De Artikel 29 werkgroep, het overlegorgaan van de Europese privacytoezichthouders, publiceerde deze week haar opinie over online behavioural targeting en cookies. De werkgroep gaat uitvoerig in op het toestemmingsvereiste voor het plaatsen van cookies.
De nieuwe e-Privacyrichtlijn verplicht advertentienetwerken om vooraf toestemming te vragen voor het plaatsen van cookies. Er geldt een opt-in regime en bovendien moeten gebruikers vooraf worden voorzien van duidelijke en volledige informatie over onder meer de doeleinden van de gegevensverwerking met het cookie. Aan dit informatievereiste wordt niet voldaan door een enkele vermelding van het gebruik van cookies in een privacy statement of in algemene voorwaarden.
Volgens de Artikel 29 werkgroep kan de toestemming in beginsel niet worden verkregen via browserinstellingen. Dit zou anders kunnen zijn wanneer de browser standaard in gesteld staat om alle cookies te weigeren en een gebruiker er vervolgens voor kiest om deze instellingen in een specifiek geval te wijzigen zodat cookies toegestaan worden, mits de gebruiker vooraf is geïnformeerd over de specifieke gegevensverwerking.
Een browser die echter staat ingesteld om in alle gevallen cookies te accepteren voldoet niet aan het toestemmings- en informatievereiste voor het plaatsen van een specifieke cookie.
Toestemming door browserinstellingen lijkt hiermee in veel gevallen niet mogelijk. Desalniettemin roept de werkgroep advertentienetwerken op samen te werken met browserfabrikanten. De standaardinstellingen zouden moeten worden aangepast en ook onderschrijft de werkgroep het belang van een privacy-wizzard die een gebruiker bij het eerste gebruik van een browser zou moeten doorlopen. Dit sluit aan bij een eerder advies van de Europese privacy toezichthouder EDPS.
Verder maakt de werkgroep duidelijk dat wanneer een cookie met toestemming is geplaatst, er niet iedere keer nadere toestemming hoeft te worden gevraagd voor het uitlezen en gebruik van het cookie. In beginsel geldt de verleende toestemming voor al het verdere gebruik van het cookie, mits dit gebruik van beperkte duur is, de toestemming eenvoudig kan worden ingetrokken en het duidelijk zichtbaar is wanneer het cookie gebruik wordt.
Overigens moet de nieuwe e-Privacyrichtlijn in mei 2011 zijn geïmplementeerd in de Nederlandse wetgeving. Hiertoe heeft het Ministerie van Economische Zaken op 15 april 2010 een conceptwetsvoorstel gepubliceerd waarin werd vereist dat gebruikers om ondubbelzinnige toestemming worden gevraagd. De Nederlandse wetgever week hiermee af van de e-Privacyrichtlijn die slechts gewone toestemming vereist. Echter, deze week vertelde een beleidsadviseur van Economische Zaken tijdens een seminar in Den Haag dat het woord ‘ondubbelzinnig’ in het nieuwe conceptwetsvoorstel zal worden verwijderd. Het is echter de vraag of dit gezien moet worden als een versoepeling van het toestemmingsvereiste, met name gelet op de invulling die aan de ‘gewone toestemming’ is gegeven door de Artikel 29 werkgroep.
Al met al blijft het de vraag hoe advertentienetwerken in de praktijk op een effectieve manier vorm kunnen geven aan het toestemmings- en informatievereiste. Het is niet voor niets dat de werkgroep de advertentienetwerken en webdesigners oproept om creatieve oplossingen te bedenken.