Dat de nieuwe cookiewet nog steeds voor veel onduidelijkheid zorgt, blijkt wel uit de vele vormen waarin websites proberen te voldoen aan deze nieuwe regels. En dat gebeurt lang niet altijd goed. Zo kwam ik gisteren een website tegen waarop wel heel netjes de moeite werd genomen om de gebruiker te wijzen op welke cookies voor welke doeleinden worden gebruikt, maar werd er geen toestemming gevraagd. Sterker nog: er werd van uit gegaan dat de gebruiker akkoord zou zijn met het plaatsen van cookies, door de website verder te gebruiken. In juridische kringen staat deze vorm van toestemming ook wel bekend als “implied consent”: toestemming wordt verondersteld.
Dat is echter niet voldoende: de nieuwe cookieregels vragen – in de meeste gevallen – om ondubbelzinnige toestemming. Sowieso zal de toestemming een (i) vrije, (ii) specifieke en (iii) op informatie berustende wilsuiting moeten betreffen.
Dat de toestemming “vrij” moet zijn gegeven, betekent dat de gebruiker in vrijheid zijn wil met betrekking tot het plaatsen en/of uitlezen van cookies moet hebben kunnen uiten, en die wil ook daadwerkelijk moet zijn geuit. Er mag bijvoorbeeld geen sprake zijn van het geven van toestemming onder druk (denk aan een verplichte opslag van cookies door een mogelijk nieuwe werkgever – in dat geval handel je onder druk van de wens om aangenomen te worden).
De toestemming moet ook specifiek zijn. Dat wil zeggen dat de wilsuiting betrekking moet hebben op de plaatsing en/of het uitlezen van bepaalde cookies. Duidelijk moet zijn welke cookies voor welke doeleinden worden opgeslagen en/of worden uitgelezen. De informatie mag dus niet zeer breed en onbepaald zijn, maar eng en bepaald.
Ten slotte moet de gebruiker zo goed mogelijk worden ingelicht over de plaatsing en/of het uitlezen van cookies, zodat hij verantwoord zijn toestemming kan geven. De gebruiker moet voldoende en begrijpelijk door de plaatser/uitlezer van het cookie worden geïnformeerd over de verschillende aspecten van de cookies. Feiten die de gebruiker kent of zou moeten kennen vallen buiten deze informatieplicht. De gebruiker heeft dus zelf ook enige verantwoordelijkheid om op onderzoek uit te gaan.
Maar mag je er van uit gaan dat een gebruiker zijn vrije, specifieke en op informatie berustende wil heeft geuit wanneer hij verder gaat met het gebruik van de website? Nee: wanneer ondubbelzinnige toestemming is vereist moet iedere twijfel zijn uitgesloten of de betrokkene zijn toestemming heeft gegeven. In het geval van twijfel dient de plaatser/uitlezer van het cookie te verifiëren of hij er terecht vanuit is gegaan dat de gebruiker met het plaatsen/uitlezen heeft ingestemd, en voor welke specifieke verwerking hij toestemming heeft gegeven. Dit betekent dus niet de gebruiker zijn toestemming expliciet moet hebben geuit, door bijvoorbeeld het overtypen van een tekst “Ja, hierbij accepteer ik dat cookies worden geplaatst. Een klik met de muis of een aanslag op het toetsenbord kan voldoende zijn. Het continueren van gebruik van een website is wat mij betreft in ieder geval onvoldoende – ook wanneer geen “ondubbelzinnige” toestemming is vereist, maar ‘slechts’ “toestemming”.
