Naleving cookiewet- en regelgeving voor organisaties weer hoog op de agenda

18/01/2024 - We leven in een steeds meer digitale wereld waarin het gebruik van cookies en online tracking door organisaties exponentieel toeneemt. Met de toenemende mate van het gebruik hiervan, vindt de Nederlandse regering dat de Autoriteit Persoonsgegevens (AP), de onafhankelijke toezichthouder, hier meer aandacht aan moet besteden. Om die reden krijgt de AP drie jaar lang een half miljoen euro per jaar extra toegewezen van het Ministerie van Binnenlandse Zaken om toezicht op cookies en online tracking te versterken en onderzoek te bevorderen. 

Cookies 

In grote lijnen zijn er drie categorieën cookies. Ten eerste zijn er de functionele cookies, die de kernfunctionaliteit van een website ondersteunen en bedoeld zijn om de gebruikerservaring te optimaliseren door de website efficiënter te laten werken. Vervolgens zijn er analytische cookies, die worden ingezet om het gebruik van een specifieke website te analyseren. Voor het plaatsen van deze twee soorten cookies is geen toestemming door de bezoeker vereist indien de cookies gebruikt worden om meer informatie over de website zelf te verkrijgen en geen persoonsgegevens verwerken. Als laatste zijn er tracking cookies. Tracking cookies zijn mechanismen voor het verzamelen van gebruikersgegevens via webbrowsers. Bij het plaatsen van deze cookies wordt het internetgedrag van een gebruiker over verschillende websites en door de tijd heen gevolgd. Tracking cookies kunnen op deze manier profielen van mensen opstellen (profiling) en advertenties voorstellen die zijn afgestemd op individuele gebruikers. Dit kunnen third-party cookies zijn die worden geplaatst door een andere partij dan de aanbieder van de website zelf of first-party cookies die door de aanbieder zelf worden geplaatst. Vaak verwerken tracking cookies persoonsgegevens.   

Toestemming  

Indien er persoonsgegevens worden verwerkt door cookies, moet er aan de juiste wet- en regelgeving worden voldaan. De belangrijkste vereisten zijn het hebben van een grondslag voor de gegevensverwerking, bezoekers op tijd en juist informeren en de gegevens goed beveiligen. Voor de gegevenswerking van tracking cookies is ondubbelzinnige toestemming nodig als grondslag. Ondubbelzinnige toestemming, in dit geval, houdt in dat websitebezoekers om toestemming gevraagd moet worden voordat tracking cookies geplaatst worden. Hierbij moet de bezoeker een duidelijke keuze hebben om toestemming te geven of te weigeren.   

Criteo 

Op 4 januari 2024 kreeg Criteo, een online advertentiebedrijf, een boete van het Gerechtshof van Amsterdam voor het plaatsen van tracking cookies zonder toestemming. Eerder beweerde een particulier (de eiser) dat Criteo tracking cookies zonder toestemming had geplaatst en zijn persoonlijke gegevens had verwerkt. Criteo betoogde dat zij overeenkomsten sluiten met partner websites, waarin staat dat de partner websites ervoor moeten zorgen dat er toestemming is gegeven voordat Criteo’s cookies worden geplaatst en dat Criteo daarom zelf niet verantwoordelijk is. Vervolgens beargumenteerde Criteo dat zij alle mogelijke maatregelen hadden genomen tegen partner websites die geen toestemming hadden verkregen, maar dat zij hen niet kunnen weerhouden van het plaatsen van tracking cookies. Het hof oordeelde dat het niet onmogelijk is voor Criteo om alleen tracking cookies te plaatsen die over de vereiste toestemming beschikken. Daarnaast rappelleerde het Gerechtshof van Amsterdam dat de zaak twee entiteiten betreft, Criteo B.V. en Criteo S.A. (samen Criteo), waarvan de laatste eerder het onderwerp was van een besluit van de Franse gegevensbeschermingsautoriteit (CNIL) en een boete kreeg opgelegd van veertig miljoen euro wegens schending van de AVG, in het bijzonder voor het niet verifiëren of de personen van wie zij gegevens verwerkte toestemming hadden gegeven.  

Wat betekent dit voor organisaties? 

De bovengenoemde uitspraak van het Gerechtshof van Amsterdam onderstreept het feit dat organisaties zelf de verantwoordelijkheid dragen voor het rechtmatig plaatsen van tracking cookies en dat niet-naleving van de wet- en regelgeving beboet wordt. Daarnaast wordt het duidelijk dat organisaties niet alleen het risico lopen op boetes van de toezichthouder, maar ook op claims van individuen (en daaruit voortvloeiende reputatieschade). Als laatste is er de kans dat de handhaving op cookies door de AP zal toenemen door het extra budget dat hen is toegewezen. Het is voor organisaties dus van extra belang dat ze cookie compliant zijn.