zoals gezegd op 13 juli 2011 een Opinie uitgebracht over de definitie van toestemming (Opinion 15/2011 on the definition of consent). Hierin bevestigt de Artikel 29-werkgroep dat toestemming niet hetzelfde is als het recht om te weigeren, zoals dat in de vorige versie van de Bijzondere privacyrichtlijn stond. Het verschil bestaat er met name in dat toestemming moet worden verkregen voordat de handeling (in casu het plaatsen en lezen van cookies) plaats mag vinden, terwijl het recht om te weigeren ook achteraf kon worden ingeroepen¹¹. Ook onder het nieuwe artikel 11.7a van de Tw blijft het noodzakelijk om voorafgaand aan het plaatsen en lezen van cookies, toestemming te hebben verkregen van de internetgebruiker.

4.2.2 Wilsuiting

Onder toestemming wordt «elke ... wilsuiting» verstaan waarmee de internetgebruiker aanvaardt dat bepaalde cookies worden geplaatst en gelezen. Volgens de Artikel 29-werkgroep moet uit het woord «uiting waarmee de betrokkene aanvaardt» (in het Engels: indication by which the data subject signifies his agreement) worden afgeleid dat het moet gaan om een handeling, en kan toestemming niet worden afgeleid uit het uitblijven van een handeling. Binnen de definitie van «toestemming» (zonder de toevoeging ondubbelzinnig of uitdrukkelijk, die in de Wbp worden gebruikt) is het niet noodzakelijk dat deze handeling expliciet uiting geeft aan de wens om het gebruik van cookies te aanvaarden. Dit kan ook blijken uit minder expliciete handelingen dan het klikken op een button «ik geef toestemming» in een pop-up. De Artikel 29-werkgroep noemt in haar Opinie¹² het voorbeeld van een weersinformatiedienst die gebruik maakt van locatiegegevens van de beller. Indien de beller vooraf volledige informatie heeft verkregen over de verwerking van locatiegegevens door de weersinformatiedienst, kan de handeling bestaand uit het bellen van het nummer van die dienst worden opgevat als toestemming voor het verwerken van de betreffende locatiegegevens. Naar analogie van dit voorbeeld van de Artikel 29-werkgroep, zou het volgens de regering dan ook mogelijk zijn om toestemming voor het plaatsen en lezen van cookies af te leiden uit het aanklikken van overige onderdelen van de website¹³, als bij aanvang van het bezoek aan de website duidelijk is aangegeven dat bijvoorbeeld het aanklikken van een link om gebruik te maken van overige delen van de website, wordt beschouwd als toestemming voor het gebruik van cookies. Om uit een dergelijke handeling toestemming te kunnen afleiden is wel van belang dat de bezoeker op het moment dat hij doorsurft duidelijk en volledig moet zijn geïnformeerd. Daarnaast is het van belang dat pas na een dergelijke actieve handeling sprake kan zijn van toestemming. Bij het eerste bezoek, voordat de bezoeker door middel van het doorsurfen uiting kan hebben gegeven van zijn aanvaarding van het gebruik van cookies, is er nog geen sprake van toestemming en mogen dus nog geen cookies die onder de toestemmingsplicht vallen worden geplaatst.

Toestemming moet dus altijd gebaseerd zijn op een geïnformeerde, en dus bewuste keuze van de bezoeker en blijken uit een actieve handeling. Het niet hebben aangepast van standaardinstellingen van de browser dat cookies worden geaccepteerd, kan over het algemeen niet worden gezien als een uiting van een geïnformeerde, bewuste keuze van de internetgebruiker en zal dus niet snel kunnen worden gezien als toestemming in de zin van de cookiebepaling.

4.2.3 Geen «ondubbelzinnige» toestemming vereist op grond van de Tw

Zoals toegelicht in paragraaf 2 over de ontstaansgeschiedenis van de cookiebepaling, hoeft de toestemming, bedoeld in artikel 11.7a van de Tw, niet «ondubbelzinnig» te zijn.

Alleen op grond van de Wbp kan «ondubbelzinnige» toestemming een vereiste zijn. De Wbp is van toepassing op de verwerking van persoonsgegevens. Volgens het vierde lid, waarin het amendement van de Tweede Kamer is opgenomen, wordt er bij het gebruik van tracking cookies vermoed sprake te zijn van de verwerking van persoonsgegevens. Dit rechtsvermoeden zorgt ervoor dat de gebruiker van tracking cookies naast de regels in artikel 11.7a, ook de regels van de Wbp moet naleven, tenzij hij kan bewijzen dat hij bij het gebruik van tracking cookies geen persoonsgegevens verwerkt¹⁴. De Wbp bepaalt dat persoonsgegevens alleen mogen worden verwerkt als aan een van de in artikel 8 opgenomen gronden voor verwerking is voldaan. Een¹⁵ van deze gronden voor verwerking van persoonsgegevens is de «ondubbelzinnige toestemming» van de betrokkene.

De Opinie over de definitie van toestemming van de Artikel 29-werkgroep gaat ook in op de eis van «ondubbelzinnige» toestemming in de zin van de Wbp. In de paragraaf hierover geeft de Artikel 29-werkgroep een voorbeeld waaruit blijkt dat ook ondubbelzinnige toestemming kan blijken uit handelingen. Het voorbeeld dat de Artikel 29-werkgroep op pagina 23 van de Opinie schetst gaat over de vereiste ondubbelzinnige toestemming voor de verwerking van persoonsgegevens in de vorm van het nemen van foto’s van hotelgasten voor een reclamebrochure voor het hotel. In het voorbeeld worden hotelgasten bij het inchecken door de receptionist er op gewezen dat er die middag foto’s worden gemaakt in een van de restaurants van het hotel. Een deel van de foto’s zal worden gebruikt voor marketingdoeleinden, in het bijzonder voor een brochure van het hotel. De hotelgasten die gefotografeerd willen worden zijn gedurende de periode waarin de foto’s worden gemaakt van harte welkom in het restaurant. Voor hotelgasten die niet gefotografeerd willen worden is een ander restaurant beschikbaar.

Met betrekking tot de hotelgasten die -na te zijn geïnformeerd- besluiten naar het restaurant te gaan waar de foto’s genomen worden mag, aldus de Artikel 29-werkgroep, worden aangenomen dat zij ondubbelzinnig hebben ingestemd met het maken van de foto’s. Naar de opvatting van regering kan naar analogie van het voorbeeld van de Artikel 29-werkgroep worden aangenomen dat een internetgebruiker ondubbelzinnige toestemming voor de plaatsing van cookies waarbij persoonsgegevens worden verwerkt heeft gegeven indien hij verder surft nadat hij op de juiste wijze is geïnformeerd over het feit dat bij verder surfen cookies zullen worden geplaatst op zijn computer en dat daarmee persoonsgegevens worden verwerkt. Wil er sprake zijn van ondubbelzinnige toestemming, dan is van belang dat er geen twijfel bestaat over de vraag of de internetter toestemming heeft gegeven. Dat betekent dat het duidelijk moet zijn dat de internetter een keuze heeft gehad om in te stemmen of te weigeren. Die keuze kan bijvoorbeeld duidelijk worden geboden door naast de mogelijkheid om in te stemmen met het gebruik van cookies (zoals verder surfen op de website of het aanklikken van een «ja-knop») ook de mogelijkheid te bieden om duidelijk te maken dat geen toestemming wordt gegeven met een «nee-knop». Benadrukt wordt nogmaals dat in het geval dat er een nee-knop wordt aangeboden, het niet aanklikken van deze knop nooit genoeg is om aan te nemen dat de bezoeker toestemming geeft. Daarvoor is altijd een instemmende handeling vereist (zoals het aanklikken van een ja-knop of een andere link binnen de website).

4.2.4 Vrij

De definitie van toestemming schrijft voor dat sprake moet zijn van een «vrije» wilsuiting. De internetgebruiker moet met andere woorden keuzevrijheid hebben. De gevolgen van geen toestemming geven mogen niet zo zwaar zijn dat deze de keuzevrijheid ondermijnen. Terecht merkt de Artikel 29-werkgroep op dat het moeilijk kan zijn om vooraf duidelijk aan te geven onder welke omstandigheden een bepaalde beïnvloeding van de keuzevrijheid zo zwaar is dat niet langer in vrijheid een keuze kan worden gemaakt.

Het niet, of alleen tegen betaling, kunnen gebruiken van de website die de bezoeker opvraagt is op zichzelf nog niet voldoende om aan te nemen dat de bezoeker geen vrije keuze kan maken om al dan niet met het gebruik van cookies in te stemmen. Zo zijn er aanbieders die, om te voldoen aan de cookiebepaling, gebruik maken van wat ook wel een cookiemuur is gaan heten: in een pop-up wordt om toestemming gevraagd voor het plaatsen en lezen van cookies, maar als er geen toestemming wordt gegeven kan de bezoeker de site niet bezoeken. Zoals in hoofdstuk 2 al werd opgemerkt is er veel onvrede over het gebruik van cookiemuren. Sites die voor hun inkomsten afhankelijk zijn van het gebruik van tracking cookies om gerichte reclame te kunnen tonen, kiezen er soms voor om bezoekers die geen toestemming geven voor het gebruik van cookies de toegang tot de site te weigeren. De cookiebepaling dwingt geenszins tot een dergelijke keuze. Sowieso zijn alle cookies die technisch nodig zijn om de bezochte website te laten werken uitgezonderd van de toestemmingseis. Het is dus nooit zo dat toestemming nodig is om de site technisch te laten werken, zoals wel eens wordt gesuggereerd.

Wel kan het zo zijn dat het verdienmodel van een gratis website is gebaseerd op de inkomsten die de websitehouder genereert met reclame op zijn site. Zonder tracking cookies ontvangt de websitehouder lagere reclame-inkomsten, omdat hij dan geen (op de uit het surfgedrag gebleken interesses van de bezoeker) gerichte reclames kan aanbieden, maar moet volstaan met minder gerichte advertenties. Dit kan voor hem aanleiding geven om bezoekers die geen toestemming geven voor het gebruik van tracking cookies geen gebruik te laten maken van zijn site. De cookiebepaling schrijft alleen voor dat hij zonder toestemming geen cookies mag plaatsen. Een cookiemuur is over het algemeen dan ook een rechtmatige manier om aan het toestemmingsvereiste in de cookiebepaling te voldoen. Ook al is dit niet de meest gebruiksvriendelijke manier en is het technisch ook nooit noodzakelijk, het staat de websitehouder in beginsel wel vrij om te bepalen of hij een bezoeker die geen toestemming geeft voor het gebruik van cookies, al dan niet toegang geeft tot zijn website¹⁶. Dit kan anders zijn als de bezoeker zo afhankelijk is van de via een bepaalde website aangeboden diensten en informatie, dat er door het gebruik van de cookiemuur geen sprake meer kan zijn van een «vrije» wilsuiting wanneer de bezoeker vervolgens het vakje «ik geef toestemming» aanklikt.

Zoals gezegd is het niet mogelijk om vooraf een limitatieve opsomming te geven van omstandigheden waarin de consequentie die aan het niet-geven van toestemming wordt verbonden zo zwaar is dat dit de keuzevrijheid ondermijnt. Daar is in ieder geval sprake van als aan het niet-toestemming geven voor het gebruik van cookies, de consequentie wordt verbonden dat de internetgebruiker een wettelijk recht (bijvoorbeeld nummerbehoud bij het overstappen naar een andere telefonie-aanbieder of het inzagerecht als bedoeld in artikel 35 van de Wbp) niet kan uitoefenen, een wettelijke plicht (bijvoorbeeld belastingaangifte) niet kan naleven, of minder goede medische zorg krijgt. Dat de via de bezochte website aangeboden informatie en diensten onderdeel uitmaken van een publieke taak zal er over het algemeen ook toe leiden dat deze ook moet worden aangeboden als de bezoeker geen toestemming geeft voor privacygevoelige cookies.

4.2.5 Toestemming via browserinstellingen

Anders dan wel eens wordt gesuggereerd, hebben ook andere landen het vereiste van voorafgaande toestemming (opt-in) in hun wet opgenomen. Wel is er een aantal landen dat in de wetgeving heeft opgenomen dat de toestemming voor het plaatsen van cookies – onder bepaalde omstandigheden – kan worden afgeleid uit de browserinstellingen. Deze verwijzing naar de instellingen van de browser is afgeleid van overweging 66 bij richtlijn 2009/136/EG (de richtlijn Burgerrechten, die de oorspronkelijke Bijzondere privacyrichtlijn wijzigt). Letterlijk stelt overweging 66: «Wanneer dit technisch mogelijk of doeltreffend is, kan, overeenkomstig richtlijn 95/46/EG, de toestemming van de gebruiker met verwerking worden uitgedrukt door gebruik te maken van de desbetreffende instellingen van een browser of een andere toepassing».

Ondanks dat er in de Nederlandse wettekst zelf niets wordt gezegd over de mogelijkheid om de toestemming uit de browserinstellingen af te leiden, staat die mogelijkheid in Nederland net zo goed open als in de overige landen, mits (net als in de overige landen) aan de voorwaarden voor «toestemming» is voldaan¹⁷. Dat staat ook in overweging 66 van de richtlijn: wanneer dit technisch mogelijk of doeltreffend is, kan, overeenkomstig richtlijn 95/46/EG, toestemming worden uitgedrukt in de browserinstellingen. Het is aan de ACM als toezichthouder om te beoordelen of een bepaald type browser geschikt is om uit de instellingen toestemming af te leiden die aan de definitie voldoet.

Bij toestemming gaat het, zoals gezegd, om een vrij gegeven toestemming, die voldoende specifiek moet zijn en gebaseerd moet zijn op informatie. De gebruiker moet de toestemming bewust hebben gegeven door middel van een actieve handeling. In een omgeving waarin de beschikbare browsers standaard zijn ingesteld op het accepteren van cookies, kan uit niet-aangepaste standaardinstellingen geen toestemming worden afgeleid die aan deze eisen voldoet. Het merendeel van de gebruikers zou dan immers zonder het zich te realiseren akkoord gaan met de plaatsing van cookies. Daarmee is er dus geen sprake van een handeling, een «wilsuiting» waarmee de betrokkene het gebruik van cookies aanvaardt. Het zou ook niet wenselijk zijn om de standaardinstellingen van een browser als toestemming te beschouwen. Van bescherming van de persoonlijke levenssfeer van de gebruiker zou dan in de praktijk niets terecht komen.

Als een browser internetgebruikers in staat stelt via een actieve aanpassing van de instellingen van de browser aan te geven dat hij toestemming geeft voor bepaalde typen cookies van bepaalde partijen, dan staat de Nederlandse wet toestemming in de vorm van deze aanpassing van de browserinstellingen even goed toe als de wetgeving in andere lidstaten.

4.2.6 Specifiek versus gebundelde toestemming

Volgens de definitie van toestemming moet deze voldoende «specifiek» zijn. Dit voorschrift houdt verband met de eis dat de toestemming moet zijn gebaseerd op duidelijke en volledige informatie over het doel waarmee de cookies worden gebruikt. Het moet voor de internetgebruiker duidelijk zijn welk soort cookies wordt gebruikt, voor welke doeleinden deze cookies en de daarmee gegenereerde gegevens worden gebruikt en door wie, zodat de gebruiker begrijpt waar hij mee instemt (zie hierover ook de paragraaf over de informatieplicht).

Dit voorschrift staat er niet aan in de weg dat de aanbieder van een website toestemming verkrijgt voor meerdere cookiehandelingen tegelijk, als het voor de internetgebruiker maar duidelijk is waar de toestemming op ziet. Zo kan de toestemming gelden voor het binnen een langere periode meerdere malen lezen van een cookie, en zien op het opslaan en lezen van meerdere cookies. Ook kan het zien op het plaatsen van een cookie en het lezen daarvan bij bezoeken aan verschillende sites, zoals dat gebeurt bij tracking cookies. Als dit maar duidelijk is voor de internetgebruiker op het moment dat hij toestemming verleent.

Zoals in hoofdstuk 2 werd opgemerkt hebben gebruikers vaak het gevoel dat zij niet echt een keuze hebben als hen om toestemming wordt gevraagd. Er wordt vaak in één keer gevraagd om toestemming voor alle typen cookies die via de website worden geplaatst: zowel privacyneutrale cookies als tracking cookies. De bezoeker heeft daarbij alleen de keuze om toestemming voor al deze cookies te weigeren dan wel te verlenen, zonder de mogelijkheid hierin te differentiëren. Dit is niet de meest gebruiksvriendelijke manier om aan de cookiebepaling te voldoen. Er zijn gebruiksvriendelijkere manieren, waarmee de bezoeker wel gedifferentieerd toestemming kan verlenen. Zo zijn er al websites die hierin het goede voorbeeld geven, en de bezoeker onder de «cookie-instellingen» de mogelijkheid bieden om voor verschillende typen cookies (analytic cookies, cookies voor sociale media, cookies voor gerichte reclame) de toestemming afzonderlijk in en uit te schakelen. Deze oplossing geeft de bezoeker meer controle over het gebruik van cookies, en draagt daarom beter bij aan het doel van de cookiebepaling.

Ik pleit er dan ook voor om de bezoeker de keuze te bieden om voor verschillende typen cookies apart aan te kunnen geven of deze al dan niet door de bezoeker worden geaccepteerd. De technische mogelijkheden om bezoekers deze gebruiksvriendelijkheid te bieden zijn er. Voorliggend wetsvoorstel zorgt er wel al voor dat geen toestemming meer hoeft te worden verkregen voor cookies die worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij, en waarbij de privacygevolgen gering zijn. De verzochte toestemming voor het plaatsen van cookies ziet dus niet meer op dergelijke cookies, die mogen in ieder geval worden geplaatst.

5. Normadressaat

De bepaling in het eerste lid richt zich tot degene die de informatie op het randapparaat opslaat dan wel tot degene die zich toegang verschaft tot informatie op het randapparaat. De plaatser van de cookie is degene tot wie het eerste lid zich richt. Deze plaatser kan de aanbieder van de betreffende website zijn, maar dat hoeft niet. Het kan ook een derde zijn die met de aanbieder van de website (of een tussenpersoon) is overeengekomen dat hij via de website cookies mag plaatsen/lezen. Dit neemt niet weg dat de aanbieder van de website een zekere verantwoordelijk heeft. Op de eerste plaats is hij voor de toezichthouder het eerste aanspreekpunt. In die hoedanigheid zal hij de toezichthouder informatie moeten geven over de partijen die via zijn website cookies plaatsen. In de tweede plaats zijn er omstandigheden denkbaar waarin de websitehouder die toestaat/faciliteert dat een derde via zijn website de cookiebepaling overtreedt, deze overtreding «medepleegt». In dit verband wordt verwezen naar artikel 5:1, tweede lid, van de Algemene wet bestuursrecht. Van medeplegen is sprake als er een min of meer gelijkwaardige samenwerking is tussen de partijen die in strijd met de wettelijke verplichtingen handelen. De medepleger en de derde (de normadressaat) moeten daarbij bewust samenwerken en de normschending gezamenlijk uitvoeren.

Indien een statistiekenleverancier in opdracht van de aanbieder van een website analytic cookies plaatst of leest bij de bezoekers van die website, rusten de verplichtingen in het eerste lid van artikel 11.7a op de statistiekenleverancier.¹⁸ Indien de statistiekenleverancier de met de cookies gegenereerde gegevens ook gebruikt voor andere, privacygevoeligere doeleinden dan het geven van informatie over de kwaliteit en effectiviteit van de betreffende website, valt het gebruik van deze cookies niet onder de uitzondering. De statistiekenleverancier is dan verplicht te informeren en de cookies uitsluitend te plaatsen en lezen als de bezoeker daar toestemming voor heeft verleend. Hetzelfde geldt voor aanbieders van sociale media als zij tracking cookies plaatsen via «buttons» op websites waarmee (informatie op) de website via het sociale netwerk wordt gedeeld: het verbod om deze cookies te plaatsen en lezen zonder toestemming van de internetgebruiker richt zich tot degene die de cookies plaatsen en/of lezen, in dit voorbeeld de aanbieders van sociale media.

De websitehouder die de gelegenheid geeft om deze cookies te plaatsen en lezen heeft zoals gezegd ook een eigen verantwoordelijkheid. Als de partijen die via diens website de cookies plaatsen zich niet aan de wet zouden houden, kan de websitehouder er met het oog op de privacybelangen van zijn bezoekers ook voor kiezen deze partijen niet langer in staat te stellen via zijn website cookies te plaatsen en lezen zonder toestemming van de bezoeker. De websitehouder kan bijvoorbeeld gebruik maken van mogelijkheden voor het delen van informatie op sociale netwerken zoals de zogenoemde «grijze button». Hierbij worden geen cookies gebruikt zolang de button voor het delen of aanbevelen van de informatie op de website op het sociale netwerk niet door de bezoeker is aangeklikt.

6. «...onverminderd de Wet bescherming persoonsgegevens...»

De Wbp is van toepassing op de verwerking van persoonsgegevens. In de Wbp wordt bepaald wanneer er sprake is van verwerking van persoonsgegevens. Volgens de definitie in artikel 1, onder a, van de Wbp, is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon een persoonsgegeven. Alle handelingen ten aanzien van persoonsgegevens zijn volgens de definitie in artikel 1, onder b, van de Wbp een verwerking: «waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens».

Als bij het plaatsen en lezen van informatie op het randapparaat van een gebruiker sprake is van verwerking van persoonsgegevens moet daarom in ieder geval aan de regels in de Wbp worden voldaan. Zoals met de zinsnede «onverminderd de Wet bescherming persoonsgegevens» wordt benadrukt, doet de cookiebepaling niets af aan de verplichtingen die gelden op grond van de Wbp.

Volgens het vierde lid, waarin het amendement van de Tweede Kamer is opgenomen, wordt er bij het gebruik van tracking cookies vermoed sprake te zijn van de verwerking van persoonsgegevens. Dit rechtsvermoeden zorgt ervoor dat de gebruiker van tracking cookies naast de regels in artikel 11.7a, ook de regels van de Wbp moet naleven, tenzij hij kan bewijzen dat hij bij het gebruik van tracking cookies geen persoonsgegevens verwerkt. De Wbp bepaalt dat persoonsgegevens alleen mogen worden verwerkt als aan een van de in artikel 8 opgenomen gronden voor verwerking is voldaan. Een van deze gronden voor verwerking van persoonsgegevens is de «ondubbelzinnige toestemming» van de betrokkene.

Anders dan lijkt te worden geïmpliceerd in de toelichting op het amendement waarmee dit rechtsvermoeden werd geïntroduceerd, zijn er naast ondubbelzinnige toestemming van de betrokkene nog andere rechtvaardigingsgronden voor de verwerking van persoonsgegevens. Verwerking van persoonsgegevens is op grond van artikel 8 van de Wbp ook toegestaan als de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst, voor de nakoming van een wettelijke verplichting, ter vrijwaring van een vitaal belang van de betrokkene, of voor de goede vervulling van een publiekrechtelijke taak door een bestuursorgaan. Ook kan de behartiging van het gerechtvaardigde belang van degene die de gegevens verwerkt een rechtvaardiging vormen voor verwerking van persoonsgegevens, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene (in het bijzonder het recht op bescherming van de persoonlijke levenssfeer) prevaleert. Het is echter niet aannemelijk dat hier snel sprake van zal zijn bij het gebruik van tracking cookies. Om die reden zal op grond van de Wbp over het algemeen «ondubbelzinnige toestemming» van de betrokkene nodig zijn.

7. Redactionele wijzigingen

Naast de inhoudelijke wijziging van het derde lid van artikel 11.7a zijn enkele redactionele wijzigingen opgenomen. Ten eerste is de aanhef van het eerste lid meer in lijn gebracht met de tekst van de richtlijn. Daarnaast is het rechtsvermoeden dat bij tracking cookies sprake is van verwerking van persoonsgegevens ondergebracht in een apart vierde lid. Daarbij is de formulering van de categorie handelingen die onder dit rechtsvermoeden vallen aangescherpt. Het huidige rechtsvermoeden is zo ruim geformuleerd dat het ook van toepassing zou kunnen zijn op onder meer de affilate cookies die in dit wetsvoorstel wegens de beperkte gevolgen voor de privacy worden uitgezonderd. Hierdoor zou voor deze cookies, behoudens bewijs dat met deze cookies geen persoonsgegevens worden verwerkt, alsnog de verplichtingen uit de Wbp gelden. De privacygevolgen bij het gebruik van tracking cookies zijn de voornaamste reden geweest om het rechtsvermoeden te introduceren. Het is daarmee ook de bedoeling geweest alleen cookies die dergelijke privacygevolgen met zich meebrengen, onder het rechtsvermoeden te laten vallen. De regering heeft in het voorgestelde vierde lid tot uitdrukking willen brengen dat tracking cookies zich op het punt van privacygevolgen onderscheiden van bijvoorbeeld zuivere analytic cookies en affiliate cookies, omdat met tracking cookies het gedrag van een internetgebruiker door de tijd heen kan worden gevolgd, op meerdere websites, en daarmee een profiel kan worden opgesteld van zijn of haar interesses. Dergelijke profielen worden opgesteld om gebruikers anders te behandelen in het maatschappelijke verkeer, zoals het aanbieden of juist onthouden van bepaalde informatie of aanbiedingen. Het is daarbij niet van belang of degene die de tracking cookies plaatst en leest zelf met de daarmee verkregen informatie gebruikers anders behandelt, of dat dit door een derde gebeurt aan wie hij deze gegevens aanlevert.

Tot slot is de bevoegdheid (in het voorgestelde vijfde lid) om nadere regels te stellen met betrekking tot de in het eerste lid, onder a en b, genoemde vereisten uitgebreid. De nadere regels kunnen ook betrekking hebben op de uitzondering in het derde lid, waaronder de opslag of toegang die geen of geringe gevolgen voor de persoonlijke levenssfeer heeft. Dit geeft de mogelijkheid om, indien de technologische ontwikkelingen daar aanleiding toe geven, meer duidelijkheid te geven over de reikwijdte van de open norm in de nieuwe uitzondering. Omdat deze nadere regels veelal technisch en gedetailleerd zullen zijn, dan wel op korte termijn zouden moeten worden vastgesteld, is ervoor gekozen ook subdelegatie toe te staan.

8. Uitvoeringslasten en regeldrukeffecten

Het wetsvoorstel leidt tot een vermindering van de administratieve lasten en de uitvoeringslasten. Immers in de huidige situatie valt alleen het plaatsen en lezen van technisch noodzakelijke cookies niet onder de informatieplicht en het toestemmingsvereiste van artikel 11.7a. Voor alle andere typen cookies geldt de informatieplicht en het toestemmingsvereiste onverkort. Op dit moment vallen bijna alle typen cookies onder de cookiebepaling: artikel 11.7a van de Telecommunicatiewet. Cookies mogen pas op de computer of smartphone van de gebruiker worden geplaatst als de gebruiker daarover is geinformeerd en toestemming heeft gegeven. Door de wijziging van de bepaling zullen cookies met geen of slechts geringe gevolgen voor de privacy, niet langer onder de nu geldende informatieplicht en toestemmingseis vallen. Dit betekent een vermindering van de inhoudelijke nalevingskosten voor betrokken website-eigenaren. In de praktijk zal het vooral gaan om het gebruik van cookies voor webanalyse. Dergelijke cookies worden door non-profit en commerciële websites gebruikt. Commerciële websites zullen echter vaak ook gebruikmaken van cookies die wel gevolgen van betekenis voor de privacy hebben, zoals tracking cookies. De lastenvermindering slaat dus neer bij een deel van de bedrijven. Naar verwachting zullen vooral de nieuwe non-profit websites van de wetswijziging profiteren. De schatting is dat er ongeveer 100.000 nieuwe non-profit websites per jaar bijkomen. Voorheen kostte het zo’n anderhalf uur (tegen een uurtarief van € 70) om te voldoen aan de cookiebepaling. Deze kosten komen nu te vervallen. De vermindering van inhoudelijke nalevingskosten bedraagt dus 10,5 miljoen euro per jaar. Geschat wordt dat 0,5 miljoen ten goede komt aan overheidswebsites en de resterende 10 miljoen aan websites van (georganiseerde) burgers.

9. Consultatie

Het concept wetsvoorstel is openbaar geconsulteerd via internetconsultatie.nl. Op de consultatie zijn 51 reacties binnengekomen: van VNO-NCW, enkele internet- en webdesignbedrijven, enkele brancheorganisaties (voor marketing, marktonderzoek, uitgevers en internetbedrijven), enkele (juridische) adviesbureaus, de Nederlandse Publieke Omroep, en de overige voornamelijk van particulieren.

VNO-NCW laat in haar reactie weten verheugd te zijn over het wetsvoorstel, dat naar haar mening het verband tussen toestemming en daadwerkelijke privacy-gevoeligheid versterkt. Ook de nadere toelichting op het begrip toestemming wordt als een verbetering ervaren en rekent, naar hun opvatting, af met de nationale toestemmingskop die het gelijke Europese speelveld geweld aan deed. De reactie van VNO-NCW wordt door meerdere deelnemers aan de internetconsultatie onderschreven.

De overige reacties waren gemengd: een deel verwacht dat het wetsvoorstel niet veel effect zal hebben of is bang dat de open norm in de uitzondering tot meer onduidelijkheid zal leiden, anderen zijn juist positief over het wetsvoorstel. Meerdere partijen zeggen tevreden te zijn over de in de toelichting geboden duidelijkheid over het toestemmingsvereiste. Onder de partijen die vinden dat het wetsvoorstel zorgt voor een betere balans tussen privacy en gebruiksgemak zijn zowel burgers als bedrijven. In deze paragraaf wordt nader ingegaan op de inbreng op de consultatie.

Effect van de nieuwe uitzondering

Meerdere partijen brengen in hun reactie naar voren dat zij niet veel effect verwachten van de verruiming van de uitzondering, omdat de meeste websites ook cookies gebruiken die niet onder de verruimde uitzondering zullen vallen. Hierdoor zal ook met de voorgestelde wijziging vaak om toestemming moeten worden gevraagd.

Het klopt dat veel websites, naast de in dit wetsvoorstel uitgezonderde cookies, ook tracking cookies gebruiken, waaronder cookies voor sociale media. Voor deze websites zal ook met de voorgestelde wetswijziging gelden dat informatie moet worden verstrekt en toestemming moet worden verkregen voor het gebruik van die cookies, maar dit geldt dan uitsluitend nog voor de cookies die meer dan geringe gevolgen hebben voor de privacy van bezoekers. Door alleen aandacht te vragen voor de cookies die meer dan geringe gevolgen hebben voor de persoonlijke levenssfeer is het voor de bezoeker duidelijker waarom hij wordt gevraagd om al dan niet toestemming te geven. Overigens zijn er ook veel sites waarop uitsluitend analytic cookies, affiliate cookies en functionele cookies worden gebruikt. Te denken valt aan sites van verenigingen, politieke partijen, overheden, maar ook informatieve sites en ook een deel van de webwinkels en sites met klantenservice-informatie. Voor deze websites betekent de wetswijziging dat er op grond van artikel 11.7a niet langer hoeft te worden geïnformeerd en dat niet langer toestemming van de bezoeker nodig is om analytic en/of affiliate cookies te gebruiken.

Gevolgen voor persoonlijke levenssfeer

Enkele partijen zijn van mening dat het criterium «geen of gering gevolgen voor de persoonlijke levenssfeer» ruimte laat voor discussie, en vrezen dat de bepaling daardoor aan slagkracht verliest.

In dit wetsvoorstel is bewust gekozen voor een techniekneutrale formulering voor de uitzondering (informatie over de kwaliteit en effectiviteit van een geleverde dienst van de informatiemaatschappij). Om te voorkomen dat deze uitzondering zou kunnen worden gebruikt voor een type cookie dat weliswaar onder die formulering valt, maar toch aanzienlijke gevolgen voor de privacy van de gebruiker heeft, is daar aan toegevoegd dat deze cookies uitsluitend onder de uitzondering vallen als deze geen of geringe gevolgen hebben voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. In de toelichting is uitgebreid aandacht besteed aan de aspecten die de omvang van de gevolgen voor de persoonlijke levenssfeer bepalen en worden concrete voorbeelden besproken. Enige onzekerheid over de vraag of in andere gevallen dan die in de toelichting worden besproken sprake is van geen of geringe gevolgen voor de persoonlijke levenssfeer is niet te vermijden, maar in de toelichting is geprobeerd zo veel mogelijk richting te geven. De ACM zal toezicht houden op de bepaling, en zal in voorkomend geval beleidsregels kunnen vaststellen om de sector meer duidelijkheid te bieden. ACM zal er streng op toezien dat partijen de uitzondering niet misbruiken door heimelijk en zonder toestemming van de gebruiker privacygevoelige cookies plaatsen.

Third party cookies

Met betrekking tot third party cookies zijn enkele partijen van mening dat deze nooit onder de uitzondering zouden moeten vallen.

Zoals in de toelichting wordt uitgelegd (paragraaf 3.1) is het mogelijk dat ook een third party cookie aan de criteria voldoet, waardoor deze onder de uitzondering valt, maar uitsluitend indien dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de bezoeker. Als bijvoorbeeld in een bepaald geval analytic cookies tevens worden gebruikt voor andere doeleinden, waardoor er meer dan geringe privacygevolgen zijn, dan vallen die cookies niet onder de uitzondering. Dat betekent dat deze cookies in dat geval niet mogen worden geplaatst en gelezen zonder toestemming van de bezoeker.

Remarketing/retargeting cookies

In de consultatie werd de vraag gesteld of remarketing cookies (beter bekend als retargeting cookies) onder de uitzondering vallen. Met een retargeting cookie wordt bijvoorbeeld aan iemand die eerder een webwinkel heeft bezocht zonder daar iets te kopen, op een andere website een advertentie getoond die is afgestemd op dat eerdere webwinkelbezoek. Met een retargeting cookie wordt met andere woorden de interesse van een internetgebruiker op basis van diens surfgedrag geregistreerd om daarop afgestemde advertenties te kunnen tonen. Dit maakt dat het gebruik van deze cookies meer dan geringe gevolgen voor de persoonlijke levenssfeer met zich meebrengt, waardoor zij niet onder de uitzondering vallen.

Samenloop met Wbp

In een van de reacties wordt erop gewezen dat ook de Wbp een informatieplicht kent en een verwerkingsgrondslag eist die vaak neer komt op ondubbelzinnige toestemming. Voor een deel van de cookies die onder de nieuwe uitzondering op de cookiebepaling vallen blijft volgens deze reactie op grond van de Wbp alsnog een informatieplicht en toestemmingsvereiste gelden.

Het is juist dat, indien via cookies persoonsgegevens worden verwerkt, naast artikel 11.7a van de Tw ook de Wbp van toepassing is. Cookies kunnen alleen onder de nieuwe uitzondering vallen als het gebruik van deze cookies en de daarmee verkregen gegevens geen of slechts geringe gevolgen heeft voor de privacy van de internetter. Als er geen persoonsgegevens worden verwerkt is de Wbp niet van toepassing. Maar ook als er persoonsgegevens worden verwerkt kan een cookie onder de uitzondering op de cookiebepaling vallen: niet elke verwerking van persoonsgegevens heeft immers grote gevolgen voor de privacy. Indien het gebruik van een cookie waarmee persoonsgegevens worden verwerkt niet meer dan geringe gevolgen heeft, en de cookie om die reden onder de uitzondering op de cookiebepaling valt, moet alsnog aan de Wbp worden voldaan. Dit betekent dat er over de verwerking van persoonsgegevens moet worden geïnformeerd, maar het heeft niet noodzakelijkerwijs tot gevolg dat de ondubbelzinnige toestemming van de gebruiker nodig is. Gelet op de geringe impact op de privacy is het waarschijnlijker dat de persoonsgegevens op grond van de belangenafweging in artikel 8, onderdeel f, van de Wbp zonder toestemming mogen worden verwerkt. De verantwoordelijke heeft een gerechtvaardigd belang bij het verkrijgen van informatie over de effectiviteit of de kwaliteit van een dienst van de informatiemaatschappij, terwijl daar geen grote gevolgen voor de persoonlijke levenssfeer van de betrokkene tegenover staan. De privacygevolgen waren immers niet meer dan gering.

Een partij wijst erop dat artikel 5, derde lid, van de Bijzondere privacyrichtlijn (de cookiebepaling) als lex specialis in de plaats komt van artikel 7 van de Algemene privacyrichtlijn (de voorwaarden voor verwerking van persoonsgegevens). De gedachte hierachter is dat als twee verschillende regels van toepassing zijn op een bepaalde situatie de algemene regel (lex generalis) terzijde wordt geschoven door de specifieke regel (lex specialis). In de reactie op de internetconsultatie wordt daarbij verwezen naar Opinie 2/2010 van de Artikel 29-werkgroep¹⁹. In het Nederlandse recht zou dit ertoe leiden dat artikel 8 van de Wbp niet van toepassing is als op een bepaalde verwerking van persoonsgegevens ook artikel 11.7a van de Tw van toepassing is.

De lex specialis-regel is wat genuanceerder dan wordt voorgesteld in deze reactie. Alleen waar een bepaald onderwerp uitputtend wordt geregeld door de lex specialis komt deze regel in de plaats van de lex generalis. In dit specifieke geval wordt door de lex specialis niet precies dezelfde materie geregeld als door de lex generalis. De cookiebepaling ziet namelijk uitsluitend op het plaatsen en lezen van gegevens op een randapparaat van een gebruiker, ongeacht of dit persoonsgegevens zijn of niet. De Wbp ziet op de verwerking van persoonsgegevens, ongeacht of dit gebeurt via een cookie of op een andere wijze. Hoewel er dus wel samenloop kan ontstaan (namelijk als persoonsgegevens worden verwerkt met gebruik van cookies), zien de twee bepalingen op verschillende onderwerpen. Er kan dus niet gezegd worden dat de cookiebepaling de gronden voor verwerking van persoonsgegevens uitputtend regelt.

De voorgestelde toepassing van de lex specialisregeling zou tot gevolg hebben dat in een situatie waarin voor de verwerking van persoonsgegevens op grond van artikel 8 ondubbelzinnige toestemming nodig zou zijn, zou kunnen worden volstaan met «gewone» toestemming als deze persoonsgegevens via cookies worden verwerkt. Dit zou een onlogische en bovendien onwenselijke toepassing van de privacyrichtlijnen opleveren. Uit een latere Opinion van de Artikel 29-werkgroep, Opinion 2/2013, blijkt dat ook de Artikel 29-werkgroep haar eerdere standpunt nuanceert en aangeeft dat de bepalingen uit de Algemene en Bijzondere privacyrichtlijn naast elkaar moeten worden toegepast (zie paragraaf 3.4.1 en 3.4.2 van Opinion 2/2013).

Rechtsvermoeden ten aanzien van tracking cookies

Enkele partijen adviseren om het rechtsvermoeden, dat bij tracking cookies sprake is van verwerking van persoonsgegevens, waardoor in beginsel de Wbp hierop van toepassing is, te schrappen.

Er is echter geen aanleiding om deze door de Tweede Kamer geïntroduceerde bepaling niet terug te laten komen in het nieuwe artikel 11.7a. Het is de uitdrukkelijke wens van de Kamer geweest om de onzekerheid over de vraag of met tracking cookies persoonsgegevens worden verwerkt, neer te leggen bij degene die tracking cookies gebruikt in plaats van bij de bezoeker waarvan mogelijk persoonsgegevens worden verwerkt. Wel is naar aanleiding van een reactie op de internetconsultatie, waarin wordt voorgesteld om de cookies die onder de nieuwe uitzondering vallen ook uit te zonderen van het rechtsvermoeden in het vierde lid, de formulering van het rechtsvermoeden aangescherpt. Zie hierover de toelichting in hoofdstuk 7.

Technische mogelijkheden voor gebruiksvriendelijke oplossing

Een partij stelt dat de technische mogelijkheden om op een gebruiksvriendelijke manier toestemming te verkrijgen beperkt zijn. Onder gebruiksvriendelijk wordt hierbij verstaan een manier die zo min mogelijk afbreuk doet aan het normale gebruik van het internet waarbij de bezoeker ook nog eens toestemming kan geven dan wel weigeren afhankelijk van de toepassing waarvoor de verschillende cookies worden gebruikt.

Zoals in de toelichting uitgebreid is beschreven kan ook toestemming worden verkregen door bij het verschaffen van de vereiste informatie over het gebruik van cookies duidelijk te maken dat de bezoeker door verder gebruik te maken van de bezochte website (door een link binnen de website aan te klikken) toestemming geeft voor het gebruik van deze cookies²⁰. De toestemming is dan verkregen als de bezoeker een link binnen de website heeft aangeklikt. Op deze manier wordt het normale gebruik van het internet zo min mogelijk verstoord: de bezoeker hoeft in dit geval niet op een extra «ik geef toestemming»-knop te drukken. Dit kan gecombineerd worden met een link naar bijvoorbeeld de «cookie-instellingen» waar de bezoeker, indien gewenst, per type cookie kan instellen of hij al dan niet toestemming verleent. Uit de praktijk blijkt dat deze aanpak technisch mogelijk is.

In de consultatie wordt opgemerkt dat de wijze waarop de online advertentiemarkt technisch en organisatorisch is ingericht, het moeilijk maakt om af te zien van het gebruik van tracking cookies. Hierover heeft de regering het volgende op te merken. Artikel 11.7a verbiedt het gebruik van tracking cookies niet, het stelt uitsluitend voorwaarden aan het gebruik ervan. Of een websitehouder ervoor kiest om al dan niet te adverteren, en of de websitehouder er voor kiest om daarbij te werken met adverteerders die gebruik maken van tracking cookies te gebruiken, is aan de websitehouder zelf. Technisch is het in ieder geval mogelijk om advertentie-inkomsten te genereren zonder tracking cookies te gebruiken en/of om uitsluitend met toestemming van de gebruiker tracking cookies te gebruiken.

Medeplegen

Meerdere organisaties maken een opmerking over de in de memorie van toelichting genoemde mogelijkheid dat de website-aanbieder medepleger is als een derde via zijn site in strijd met de cookiebepaling handelt. Daarbij is de vraag gesteld tot waar de verantwoordelijkheid van de website-aanbieder zich uitstrekt.

Zoals in de memorie van toelichting is aangegeven volgt uit artikel 5:1, tweede lid, van de Algemene wet bestuursrecht dat onder de overtreder van een bestuurechtelijke regel ook een medepleger wordt verstaan. Daarmee is echter niet gezegd dat bij het overtreden van de cookiebepaling bij het plaatsen van cookies door een derde via een website van een ander, die ander altijd een medepleger is. Van medeplegen is immers pas sprake als er een min of meer gelijkwaardige samenwerking is tussen de partijen die in strijd met de wettelijke verplichtingen handelen. De medepleger en de derde (de normadressaat) moeten daarbij bewust samenwerken en de normschending gezamenlijk uitvoeren.

Moment van toestemming

Een organisatie merkt op dat er al sprake van toestemming kan zijn voordat de bezoeker van de website doorsurft nadat hij er op gewezen is dat cookies zullen worden geplaatst. Het kan immers zo zijn dat de bezoeker een terugkerende bezoeker is die al eerder en voor langere tijd toestemming heeft verleend voor het plaatsen van cookies. Het is inderdaad mogelijk dat al direct bij het bezoek aan de website duidelijk is dat er sprake is van toestemming voor het plaatsen/lezen van cookies. De in de memorie van toelichting gegeven voorbeelden moeten dan ook zo worden begrepen dat deze betrekking hebben op de situatie waarin een bezoeker van een website niet eerder toestemming heeft gegeven danwel de eerder gegeven toestemming inmiddels is ingetrokken of verlopen. Het gaat dus om gevallen waarin nog geen toestemming is gegeven voor de cookies die de website gaat plaatsen en lezen.

De toestemming voor het gebruik van cookies moet gebaseerd zijn op duidelijke en volledige informatie. Anders dan in een van de consultatiereacties werd gesteld, kan het moment van informeren en het moment van toestemming verkrijgen daarom niet samenvallen. Om van toestemming te kunnen spreken moet de bezoeker op basis van informatie over het gebruik van cookies een handeling hebben verricht waarmee hij aangeeft in te stemmen met het gebruik van cookies. Daaruit vloeit noodzakelijkerwijs voort dat het moment waarop toestemming wordt verkregen later is dan het moment waarop de bezoeker over het gebruik van cookies wordt geïnformeerd.

Social media / tracking cookies

Dezelfde organisatie is van opvatting dat in de memorie van toelichting in paragraaf 4.2.6, tweede alinea, in de passage over gedifferentieerde toestemming ten onrechte een onderscheid gemaakt wordt tussen tracking cookies en cookies voor social media. Daarbij wordt gewezen op het feit dat social media cookies, die vaak van grote internationale partijen zijn, juist bij uitstek tracking cookies zijn die bij elkaar opgeteld een interesseprofiel opleveren dat als basis dient voor gerichte advertenties. Het is juist dat social media cookies in vele gevallen ook tracking cookies zijn. Bedoelde passage moet dan ook niet zo worden begrepen dat social media cookies en tracking cookies elkaar uitsluitende categorieën zijn. Ook beoogt de passage niet aan te geven dat de privacy gevolgen van tracking cookies groter zijn dan die van social media cookies. Dit neemt niet weg, en dat is de strekking van de passage, dat het mogelijk kan zijn dat een internetter wel toestemming wenst te geven voor social media cookies maar niet voor andere tracking cookies, en dat het een goede zaak is als hij deze keuze heeft.

Toestemming vragen/verkrijgen

Enkele partijen merken op dat op grond van de wettekst toestemming moet zijn «verkregen» voor het plaatsen en lezen van cookies terwijl in de memorie van toelichting op diverse plaatsen wordt gesproken van het «vragen» van toestemming. Om verwarring hierover te voorkomen is in de toelichting consequent de terminologie uit de wettekst gevolgd. Daarbij wordt benadrukt dat het niet zo is, dat met het enkele melden van informatie over cookies, de vereiste toestemming is verkregen. Zoals wordt uitgelegd in paragraaf 4.2.2 van de toelichting is om te kunnen spreken over verkregen toestemming altijd vereist dat de bezoeker via een handeling heeft laten weten in te stemmen met het gebruik van cookies.

Onderzoek

Een partij concludeert op grond van de gegeven uitleg van het begrip toestemming dat toestemming voor het plaatsen en lezen van cookies ook kan worden aangenomen indien een persoon heeft ingestemd met het deelnemen aan bijvoorbeeld verkiezings- of marktonderzoek. Deze conclusie gaat echter in zijn algemeenheid te ver. Wil er sprake zijn van toestemming voor het plaatsen en lezen van cookies dan moet de internetter afdoende zijn geïnformeerd over het gebruik van cookies en moet deze ook specifiek instemmen met het plaatsen en lezen van cookies. Er kan dus niet zondermeer worden aangenomen dat iemand die instemt met een verkiezings- of marktonderzoek heeft ingestemd met het plaatsen en lezen van cookies. Dat kan echter anders zijn indien bij de vraag om mee te doen aan het onderzoek duidelijk is aangegeven dat meedoen aan het onderzoek betekent dat men akkoord gaat met het plaatsen en lezen van cookies, mits daarbij tevens de vereiste informatie over deze cookies is verstrekt.

In een van de reacties wordt voorgesteld om tracking cookies die specifiek geplaatst worden voor wetenschappelijk, historisch en statistisch onderzoek, ook onder dezelfde vrijstelling als die voor analytische cookies te laten vallen. Dit mede gezien het feit dat er in artikel 9, derde lid, van de Wbp ook al uitzonderingen zijn gemaakt voor dit onderzoek.

Onder de nieuwe uitzondering op de informatieplicht en het toestemmingsvereiste vallen alleen cookies die nodig zijn om informatie te verschaffen over de kwaliteit of de effectiviteit van een dienst van de informatiemaatschappij. Hoewel niet uit te sluiten valt dat het wetenschappelijk, historisch of statistisch onderzoek waarvoor de cookie wordt geplaatst betrekking heeft op de kwaliteit of de effectiviteit van een dienst van de informatiemaatschappij kan dit niet in zijn algemeenheid worden aangenomen. Dit zal moeten blijken uit de feiten van het geval. Voor wat betreft de genoemde uitzondering in artikel 9, derde lid, van de Wbp wordt nog opgemerkt dat deze geldt voor de verdere verwerking van persoonsgegevens waarvoor reeds een verwerkingsgrondslag bestond. Bij de plaatsing van de hier bedoelde cookies is er van verdere verwerking nog geen sprake.

Overig

Enkele deelnemers aan de consultatie zijn van mening dat websites ook beschikbaar moeten zijn voor bezoekers die geen toestemming geven voor het plaatsen en lezen van cookies. Hierop is ingegaan in paragraaf 4.2.4 van de toelichting.

Een veelgehoord advies is om de toestemming door de browsers te laten regelen, of om een opt-outsysteem te hanteren in plaats van vereiste toestemming. Deze adviezen kunnen niet worden opgevolgd omdat de richtlijn hier niet de ruimte voor biedt. Dit is toegelicht in de paragrafen 4.2.5 (browsers) en 1.2 en 4.2.1 (opt-out).

In een reactie werd de vraag gesteld welke straf er staat op overtreding van artikel 11.7a Tw. Toezichthouder ACM is op grond van artikel 15.2, tweede lid, van de wet bevoegd een last onder bestuursdwang op te leggen om naleving van de cookiebepaling af te dwingen. Op grond van artikel 15.4, vierde lid, van de wet kan ACM bij overtreding van de cookiebepaling een bestuurlijke boete opleggen van ten hoogste € 450.000.

10. Uitvoeringstoets ACM

Een concept van het wetsvoorstel is op 30 augustus 2013 aan ACM toegestuurd, met het verzoek om een uitvoeringstoets. ACM heeft bij brief van 17 oktober 2013 verslag gedaan van de uitvoeringstoets. ACM is van mening dat de voorgestelde gewijzigde bepaling recht tracht te doen aan de dynamiek van het internet en de bepaling daarmee uitvoerbaarder maakt. Ook is ACM verheugd over de nadere duiding die in deze toelichting wordt gegeven ten aanzien van verschillende onderwerpen. ACM verwacht echter ook dat de voorgestelde wijzigingen gevolgen hebben voor de handhaafbaarheid van de bepaling.

In haar uitvoeringstoets brengt de ACM naar voren dat de verruimde uitzondering leidt tot een extra werklast die ACM verwacht te kunnen opvangen door de aanstelling van 2 fte extra en een technisch onderzoeksbudget van € 15.000. De extra werklast komt, aldus ACM, vooral voort uit het feit dat door de voorgestelde aanpassing van de cookiebepaling er nieuw en open geformuleerde begrippen bijkomen. Zo zal moeten worden beoordeeld of een cookie meer dan geringe gevolgen heeft voor de persoonlijke levenssfeer en tevens of de betreffende cookie daadwerkelijk is gebruikt om informatie te verkrijgen over de kwaliteit en de effectiviteit van een geleverde dienst van de informatie maatschappij.

Door de voorgestelde wijziging van de cookiebepaling zullen minder cookies onder de wettelijke bepaling vallen. Ook geeft de ACM in haar toets aan dat door de voorgestelde wijziging ACM zich tevens meer kan focussen op de schadelijke gevallen, onder andere de cookies die een grote inbreuk op de privacy maken, heimelijk gebruikt worden en/of lastig te verwijderen zijn. In een voetnoot merkt ACM daarbij nog op dat bij haar handhavingsactie in september 2012, waarbij zij (destijds OPTA) een groot aantal overheidswebsites heeft gecontroleerd en aangeschreven, reeds heeft moeten constateren dat iedere website onder haar toezicht viel terwijl in voorkomende gevallen de privacy-inbreuken beperkt, dan wel geheel afwezig waren. Dit gezegd zijnde ziet de regering geen reden om aan te nemen dat door de voorgestelde bepaling de werklast zal worden vergroot.

Hieronder wordt nader ingegaan op enkele inhoudelijke opmerkingen uit de uitvoeringstoets van ACM. Daarnaast is de toelichting naar aanleiding van de brief van ACM op enkele plaatsen aangevuld.

ACM geeft aan dat de aanpassing van het rechtsvermoeden de leesbaarheid van de bepaling vergroot. Wel stelt ACM om de passage «zodat de betrokken gebruiker of abonnee anders behandeld kan worden» te vervangen door «om daarmee onderscheid te maken tussen gebruikers». Deze suggestie is niet overgenomen. De aangepaste bewoording van het rechtsvermoeden is in nauw overleg met het CBP tot stand gekomen. Naar aanleiding van het overleg met het CBP over het rechtsvermoeden is de regering van oordeel dat deze bewoording beter weergeeft waar het bij tracking cookies om gaat dan het voorstel van ACM. Het gaat er niet zozeer om dat door het gebruik van deze cookies de plaatser van de cookies onderscheid kan maken tussen gebruikers, dat criterium zou veel te ruim zijn en bijvoorbeeld ook op analytic cookies van toepassing zijn. Ook bij pure analytic cookies, die uitsluitend worden gebruikt voor het in kaart brengen van het gebruik van een enkele website en daardoor uitgesloten worden van de cookiebepaling, worden de cookies gebruikt om de ene bezoeker te onderscheiden van de andere bezoeker. Wat een tracking cookie onderscheid van andere cookies is dat aan dat onderscheid gevolgen voor de eindgebruiker/internetter kunnen worden verbonden. Dat laatste wordt beter tot uitdrukking gebracht door de in dit voorstel opgenomen bewoordingen.

ACM geeft in de uitvoeringtoets aan dat is gebleken dat het voor veel gebruikers niet duidelijk is hoe zij terug kunnen komen op een eenmaal gegeven toestemming.

Het is juist dan een eenmaal gegeven toestemming te allen tijde kan worden ingetrokken. Het ligt dan ook in de rede dat degene die cookies plaatst en leest de gebruiker informeert over de wijze waarop toestemming kan worden ingetrokken, zodat de gebruiker indien gewenst van deze mogelijkheid gebruik kan maken.

ACM meent dat de uitleg in hoofdstuk 5 van de toelichting over de normadressaat en bestuursrechtelijke figuur van medeplegen (artikel 5:1, tweede lid van de Algemene wet bestuursrecht) de eigen invloed en de machtspositie van de website-eigenaar onderschat. Volgens ACM is het te allen tijde de website eigenaar die zelf bepaalt om een samenwerking te starten en derhalve (onbewust) derden de mogelijkheid biedt om al dan niet in strijd met de wettelijke bepalingen te handelen. ACM is van opvatting dat de verantwoordelijkheid van de website-eigenaar daarom verder zou moeten gaan dan de verantwoordelijkheid die voortvloeit uit artikel 5:1, tweede lid, Awb.

De regering ziet echter geen reden om voor artikel 11.7a van de Telecommunicatiewet af te wijken van de voor alle bestuursrechtelijke normschendingen geldende systematiek van de Awb. Niet valt in te zien waarom voor website-eigenaren een andere (strengere) figuur van medeplegen zou moet worden ingevoerd dan voor andere partijen die derden de mogelijkheid bieden om handelingen te verrichten waarbij de mogelijk bestaat dat de derde het bepaalde bij of krachtens enig wettelijk voorschrift overtreedt. ACM merkt zelf ten aanzien van het door haar aangevoerde voorbeeld over malvertising op dat het verspreiden van malvertising vaak buiten het medeweten van de website-eigenaar gebeurt, en dat de webiste-eigenaar in vele gevallen juist zelf slachtoffer blijkt te zijn. In zo’n geval is het lastig, aldus ACM, te betogen dat de website-eigenaar bewust met de derde samenwerkt en de normschending met hem gezamenlijk uitvoert. Dat de website-eigenaar in zo’n geval geen boete opgelegd kan krijgen is volgens de regering terecht, en toont juist aan dat de algemene regels over medeplegen hier volstaan. Overigens merkt de regering op dat de uitleg over de normadressaat van artikel 11.7a in hoofdstuk 5, ook al geldt ten aanzien van het huidige artikel 11.7a. Van een wijziging ter zake is dus geen sprake.

In de uitvoeringstoets vraagt ACM aandacht voor de internationale handhaafbaarheid van de cookiebepaling. ACM constateert daarbij dat het in een aantal gevallen moeilijk voor ACM is om op te handhaven. De regering erkent dat de internationale handhaving geen eenvoudige zaak is en zal dan ook conform het advies van ACM dit aspect onder de aandacht van de Europese wetgever brengen.

11. Wetgevingsadvies CBP

Een concept van het wetsvoorstel is op grond van artikel 51, tweede lid, van de Wbp voor advies aan het CBP voorgelegd. In haar advies van 7 oktober 2013 (kenmerk z2013–00718) geeft het CBP aan in algemene zin van oordeel te zijn dat aan de voorgestelde uitbreiding van de uitzondering voor cookies met geringe privacygevolgen materieel (inhoudelijk) geen bezwaarlijke gevolgen kleven voor de persoonlijke levenssfeer van de betrokken gebruiker of abonnee, mede gezien het samenspel tussen Wbp en de Tw. Ten aanzien van de voorgestelde redactionele wijzigingen met betrekking tot het rechtsvermoeden concludeert het CBP eveneens dat daaraan geen bezwaarlijke gevolgen kleven voor de persoonlijke levenssfeer van de betrokken gebruiker of abonnee. In het advies geeft het CBP verder aan dat zij een meerwaarde ziet in het feit dat in deze toelichting nog eens uiteen is gezet op welke wijze aan de toestemmingseis kan worden voldaan. Ook geeft het CBP aan de in deze toelichting gegeven uitleg van de term «toestemming» te onderschrijven.

Het CBP geeft in haar advies nog wel een aantal aandachtspunten. Hieronder wordt een aantal van deze opmerkingen van het CBP nader besproken.

Ten aanzien van het informatievereiste stelt het CBP een aanvulling van de toelichting voor. Het CBP stelt voor in de toelichting op te nemen dat al de in paragraaf 4.1 genoemde informatie op een direct zichtbare plek op de website wordt getoond en dat het taalgebruik moet aansluiten bij de doelgroep van de website (en Nederlandstalig zijn). Informeren door middel van een verwijzing naar algemene voorwaarden, privacy statement etc. is, zo merkt het CBP verder op, onvoldoende.

De regering deelt de opvatting van het CBP dat een verwijzing naar algemene voorwaarden of een privacy statement onvoldoende is. Het gaat echter te ver om te eisen dat al de genoemde informatie direct op de pagina van de website wordt getoond. Dit zou naar de opvatting van de regering leiden tot een gebruiksonvriendelijk internet. Aan het informatievereiste kan ook worden voldaan door een deel van de informatie beschikbaar te stellen achter een «verdere informatie» button, als deze maar direct beschikbaar is achter deze button. Het spreekt voor zich dat uit het aanklikken van de «verdere informatie»-button nog geen toestemming mag worden afgeleid.

In het kader van het toestemmingsvereiste gaat het CBP in op het afhankelijk stellen van toegang tot de website van het geven van toestemming voor het plaatsen/lezen van cookie (de cookiemuur). Het CBP wijst daarbij op de laatste volzin van overweging 25 van de e-Privacyrichtlijn: «Aan toegang tot specifieke inhoud van een website kan nog altijd de voorwaarde worden verbonden dat een cookie of soortgelijke voorziening, indien gebruikt voor een legitiem doel, bewust wordt aanvaard.» Hieruit lijkt het CBP, a contrario, uit af te leiden dat het afhankelijk maken van de toegang tot de gehele website van het geven van toestemming voor het gebruik van cookies, niet is toegestaan. De regering deelt deze lezing echter niet.

Het CBP is verder van mening dat onder omstandigheden gedifferentieerde toestemming voor social media en advertentiecookies niet alleen gewenst, maar ook vereist kan zijn. Ter onderbouwing van dit standpunt citeert het CBP een passage uit Opinie 15/2011 van de Artikel 29-werkgroep over het afhankelijk stellen van de toegang tot sociale netwerken van de acceptatie van advertentiecookies. In het citaat betoogt de Artikel 29-werkgroep dat een sociaal netwerk een dusdanig belang kan hebben voor bepaalde categorieën gebruikers dat, indien de toegang tot dit sociale netwerk niet wordt gegeven zonder toestemming voor het gebruik van cookies, er geen sprake is van de «vrije keuze» die nodig is om van toestemming volgens de wet te kunnen spreken.

Het citaat ziet met andere woorden op de vraag of een voor een bepaalde doelgroep belangrijke website een cookiemuur kan gebruiken. Op het gebruik van cookiemuren is ingegaan in paragraaf 4.2.2 van deze toelichting. De regering leest in de aangehaalde passage geen aanwijzing dat gedifferentieerde toestemming onder omstandigheden vereist kan zijn, al kan dat ook niet op voorhand worden uitgesloten.

Het CBP wijst in haar advies voorts op het verschil tussen de technische definities van «first» en «third» party cookies en de juridische definitie hiervan. Volgens het CBP lijken in de toelichting de termen «first» and «third» party cookies in juridische en technische zin door elkaar heen te worden gebruikt. Het CBP adviseert om consequent aan te sluiten bij de juridische definitie.

Artikel 11.7a legt een verplichting op aan degene die een cookie plaatst of leest (anders dan de Wbp, die aangrijpt bij de «verantwoordelijke» als bedoeld in artikel 1, aanhef en onder d, van de Wbp). De toestemming moet worden verkregen door degene die plaatst en/of leest. Bij een cookie geplaatst vanuit het domein van bezochte website is de betreffende websitehouder degene die de cookie in de zin van artikel 11.7a plaatst. Wordt de cookie geplaatst vanuit het domein van een andere website, dan is de houder van die website degene die de cookie in de zin van artikel 11.7a plaatst. Dit sluit aan bij de technische benadering van de begrippen «first» en «third» party cookies. Het advies van het CBP op dit punt wordt dan ook niet overgenomen.

De overige inhoudelijke opmerkingen, alsmede de tekstuele opmerkingen aan het slot van het advies van het CBP, zijn verwerkt in de toelichting.

De Minister van Economische Zaken, H.G.J. Kamp

---

1 Overweging 24 en 25 van de Bijzondere privacyrichtlijn, PBEG L 201/39.

2 Tweede Kamer, vergaderjaar 2010–2011, 32 549, nr. 39.

3 Met «technisch noodzakelijke cookies» worden hier bedoeld: cookies die het uitsluitend doel hebben de communicatie over een elektronisch communicatienetwerk uit te voeren of strikt noodzakelijk zijn om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren (artikel 11.7a, derde lid, onder a en b).

4 Met analytic cookies kan de websitehouder bijvoorbeeld bijhouden hoeveel unieke bezoekers de website bezoeken, welke onderdelen van de site zij bezoeken en wanneer.

5 «Ik heb ook nog een vraag aan de Minister. In zijn beantwoording heeft hij gezegd dat voor het creëren van ruimte voor analytische cookies misschien een wetswijziging nodig is, het voorstel dat wij hebben gedaan. Ik geef hem in overweging om dit te regelen via artikel 8f van de Wet bescherming persoonsgegevens. Graag krijg ik hierop een reactie.» Verslag Tweede Kamer, 56e vergadering, 28 februari 2013, http://www.tweedekamer.nl/kamerstukken/verslagen/verslag.jsp?vj=2012–2013&nr=56 .

6 Aangezien in dit voorbeeld de derde informatie van het randapparaat van een gebruiker leest, valt de derde (naast de websitehouder, die de cookie plaatst) zelfstandig onder de norm in artikel 11.7a, eerste lid. Op hem rust dan ook een opzichzelfstaande verplichting om te informeren en de cookies niet te lezen voordat daarvoor toestemming van de gebruiker is verkregen, tenzij deze cookie onder de uitzondering valt.

7 Dit laat onverlet dat als hierbij persoonsgegevens worden verwerkt, ook aan de Wbp moet worden voldaan. Op grond van de Wbp moet de betrokkene altijd geïnformeerd worden als er persoonsgegevens worden verwerkt.

8 ACM is op grond van artikel 15.1, derde lid, van de Tw belast met het toezicht op de naleving van artikel 11.7a Tw. Daarnaast heeft het College bescherming persoonsgegevens op grond van artikel 51, eerste lid, van de Wet bescherming persoonsgegevens in zijn algemeenheid tot taak toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Voorzover met het plaatsen en lezen van informatie op en van een randapparaat van een gebruiker persoonsgegevens worden verwerkt, ziet het CBP er op toe dat dit overeenkomstig artikel 11.7a Tw en de Wbp gebeurt. ACM en CBP werken bij het toezicht op de naleveing van artikel 11.7a Tw nauw samen. ACM en CBP hebben werkafspraken over dubbel toezicht en een consistente uitleg van specifieke privacybegrippen vastgelegd in het Samenwerkingsprotocol CBP-OPTA van 12 juli 2005 (Stcrt. 2005, 133).

9 Opinion 2/2010 on Online Behavioural Advertising.

10 Opinion 2/2010, p. 24.

11 Opinion 15/2011, pagina 9 en 10.

12 Opinion 15/2011, pagina 12.

13 Toestemming kan in een dergelijk geval uiteraard niet worden afgeleid uit het aanklikken van een button voor meer informatie over cookies.

14 Hier wordt nader op ingegaan in de toelichting op het vierde lid (paragraaf 6).

15 Anders dan lijkt te worden geïmpliceerd in de toelichting op het amendement waarmee dit rechtsvermoeden werd geïntroduceerd, zijn er naast ondubbelzinnige toestemming van de betrokkene nog vijf andere rechtvaardigingsgronden voor de verwerking van persoonsgegevens.

16 Overweging 25 van de Bijzondere privacyrichtlijn zegt hierover het volgende: «Aan toegang tot specifieke inhoud van een website kan nog altijd de voorwaarde worden verbonden dat een cookie of soortgelijke voorziening, indien gebruikt voor een legitiem doel, bewust wordt aanvaard.»

17 Dit is in de wetsgeschiedenis van artikel 11.7a eerder op deze manier besproken in de nota naar aanleiding van het verslag (Tweede Kamer, vergaderjaar 2010–2011, 32 549, nr. 7, pagina’s 27, 28, 32) en de nadere memorie van antwoord (Eerste Kamer, vergaderjaar 2011–2012, 32 549, nr. G, pagina’s 2 en 3).

18 Zie hierover ook paragraaf 3.1 van de toelichting over de situatie waarin de websitehouder de cookie plaatst, en de statistiekenleverancier de cookie leest.

19 Pagina 9, paragraaf 3.2.3: «If both Directives apply, a relevant question is to determine the applicable provisions of each Directive. In this regard, Recital 10 of the ePrivacy Directive states that Directive 95/46/EC applies, «to all matters concerning protection of fundamental rights and freedoms which are not specifically covered by the provisions of this Directive, including the obligations on the controller and the rights of individuals». This is an application of the doctrine that states that a law governing a specific subject matter (lex specialis) overrides a law which only governs a general matter (lex generalis). In line with the above, Article 5(3) of the ePrivacy Directive which deals with informed consent will be directly applicable. Directive 95/46 will be fully applicable except for the provisions that are specifically addressed in the ePrivacy Directive, which mainly correspond to Article 7 of Directive 95/46/EC on the legal grounds for data processing. The remaining provisions of Directive 95/46/EC including the principles regarding data quality, the data subject's rights (such as access, erasure, right to object), confidentiality and security of the processing and international data transfers will be fully applicable.»

20 Als de bezoeker in een dergelijk geval de link naar «meer informatie» over cookies of het instellen van specifieke «cookie-instellingen» of «privacy-instellingen» aanklikt, kan uit het aanklikken van een dergelijke link geen toestemming worden afgeleid.