33 902 Wijziging van de Telecommunicatiewet (wijziging artikel 11.7a)

E NADERE MEMORIE VAN ANTWOORD

Ontvangen 16 januari 2015

Met belangstelling heeft de regering kennis genomen van de vragen van de vaste commissie voor Economische Zaken. Zij is de leden van de verschillende fracties erkentelijk voor hun inbreng.

De leden van de fractie van de PvdA en de leden van de fractie van de SP gaven aan dat de vaste commissie voor Economische Zaken recent, op 7 december 2014, een brief heeft ontvangen naar aanleiding waarvan zij de regering graag een aantal vragen voorleggen. De leden van de fractie van de VVD en de leden van de fractie van het CDA sloten zich bij deze vragen aan.

Bewaartermijn gegevens toestemming

De leden van de in de inleiding genoemde fracties gaven aan dat in de genoemde brief melding wordt gemaakt van een bewaartermijn van vijf jaren voor alle IP-adressen van gebruikers die instemmen met het gebruik van cookies en van het tijdstip waarop zij deze toestemming gaven. Die verplichting voor eigenaren van websites zou, zo gaven voornoemde leden aan, voortvloeien uit de toezichtsrol van de Autoriteit Consument en Markt (ACM). Websites die gebruik maken van cookies zijn verplicht toestemming te vragen voor het plaatsen van die cookies. Dat betekent, aldus voornoemde leden, dat de websiteaanbieder moet kunnen aantonen dat die toestemming gegeven is. Voornoemde leden hebben begrepen dat hieruit voortvloeit dat de websiteaanbieder van alle gebruikers het IP-adres moet opslaan om aan te tonen dat de toestemming gegeven is. Die gegevens zullen vijf jaar lang moeten worden bewaard. Hiermee zal dus, zo constateerden voornoemde leden, een enorme hoeveelheid aan surfgedrag van internetgebruikers worden vastgelegd hetgeen dan zal gaan gelden voor tienduizenden websites met vele malen meer bezoekers. De leden van de fractie van de PvdA en de fractie van de SP vroegen of dit resultaat voortvloeit uit de wet, en zo ja, of de regering dit een wenselijke ontwikkeling vindt en of dit niet een enorme inbreuk is op de privacy van de internetgebruikers is. Verder vroegen voornoemde leden op welke wijze een en ander zou kunnen worden voorkomen en, indien deze praktijk bevestigd wordt, of de voorgestelde wetswijziging hierin verandering aanbrengt. Ook vroegen deze leden de regering of het College Bescherming Persoonsgegevens (CBP) over deze uitvoeringsconsequentie is geraadpleegd.

Zowel op basis van het bestaande als het voorgestelde artikel 11.7a van de Telecommunicatiewet is voor het plaatsen en lezen van informatie op het randapparaat van een gebruiker de toestemming van de gebruiker vereist. ACM houdt toezicht op de naleving van deze bepaling. Op grond van de Algemene wet bestuursrecht (Awb) kan ACM tot vijf jaar nadat een mogelijke overtreding van het bepaalde in 11.7a van de Telecommunicatiewet heeft plaatsgevonden een onderzoek starten en eventueel handhavend optreden (vgl artikel 5:45 Awb). Voor de plaatser/lezer van een cookie betekent dit dat hij gedurende vijf jaar vanaf het plaatsen en/of lezen van de cookie zal moeten kunnen aantonen dat hij uitsluitend cookies heeft geplaatst en gelezen nadat de gebruiker daarvoor toestemming heeft verleend. Zoals ACM op haar website¹ heeft uitgelegd, schrijft de wet niet voor op welke wijze de plaatser/lezer van een cookie dit aantoont. ACM schrijft ook geen bewijsvorm voor. Op de website doet ACM wel een suggestie, namelijk om de wijze waarop de toestemming is verkregen, hoe de gebruiker daarbij geïnformeerd werd en het tijdstip waarop de toestemming is verkregen, te registreren. Het is niet nodig om hiervoor een lijst van IP-adressen van gebruikers die toestemming hebben verleend op te slaan, maar voor deze vorm zou de plaatser/lezer van cookies wel kunnen kiezen. In dat geval is er sprake van een verwerking van persoonsgegevens waarop de Wet bescherming persoonsgegevens (Wbp) van toepassing is. De Wet bescherming persoonsgegevens bepaalt dat persoonsgegevens uitsluitend mogen worden verwerkt indien een beroep kan worden gedaan op een van de rechtsgrondslagen in artikel 8 van de Wbp. Het College bescherming persoonsgegevens houdt toezicht op de naleving van de Wbp.

Een meer voor de hand liggende manier om aan te tonen dat conform artikel 11.7a van de Telecommunicatiewet wordt gehandeld, is om het proces van het plaatsen en lezen van cookies softwarematig zo in te richten dat dit niet kan gebeuren zonder toestemming van de gebruiker. Deze bewijsmethode is minder privacygevoelig en brengt ook minder administratieve lasten met zich mee voor de plaatser/lezer van cookies.

ACM heeft aangegeven dat partijen ook kunnen bewijzen conform de wet te hebben gehandeld door een beschrijving van hun proces te overleggen waaruit blijkt dat geen cookies geplaatst kunnen worden zonder toestemming van de gebruiker. Om ook tot vijf jaar later op verzoek van ACM te kunnen aantonen dat het proces van het plaatsen en lezen van cookies al die tijd zo is ingericht dat geen cookies worden geplaatst of gelezen zonder toestemming van gebruikers, kan de plaatser/lezer van cookies een log bijhouden van eventuele softwarematige wijzigingen met betrekking tot het proces van het plaatsen en lezen van cookies en de tijdstippen waarop die zijn doorgevoerd. Het is dan niet nodig om een lijst bij te houden van de IP-adressen van gebruikers en de tijdstippen waarop zij toestemming hebben verleend. Artikel 11.7a van de Telecommunicatiewet en de toezichtspraktijk van ACM dwingen dus niet tot het bijhouden van een dergelijke lijst.

Het voorliggende wetsvoorstel brengt overigens geen verandering in deze situatie. Net als onder het thans geldende artikel 11.7a geldt na het van kracht worden van het wetsvoorstel dat toestemming moet zijn verkregen voor het plaatsen/lezen van een cookie en dat de plaatser/lezer gedurende vijf jaar vanaf de plaatsing/het lezen moeten kunnen bewijzen conform te wet te hebben gehandeld. Ook onder de voorgestelde bepaling kan dit worden bewezen door het proces van het plaatsen en lezen van cookies zo in te richten dat geen cookies worden geplaatst en gelezen zolang daar geen toestemming voor is gegeven. ACM is aangewezen als toezichthouder op de naleving van artikel 11.7a van de Telecommunicatiewet. Aangezien het bij de vraag, in welke vorm bewijs kan worden geleverd, niet gaat om interpretatie van begrippen die tevens in de Wet bescherming persoonsgegevens worden gebruikt, is raadpleging van het CBP op dit punt niet aan de orde.

De Minister van Economische Zaken, H.G.J. Kamp

---

1 «Veelgestelde vragen over de cookiebepaling», pagina 11, https://www.acm.nl/nl/download/publicatie/?id=12768