In een brief aan de Tweede Kamer heeft Minister Kamp van Economische Zaken laten weten met OPTA te overleggen over versoepeling van de cookiewet.
Dit naar aanleiding van het algemeen overleg van 21 november 2012 met de Vast commissie voor Economische Zaken, waarbij is gesproken over de praktische gevolgen van de cookiewet. Daarbij werd voorgesteld om first party analytische cookies ook onder de uitzonderingen van de cookiewet te laten vallen, althans t.a.v. het toestemmingsvereiste. First party analytische cookies zijn cookies die uitsluitend gegevens over het gebruik van de eigen website verzamelen, ten behoeve van het verbeteren van de werking van die website.
Een goed idee, want first party analytic cookies zijn niet tot nauwelijks privacygevoelig. In juni van dit jaar constateerde de Europese Artikel 29 Werkgroep dat al. Minister Kamp erkent dit nu ook, mits er wordt voldaan een bepaalde voorwaarden:
- het moeten dus cookies betreffen die uitsluitend worden gebruikt om gegevens over het gebruik van de eigen website te verzamelen, ten behoeve van het verbeteren van de werking van de site;
- het moet een geanonimiseerde gegevensverzameling betreffen;
- de gegevens mogen niet gedeeld worden met derde partijen;
- de cookies mogen geen negatieve gevolgen voor de privacy van de gebruiker hebben;
De Minister zal nog in overleg treden met de OPTA om deze voorwaarden verder uit te werken. Als aan die voorwaarden wordt voldaan, dan zal geen toestemming vereist zijn. Overigens dient de websitehouder dan nog altijd wel de gebruiker te informeren over het gebruik van deze cookies in haar cookiebeleid. De versoepelde voorwaarden zullen worden gepubliceerd op de website van de OPTA.
Update: geldt dit nu ook voor Google Analytics?
Vooralsnog niet. De artikel 29 Werkgroep stelt dat onder first party cookies het volgende moet worden begrepen:
““first party cookie” will be used to refer to a cookie set by the data controller (or any of its processors) operating the website visited by the user, as defined by the URL that is usually displayed in the browser address bar.”
Oftewel: alleen cookies die de websitehouder zelf plaatst, of anderen in opdracht van de websitehouder. In dat laatste geval moet er wel sprake zijn van een bewerkersovereenkomst.
““third party cookie” to describe cookies that are set by data controllers that do not operate the website currently visited by the user”
Oftewel: andere verwantwoordelijken, die zelf ook doelen/middelen vaststellen voor de verwerking van de gegevens, en/of die via een ander domein dan de website cookies plaatsen, zijn third parties.
Tenzij je afspreekt met Google dat zij de gegevens alleen voor jou mogen verzamelen, zal Google Analytics dus third party cookies betreffen. Google zet de verzamelde gegevens immers ook in voor haar andere diensten en kan daardoor niet vallen onder de definitie van “first party” cookies. Stel nu dat je toch zou kunnen afspreken met Google dat ze de gegevens niet voor haar eigen diensten mag gebruiken en alleen voor jouw website? Dan kan er wellicht wel sprake zijn van “first party” cookies, maar ook dan zou je toestemming nodig hebben: De “voorwaarden van Kamp” -stellen dat je de gegevens niet mag delen met anderen, dus ook niet met Google zelf (ook al is dat alleen voor jouw eigen site).
