Het College bescherming persoonsgegevens (“Cbp”) heeft het Ministerie van Economische Zaken geadviseerd om het voorstel tot wijziging van de cookiewet op een aantal punten nader te verduidelijken. Ik meen dat het advies van het Cbp begrijpelijk is, en dat het advies grotendeels over moet worden genomen door de wetgever.
Het Cbp heeft het Ministerie per brief van advies voorzien over het concept wetsvoorstel tot aanpassing van de cookiewet. Het voorstel tot wijziging van de cookiewet ziet op het beperken van de reikwijdte van de cookiewet. De bedoeling is om de informatieplicht en het toestemmingsvereiste niet langer te laten gelden in het geval de cookies slechts geringe gevolgen hebben voor de persoonlijke levenssfeer. In de praktijk is dit wetsvoorstel van groot belang voor bijvoorbeeld analytische cookies als Google Analytics.
Het voorstel tot wijziging van de cookiewet is voortgekomen uit de ergernis over de effecten van de huidige wet. Die ergernis ziet er vooral op dat voor alle cookies, behalve voor technisch noodzakelijke en functionele cookies, toestemming moet worden verkregen. Dit betekent dat ook voor analytische cookies nog altijd toestemming moet worden verkregen.
Het advies van het Cbp is gedaan uit het oogpunt van de bescherming van de privacy. Uit de brief blijkt dat het Cbp in dat licht geen bezwaar heeft op het voorstel.
Wel blijkt dat het Cbp graag een verduidelijking ziet dat de voorgestelde uitzondering niet zal gelden in het geval van analytische cookies die dezelfde unieke identifier gebruiken op meerdere websites. Dat is wat mij betreft terecht: cookies die een unieke identifier hanteren en worden gebruikt op meerdere websites zijn volgens de wet tracking cookies: Daarmee kan het surfgedrag van gebruikers worden gevolgd, op basis waarvan interesseprofielen van gebruikers kunnen worden opgesteld. Dit kan nadelige gevolgen hebben voor de privacy van de gebruikers.
Vervolgens heeft het Cbp nog een aantal specifieke voorstellen/adviezen op onderdelen van het wetsvoorstel en de daarbij behorende Memorie van Toelichting. Ik haal er een aantal aan:
Voor wat betreft het informatievereiste doet het Cbp het voorstel om de informatie “op een direct zichtbare plek op de website” te tonen waarbij het taalgebruik aansluit bij de doelgroep van de website en Nederlandstalig moet zijn. Deze aanbeveling vind ik wat ver gaan en ik zie daar niet direct een juridische grondslag voor. In de praktijk is dit bovendien onwenselijk: Het zou betekenen dat een Engelstalige website, die zich op bezoekers uit Nederland richt, verplicht zou zijn om de cookiemelding in het Nederlands aan te bieden. Niet echt consistent, onlogisch, en ook wat overdreven. Dat het taalgebruik op bezoekers moet worden afgestemd: prima, maar dat betekent dan ook dat als de bezoekers Engels kunnen, de melding in het Engels mag. Overigens kan ik me wel vinden in de eis dat het verwijzen naar algemene voorwaarden, privacy statements volgens het Cbp onvoldoende is. Daarbij is het ook aan te raden om alle cookies en/of andere technieken te benoemen en toe te lichten. Onduidelijk is echter of daarmee wordt bedoeld dat alle cookies specifiek moet worden benoemd (“_umta”-cookie), of dat kan ook worden volstaan met het noemen van de categorie cookies (“Google Analytics”-cookie).
Ook onderstreeept het Cbp nog eens dat de cookiemuur is toegestaan, tenzij de bezoeker zo afhankelijk is van de via de website aangeboden diensten en informatie (zoals in het geval van uitoefenen van wettelijke rechten, zoals nummerbehoud) dat er geen sprake meer kan zijn van een ‘vrije’ wilsuiting. Toegang tot specifieke inhoud van een website kan wel worden verbonden aan de voorwaarde een cookie bewust te accepteren.
Daarnaast adviseert het Cbp om de toelichting over specifieke toestemming te verduidelijken en aan te vullen dat onder omstandigheden gediffertenieerde toestemming voor social media en advertenties geen best practice is, maar een vereiste kan zijn. Ik vind dit een terecht punt: soms wil je wel social media cookies toestaan, maar geen (andere) tracking cookies. Het is wijs om verschillende gradaties in toestemming mogelijk te maken.
Verder geeft het Cbp terecht aan dat de termen first party cookie en third party cookie niet duidelijk zijn gedefinieerd in de Memorie van Toelichting. De onduidelijkheid wordt met name veroorzaakt door het verschil in de technische en juridische benadering van “first party” en “third party” en het inconsequente gebruik van deze twee benaderingen in de toelichting. Om verwarring te voorkomen adviseert het Cbp om de juridische definitie consequent te hanteren (en dus dat onder “third party cookie” een cookie wordt verstaan dat is geplaatst door een andere voor het plaatsen/lezen verantwoordelijke dan die de door de gebruiker bezochte website exploiteert).
Daarnaast is het interessant om te lezen dat het Cbp ook in Europa heeft aangegeven dat het passend zou zijn als de Europese wetgever overweegt om een derde uitzondering toe te voegen, zoals nu ook in Nederland wordt voorgesteld. Zoals we al eerder hebben aangegeven, menen wij dat dit de enige mogelijke weg is om de cookiewet aan te passen zonder in strijd met Europees recht te handelen…
