Nieuwe wetgeving cookiebepaling
Elbert Jan | 03 maart 2017
Elbert Jan | 03 maart 2017
Door Elbert Jan Woudstra | 3 maart 2017
We komen er allemaal mee in aanraking: de cookiewet. Of eigenlijk, getuige de vele cookiemeldingen voor Nederlandse gebruikers, de gevolgen ervan. Gezien de directe impact bij zowel website eigenaren als bezoekers, heeft de cookiewet in zijn korte bestaan al veel stof doen opwaaien. In dit artikel staan we stil bij het ontstaan van de wet en kijken we hoe de toekomst er voor deze wet uitziet.
De cookiewet of cookiebepaling is eigenlijk geen aparte wet, maar een wijziging van de Telecommunicatiewet (Tw). Specifiek gaat het dan om een deel van deze wet, artikel 11.7a om precies te zijn. Met deze wijziging werd beoogd de gebruiker meer controle te geven over welke cookies op zijn of haar apparatuur worden opgeslagen of uitgelezen.
De bepaling was eerst geregeld in artikel 4.1 van het Besluit universele dienstverlening en eindgebruikersbelangen (BUDE). Dit artikel is op 5 juni 2012 komen te vervallen, omdat het vanaf dat moment was opgenomen in het bovengenoemde artikel 11.7a Tw. Toen werd de lat wel hoger gelegd wat het vragen van toestemming betreft, een gevolg van het invoeren van de Europese ePrivacy Richtlijn 2009/136/EC (een amendement op de Europese ePrivacy Richtlijn 2002/58/EC) in heel Europa.
In de Telecommunicatiewet wordt verwezen naar de Wet Bescherming Persoonsgegevens, wat maakt dat deze ook met betrekking tot cookies relevant is in het geval deze worden gebruikt om persoonsgegevens te verwerken. Dit betekent dat gebruikers vóóraf helder en volledig moet worden geïnformeerd over het gebruik van cookies.
Alleen informeren, zoals in artikel 4.1 BUDE, was niet meer voldoende, want er moest vanaf dat moment toestemming worden verkregen via een vrije, specifieke en op informatie berustende wilsuiting. De eerder aangehaalde ePrivacy Richtlijn is in elk EU-land omgezet in nationale wetgeving, waarbij landen mochten afwijken van de letterlijke teksten. Hoewel dat in de meeste landen ook is gedaan, is men met name in Nederland via artikel 11.7a Tw verder gegaan op het gebied van bewijslast (de website eigenaren moeten aantonen dat deze geen privacygevoelige informatie verzamelen) en toestemming (een strengere formulering).
Vanaf de start zorgde de cookiewet voor irritaties. Op 3 februari 2015 is daarom een, door Minister Kamp van Economische Zaken (EZ) ingediend, wetsvoorstel aangenomen in de Eerste Kamer om de cookiewet te versoepelen. Concreet betekende dit dat er per 11 maart 2015 een uitzondering op de informatieplicht en het toestemmingsvereiste in artikel 11.7a Tw werd geïntroduceerd en de nieuwe regels in werking traden.
Voor het opslaan en uitlezen van cookies die zijn benodigd om meer informatie te verkrijgen over de kwaliteit of effectiviteit van een website of dienst, en die geringe gevolgen hebben voor de privacy van de gebruiker, was het vanaf dan niet meer nodig toestemming te vragen. Denk hierbij aan cookies t.b.v. analytics (statistieken), affiliates (advertenties) en a/b-testing (testen verschillende website versies). Verder is er een nieuw vijfde lid aan de bepaling toegevoegd die het gebruik van zogenaamde cookiewalls bij overheidswebsites verbiedt.
De Autoriteit Consument en Markt (ACM), welke toezicht houdt op naleving van de cookiewet, heeft inmiddels meerdere websites gewaarschuwd dat ze de cookiewet overtraden. Zo was er de zogenaamde “dreigbrief” van de ACM aan GeenStijl en kreeg de NPO een boete van €25.000 wegens het ontbreken van cookiemeldingen op hun websites. Verder heeft de Autoriteit Persoonsgegevens (welke gaat over privacy schending door cookies) vorig jaar de websites van ziekenhuizen onderzocht en zijn meer recent de verschillende stemhulpen in het nieuws gekomen naar aanleiding van optreden door zowel de ACM als de AP.
Eind 2016 kwam uit onderzoek van het Adviescollege toetsing regeldruk (Actal) naar voren dat de huidige cookiebepaling niet effectief is en disproportioneel hoge regeldruk geeft, zowel voor website eigenaren als bezoekers. Men pleit voor het geven van toestemming t.b.v. het plaatsen van cookies via de browserinstellingen, zoals nu al in een aantal Europese landen wordt gedaan. In een brief aan Minister Kamp adviseert Actal de minister van Economische Zaken om op Europees niveau aan te sturen op een effectievere en minder belastende oplossing. De organisatie Bits of Freedom vindt het advies van Actal te ver gaan, maar erkent dat de huidige situatie beter kan.
In januari dit jaar kwam naar voren dat de Europese Commissie de cookiewet flink wil veranderen en aanstuurt op het in één keer accepteren of weigeren van privacygevoelige cookies. In een wetsvoorstel van eurocommissarissen Andrus Ansip (Digitale interne markt) en Vêra Jourvá (Justitie) wordt een heel pakket aan maatregelen genoemd, waaronder nieuwe regels voor het beter bewaken van privacy-instellingen en het gemakkelijker maken om permanente cookies en andere middelen om persoonsgegevens te verzamelen, te accepteren of te weigeren.
Het voorstel moet nog worden goedgekeurd door het Europees Parlement en de EU-lidstaten, maar het kan flinke gevolgen hebben voor bedrijven die geld verdienen aan de verkoop van persoonlijke advertenties. Als gebruikers straks meer privacygevoelige cookies gaan blokkeren, kunnen websites minder geld vragen voor advertenties.
Al in november 2016 schreef het IAB een open brief aan de Europese Commissie waarin zorgen over de voorgenomen herzieningen van de ePrivacy Richtlijn worden geuit. Om bedrijven hierin tegemoet te komen, is het onder de nieuwe wetgeving toegestaan te controleren of een bezoeker van een website gebruik maakt van een adblocker. In dat geval kan dan worden verzocht de adblocker uit te schakelen of kan men de gebruiker zelfs helemaal weren van de website.
De Europese Commissie riep het Europees Parlement en de Raad op om de voorstellen zo snel mogelijk te behandelen, zodat deze kunnen worden goedgekeurd vóór 25 mei 2018. Dat is de dag waarop de nieuwe databeschermingsregels in heel Europa van kracht worden. In het slechtste geval kan het proces van goedkeuring nog jaren duren en hebben we het tot die tijd te doen met de huidige wetgeving.
