Ontvangen 21 juni 2011
De ondergetekenden stellen het volgende amendement voor:
In artikel I, onderdeel AV, wordt artikel 11.7a als volgt gewijzigd:
1. In het eerste lid komt de aanhef te luiden: Onverminderd de Wet bescherming persoonsgegevens dient een ieder die door middel van elektronische communicatienetwerken toegang wenst te verkrijgen tot gegevens die zijn opgeslagen in de randapparatuur van een gebruiker dan wel gegevens wenst op te slaan in de randapparatuur van de gebruiker:.
2. Aan het eerste lid wordt een volzin toegevoegd, luidende: Een handeling als bedoeld in de aanhef, die tot doel heeft gegevens over het gebruik van verschillende diensten van de informatiemaatschappij door de gebruiker of de abonnee te verzamelen, combineren of analyseren voor commerciële, charitatieve of ideële doeleinden, wordt vermoed een verwerking van persoonsgegevens te zijn, als bedoeld in artikel 1, onderdeel b, van de Wet bescherming persoonsgegevens.
Dit amendement voegt aan artikel 11.7a van de Telecommunicatiewet (Tw) toe, dat dit artikel geldt «onverminderd de Wet bescherming persoonsgegevens» (Wbp). Dit verduidelijkt dat artikel 11.7a Tw niets afdoet aan de werking van de Wbp.
Artikel 5, derde lid, van de Universeledienstrichtlijn en artikel 11.7a Tw schrijven voor dat bij het lezen of plaatsen van alle soorten gegevens, waaronder alle soorten cookies (zowel «first party» als «third party» cookies) op de randapparatuur van een gebruiker, voorafgaande «toestemming» van de gebruiker vereist is, en dat voorafgaand aan die toestemming duidelijke en volledige informatie moet worden verstrekt. In artikel 11.1, onderdeel g, Tw staat dat onder «toestemming» in de Telecommunicatiewet moet worden verstaan «toestemming» als bedoeld in artikel 1, onderdeel i, Wbp. Dit betekent dat er bij het plaatsen van alle soorten cookies (met uitzondering van de cookies bedoeld in het derde lid van 11.7a Tw) in ieder geval sprake moet zijn van een «vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt» dat er cookies worden geplaatst op en gelezen van zijn computer. De minister heeft in het debat op 18 juni 2011 uitgelegd dat ten aanzien van browsers geldt dat de huidige browsers, die vaak standaard zo zijn ingesteld dat zij alle cookies accepteren, niet geschikt zijn om toestemming te verlenen. Dit kan natuurlijk veranderen als nieuwe of vernieuwende browsers de mogelijkheid bieden om specifiek aan te geven welk soort cookies de gebruiker wil accepteren, maar op dit moment is dat niet zo. Daarmee voldoen de huidige browserinstellingen niet aan de toestemmingseis die nu in artikel 11.7a Tw (dat via artikel 11.1, onderdeel g, Tw verwijst naar de definitie in de Wbp) aan het mogen plaatsen of lezen van cookies wordt gesteld. De indieners onderstrepen deze conclusie.
Dit amendement heeft tot doel dat de betrokken gebruiker van openbare elektronische communicatiediensten, zoals internet en telefonie, te allen tijde controle heeft en houdt over zijn of haar eigen gegevens. Dat cookies gebruikt kunnen worden om persoonsgegevens te verzamelen wordt benadrukt in brieven van het CBP aan de Tweede Kamer en in onderzoek van het Instituut voor Informatierecht (Zuiderveen Borgesius, 2011). Wanneer door middel van het gebruik van cookies persoonsgegevens worden verwerkt, met name bijvoorbeeld door het gebruik van «third party» cookies voor «behavioral advertising», dient de gebruiker zelf een expliciete keuze te maken. In dat geval is de Wbp onverminderd van toepassing. Los van het toestemmingsvereiste voor het plaatsen en lezen van cookies in artikel 11.7a Tw moet altijd ook nog aan de vereisten in de Wbp worden voldaan indien er bij of door middel van het plaatsen of lezen van cookies persoonsgegevens worden verwerkt. Dit betekent dat in die gevallen op grond van artikel 8 Wbp «ondubbelzinnige» toestemming vereist is, en bij de verwerking van bijzondere persoonsgegevens op grond van artikel 23 Wbp «uitdrukkelijke» toestemming – ook als deze persoonsgegevens via cookies worden verwerkt. Artikel 11.7a Tw doet daar niets aan af. De benadrukking daarvan in het amendement voorkomt dat de indruk ontstaat dat met het verkrijgen van toestemming voor het plaatsen of lezen van een cookie op grond van artikel 11.7a Tw ook een grond voor verwerking van de met deze cookie verzamelde persoonsgegevens in de zin van de Wbp ontstaat. Dat is uitdrukkelijk niet het geval.
Het tweede lid van dit amendement regelt dat voor het plaatsen of uitlezen van gegevens in de randapparatuur van de gebruiker die tot doel heeft het gebruik van verschillende diensten van de informatiemaatschappij te verzamelen, combineren of analyseren, altijd datzelfde regime gaat gelden. Ook wanneer niet kan worden bewezen dat in de strikte zin van het woord persoonsgegevens worden verzameld of verwerkt, worden de bedoelde handelingen aangemerkt als het verzamelen of verwerken van persoonsgegevens. Daarmee gaat voor deze categorie handelingen, waarvan het plaatsen en uitlezen van zogeheten tracking cookies de meest bekende is, het strengere regime van de Wbp gelden. Dat wil zeggen dat de gebruiker een ondubbelzinnige toestemming moet verstrekken.
De indieners benadrukken dat dit geenszins tot gevolg heeft dat de gebruiker elke keer als een cookie wordt geplaatst of uitgelezen zijn toestemming daarvoor moet verlenen. De bepalingen in de Wbp gaan er vanuit dat degene die persoonsgegevens verzamelt of verwerkt de toestemming verkregen moet hebben van de persoon waarvan de gegevens verzameld of verwerkt worden. De aanbieder moet dat kunnen aantonen. Dat geldt met dit amendement ook voor de tracking cookies die onder dit regime komen te vallen. De aanbieder moet kunnen aantonen dat de gebruiker toestemming heeft verleend voor het plaatsen en uitlezen van de betreffende cookies door de aanbieder. De toestemming hoeft slechts eenmalig verkregen te worden en dus niet bij elke handeling opnieuw. De aanbieder kan die toestemming zelfstandig verkrijgen van de gebruiker, maar ook collectief. Dat laatste vergt voor de gebruiker slechts een enkele handeling, waarna ongestoord gebruik kan worden gemaakt van het internet en andere diensten. Het is aan de sector zelf om dit slim te organiseren. Essentieel is dat de toestemming ondubbelzinnig is, zoals bedoeld in de Wet bescherming persoonsgegevens.
Van Bemmel
Van Dam