| Ingediend | 8 juli 2019 |
|---|---|
| Beantwoord | 10 september 2019 (na 64 dagen) |
| Indieners | Tobias van Gent (VVD), Jan Middendorp (VVD) |
| Beantwoord door | Sander Dekker (minister zonder portefeuille justitie en veiligheid) (VVD) |
| Onderwerpen | economie ict openbare orde en veiligheid organisatie en beleid |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2019Z14780.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20182019-3905.html |
Ja.
Ja ik ben bekend met de uitspraak van de Autoriteit Persoonsgegevens (AP). Door middel van tracking cookies (volgsoftware) kunnen bedrijven het internetgedrag van mensen volgen. Persoonlijke interesses kunnen zo worden afgeleid om vervolgens profielen van deze mensen samen te stellen en gericht te kunnen adverteren. Op grond van artikel 11.7a Telecommunicatiewet (Tw) is voor het gebruik van tracking cookies toestemming van de gebruiker vereist. Nu in artikel 11.7a van de Tw verwezen wordt naar de AVG is het begrip toestemming in de Tw gelijk aan het begrip toestemming zoals dat gedefinieerd is in de AVG. Dit betekent onder meer dat de toestemming vrijelijk moet zijn gegeven en moet voldoen aan de eisen van artikel 7 van de AVG. Artikel 7, vierde lid, van de AVG bepaalt dat bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven onder meer ten sterkste rekening moet worden gehouden met de vraag of voor de uitvoering van een overeenkomst (…) toestemming is vereist voor een verwerking van persoonsgegevens die niet noodzakelijk zijn voor de uitvoering van de overeenkomst. AP komt op grond van deze bepaling tot het oordeel dat er bij gebruik van cookiewalls geen sprake is van vrijelijk gegeven toestemming en dat cookiewalls derhalve niet zijn toegestaan.
Zie voorts mijn antwoord op vraag 4.
De zogenoemde cookiepaling is onderdeel van de Europese ePrivacy richtlijn 2002/58, die in Nederland in artikel 11.7a van de Tw is geïmplementeerd. In deze Europese richtlijn wordt geregeld wie onder welke voorwaarden gegevens van een ander mag verwerken die op diens eindapparatuur staan.
Ook in andere landen is men bezig met normuitleg over het gebruik van (tracking)cookies. In Frankrijk heeft CNIL, de Franse toezichthouder, onlangs richtlijnen vastgesteld over het gebruik van cookies/cookiewalls en het geven van toestemming. Daarin stelt CNIL dat het gebruik van een cookiewall in strijd is met de AVG omdat er dan geen sprake is van een vrijelijk verleende toestemming (artikel 2 Richtlijnen). Deze richtlijnen zijn alleen in het Frans beschikbaar.2 Ook de Engelse toezichthouder, ICO, heeft onderzoek gedaan naar het gebruik van (tracking)cookies, en dan met name in de context van «real-time bidding». Over cookiewalls stelt de ICO dat een cookiewall «is unlikely to represent valid consent», maar dat er ook andere overwegingen zijn, en wijst op het recht van vrijheid van ondernemerschap.3 Verder staat het onderwerp op de agenda van Technology Expert Subgroup van de European Data Protection Board (EDPB).
Ik beschik verder niet over een overzicht waarin het beleid of uitleg van andere Europese landen ten aanzien van tracking cookies en cookiewalls wordt weergegeven.
Voor het overige heeft de AP mij laten weten dat zij binnen de European Data Protection Board nauw samenwerkt met haar Europese collega-toezichthouders, onder meer om te komen tot gemeenschappelijke guidelines over de toepassing/uitleg van AVG-normen. Bij het bepalen van haar standpunt over cookiewalls, heeft de AP zich mede gebaseerd op de gemeenschappelijke EDPB guidelines over toestemming (Guidelines on Consent under Regulation 2016/679 (wp259rev.01)).
Ik wil vooropstellen dat het hier gaat om de bescherming van een grondrecht. Daarnaast is privacy belangrijk voor het goed functioneren van de elektronische communicatiemarkt. Als gebruikers van elektronische communicatiediensten er niet op kunnen vertrouwen dat hun privacy gewaarborgd is, zal dit het gebruik van deze diensten – met of zonder cookiewalls – aanzienlijk beperken. In die zin moeten bedrijven met businessmodellen waarbij de gebruikers twijfels hebben over hun privacybescherming, zich afvragen of ze voldoende aansluiten op de wensen en behoeftes van hun klanten.
Een cookiewall – in een competitief landschap – heeft tot gevolg dat een website of dienst alleen toegankelijk is op voorwaarde dat de gebruikers de cookies accepteren. Het is dan inderdaad de vraag of eindgebruikers hebben in dat geval een vrije keuze hebben. Daarom pleit Nederland in lijn met de motie Verhoeven voor een verbod op deze zogenoemde cookiewalls.4 Ik ben er van overtuigd dat de huidige (Europese) wettelijke kaders voldoende ruimte bieden om innovatie binnen het bedrijfsleven en een goede privacybescherming hand in hand te laten gaan.
Op grond van artikel 11.7a, lid 1, Tw is het alleen toegestaan om cookies te plaatsen indien de gebruiker is voorzien van duidelijke en volledige informatie. Deze informatie moet in ieder geval weergeven welke informatie wordt verzameld en voor welke doeleinden deze informatie wordt gebruikt. De memorie van toelichting bij dit artikel voegt hieraan toe dat de informatie gemakkelijk te vinden moet zijn en in begrijpelijke bewoordingen gegeven.5 Als deze informatie in algemene voorwaarden wordt opgenomen is niet voldaan aan voornoemde eis om de gebruiker duidelijk te informeren.
Voor het plaatsen en lezen van cookies, met uitzondering van functionele cookies en niet-privacygevoelige analytische cookies, dient, zoals al eerder aangegeven, toestemming te worden verkregen. Het moet hier gaan om vrijelijk verleende toestemming. Rechtsgeldige toestemming voor het gebruik van cookies moet blijken uit een daar toe strekkende handeling van de eindgebruiker (klikken op een «ja» knop of verder surfen na de mededeling dat cookies zullen worden geplaatst)Toestemming kan dus niet worden verkregen via algemene voorwaarden.6
De voornoemde verplichtingen gelden niet alleen voor Nederlandse websites, maar voor een ieder die gegevens plaatst op of uitleest die zijn opgeslagen in de randapparatuur van een gebruiker. Het maakt daarbij niet uit waar deze partij gevestigd is. Bepalend is dat deze norm tot doel heeft gebruikers in Nederland te beschermen. De informatieplicht en het toestemmingsvereiste gelden derhalve voor zowel Nederlandse websites als voor internationale bedrijven die zich (mede) op Nederlandse gebruikers richten. Dat laatste kan bijvoorbeeld worden afgeleid uit de aard van de aangeboden informatie, de mogelijkheid om producten in Nederland te laten bezorgen of uit de omstandigheid dat een website in de Nederlandse taal wordt aangeboden. Hierbij is het domein van de website (.nl/.eu/.com/.net/etc.) niet doorslaggevend.
Ik ben dan ook van oordeel dat Nederlandse mediabedrijven op dit punt geen achterstand hebben op internationale bedrijven.
Zie antwoord vraag 5.
De bepalingen in de Tw vormen een omzetting van de Europese ePrivacy richtlijn, richtlijn nr. 2002/58. De ePrivacyrichtlijn en daarmee de Tw is een lex specialis ten opzichte van de AVG. Dit betekent dat voor zover de regels van de Tw en de AVG samenlopen de regels van de Tw voorgaan op die van de AVG. Bij het gebruik van cookies gaat het daarbij vooral om de verwerkingsgrondslagen. Op basis van de Tw mogen gegevens die via cookies zijn verkregen alleen worden verwerkt als deze verwerking nodig is voor de levering van een door de eindgebruiker gevraagde dienst of als de eindgebruiker toestemming heeft verleend.
Het begrip toestemming in de Tw is, zoals al gezegd, hetzelfde als het begrip toestemming in de AVG. Daarom zijn, zoals ook al bij het antwoord op vraag 2 is aangegeven, de eisen die de AVG stelt aan rechtsgeldige toestemming ook van toepassing bij toestemming in het kader van cookies.
Momenteel worden onderhandelingen gevoerd over een nieuwe Europese ePrivacyverordening die de huidige richtlijn zal vervangen. Het Europees parlement heeft aangegeven een expliciet verbod op cookiewalls te willen opnemen in de nieuwe ePrivacyverordening. De Raad van de Europese Unie heeft nog geen standpunt ingenomen. In lijn met de motie Verhoeven pleit Nederland in de Raad voor een verbod op deze zogenoemde cookiewalls. Met een dergelijk verbod zou -los van de interpretatie van artikel 7, vierde lid, van de AVG, onomstreden duidelijk worden bepaald dat cookiewalls niet zijn toegestaan. Zo wordt voorkomen dat er tussen de lidstaten interpretatieverschillen optreden. Hoewel de onderhandelingen in de Raad over de ePrivacyverordening nog steeds niet zijn afgerond is al wel duidelijk dat er weinig steun is voor een verbod op cookiewalls. Uiteindelijk zal veel afhangen van de onderhandelingen met het Europese parlement.
Hierbij deel ik u mede dat de schriftelijke vragen van de leden Middendorp en van Gent (beiden VVD) van uw Kamer aan de Minister voor Rechtsbescherming over het bericht Websites overtreden massaal cookiewallverbod (ingezonden 8 juli 2019) niet binnen de gebruikelijke termijn kunnen worden beantwoord, aangezien nog niet alle benodigde informatie is ontvangen. Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.