Websitehouders mede-verantwoordelijk voor gebruik tracking cookies door advertentienetwerk
Onlangs heeft de artikel 29 Werkgroep een interessante opinie gegeven over de privacyrechtelijke aspecten van het gebruik van zogenaamde tracking cookies bij advertenties op websites. Een van de punten uit de opinie is dat ook websitehouders die dergelijke advertenties (automatisch) laten plaatsen door een externe aanbieder, verantwoordelijk worden gehouden voor dit cookiegebruik van deze derde. Ook op andere punten is de werkgroep zeer streng over cookies.
Met dank aan Mark Jansen, Dirkzwager advocaten.
Tracking cookies
Veel advertenties op websites worden daar niet geplaatst door de exploitant van die website zelf, maar door een advertentienetwerk. Het merendeel van deze advertentienetwerken maakt gebruik van zogenaamde tracking cookies. Dat wil kort samengevat zeggen dat bij het tonen van een advertentie uit het netwerk een cookie op de computer van de bezoeker wordt geplaatst. Op basis van deze cookie kan deze bezoeker eenvoudig worden geidentificeerd wanneer deze andere websites bezoekt waarvoor door hetzelfde advertentienetwerk de advertenties worden verzorgd.
Aanbieders advertentienetwerken verantwoordelijk voor gebruik tracking cookies
De praktijk laat zien dat er enkele hele grote advertentienetwerken zijn die de advertenties op vele websites wereldwijd verzorgen. Het zijn met name deze grote advertentienetwerken die na verloop van tijd een profiel kunnen opbouwen van de bezoekers aan die websites. Dankzij de tracking cookie wordt deze bezoeker namelijk op iedere website waarop hetzelfde netwerk de advertenties verzorgt door de betreffende aanbieder herkend. Door te kijken welke websites een bepaald persoon bezoekt, wordt al snel duidelijk in welke onderwerpen deze persoon is geinteresseerd. Met deze techniek bouwen deze aanbieders dus in korte tijd een uitgebreide verzameling van persoonsgegevens op. Voor deze verwerkingen van persoonsgegevens zijn deze advertentienetwerken verantwoordelijk. Dat betekent dat de verplichtingen uit de privacywetgeving op hen van toepassing zijn.
Websitehouder mede-verantwoordelijk voor gebruik tracking cookies
Niet alleen de aanbieders van deze advertentiediensten zijn echter verantwoordelijk voor deze verwerkingen van persoonsgegevens. Volgens de werkgroep draagt de houder van de website waarop deze reclame verschijnt hiervoor ook een gedeeltelijke verantwoordelijkheid. Hij kiest er immers bewust voor om ruimte op zijn website te reserveren voor advertenties die door een netwerk worden geplaatst.
Het praktische gevolg van deze mede-verantwoordelijkheid is dat deze websitehouder de bezoeker vooraf goed moet informeren dat er gebruik wordt gemaakt van een advertentienetwerk en welke consequenties op het gebied van privacy dit voor hem heeft (zoals het gebruik van tracking cookies door het advertentienetwerk). Die informatie mag volgens de werkgroep niet zijn weggestopt in algemene voorwaarden of privacy statements.
De aanbieder van het advertentienetwerk houdt overigens zijn eigen verantwoordelijkheden om de gebruiker zelfstandig te informeren. Volgens de werkgroep zou het echter logisch zijn wanneer die informatie van het advertentienetwerk te vinden is op de website die gebruik maakt van deze diensten. De websitehouder zou dus ruimte moeten reserveren op zijn website om zo het advertentienetwerk in staat te stellen tegemoet te komen aan zijn informatieverplichtingen.
Toestemming plaatsen cookie vereist
Een ander opvallend punt is dat de artikel 29 Werkgroep de algemene regels over cookies, zoals deze zullen luiden na de eerstvolgende wijziging , zeer streng interpreteert.
Na de aanstaande wijziging van de cookieregels moet vooraf de toestemming moet worden verkregen van de websitebezoeker voor het plaatsen van een cookie. Dat is althans de tekst van de richtlijn. Die richtlijn moet omgezet worden naar nationaal recht. Dan pas zal blijken of die soep daadwerkelijk zo heet gegeten wordt. Over hoe de Nederlandse regels er ter zake uit zouden moeten komen te zien is op dit moment namelijk nog veel discussie.
De Artikel 29 Werkgroep interrepteert de eis uit de nieuwe richtlijn echter zo dat voor het plaatsen van iedere cookie er duidelijke informatie moet worden gegeven en toestemming moet worden gevraagd. Volgens de werkgroep hoeft geen afzonderlijke toestemming voor zowel het plaatsen al het vervolgens weer uitlezen van het cookie te worden verkregen. Wel moet een eenmaal gegeven toestemming volgens de werkgroep (1) beperkt in tijd zijn, (2) periodiek worden herzien en (3) altijd kunnen worden ingetrokken.
Gebruik van standaardinstellingen browser niet voldoende
Volgens de Artikel 29 Werkgroep mag er daarbij bovendien niet van uit worden gegaan dat wie op basis van zijn computerinstellingen cookies accepteert, daarmee toestemming heeft gegeven voor het plaatsen van cookies. De meeste computers hebben dit namelijk standaard zo ingesteld. Volgens de Artikel 29 Werkgroep mag hier niet uit worden afgeleid dat de betrokkene daadwerkelijk zijn toestemming voor het plaatsen van die cookies heeft gegeven. Ze geeft hiervoor drie redenen: (1) uit passief handelen kan nooit een actieve toestemming worden afgeleid, (2) toestemming geven via de computerinstellingen is niet zaligmakend nu sommige cookies zich van die instellingen niets aantrekken en (3) algemene toestemming via de computerinstelling kan nooit op alle specifieke geplaatste cookies zien.
Geen advertenties met tracking cookies op websites gericht op kinderen
De werkgroep overweegt verder dat kinderen jonger dan 16 jaar de vereiste toestemming nog niet mogen geven. Deze toestemming moet volgens de wet afkomstig zijn van hun ouders. Dat betekent dat ook de informatievoorziening op de ouders moet zijn gericht.
Mede gezien de kwetsbaarheid van kinderen stelt de werkgroep in het algemeen dat reclame met tracking cookies specifiek gericht op kinderen niet zou moeten plaatsvinden.
Geen tracking cookies op websites over gezondheid, politiek, etc.
Een ander opvallend punt is het volgende. De artikel 29 Werkgroep wijst er op dat het verwerken van zogenaamde “bijzondere persoonsgegevens” alleen is toegestaan met de uitdrukkelijke toestemming van de betrokkene. Bijzondere persoonsgegevens zijn alle gegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven en de persoonsgegevens betreffende het lidmaatschap van een vakvereniging (zie ook artikel 16 WBP). Die gevoelige gegevens mogen niet worden verwerkt zonder uitdrukkelijke toestemming. Tot zover niets nieuws.
De conclusie die de werkgroep hieraan in het kader van tracking cookies verbindt is wel opvallend. De aanbieder van advertentiediensten bouwt dankzij de tracking cookies een profiel van de bezoekers op (zie hiervoor). Wanneer deze aanbieder ook websites van bijvoorbeeld medicijnfabrikanten van advertenties voorziet, kan dit betekenen dat in de profielen na verloop van tijd bijzondere persoonsgegevens staan opgenomen. Uit de tracking cookies kan immers blijken dat een bepaalde persoon regelmatig informatie over een bepaalde ziekte of een bepaald medicijn heeft opgezocht.
Die informatie is te kwalificeren als een bijzonder persoonsgegeven. Dit betekent dat alle websites waarbij uit het enkele feit dat iemand die website bezoekt al een bijzonder persoonsgegeven zou kunnen worden afgeleid, dus voortaan alleen nog advertenties met tracking cookies mogen plaatsen wanneer zij hiervoor vooraf de uitdrukkelijke toestemming aan de websitebezoeker vragen. Dit zal vermoedelijk de doodsteek van dergelijke advertenties op dergelijke websites zijn.
Slotopmerking
De artikel 29 Werkgroep heeft een duidelijke visie op het gebruik van tracking cookies gegeven. Deze visie is streng te noemen. De praktijk zal moeten laten zien in hoeverre deze strenge visie, na de wetswijziging, door de nationale privacytoezichthouders daadwerkelijk gehandhaafd zal worden. Bovendien moet niet vergeten worden dat deze visie geschreven is in het kader van wetgeving die nog in werking moet treden (uiterlijk 25 mei 2011). Mogelijk dat zich in de tussentijd nog nadere ontwikkelingen voordoen.
Dit bericht is oorspronkelijk verschenen op https://dirkzwagerieit.nl/2010/07/01/websitehouders-mede-verantwoordelijk-voor-gebruik-tracking-cookies-door-advertentienetwerk/
