Geen ‘wie zwijgt stemt toe’: Opt-out cookie-gebruik is geen vrijelijke toestemming verwerking persoonsgegevens

Geen ‘wie zwijgt stemt toe’: Opt-out cookie-gebruik is geen vrijelijke toestemming verwerking persoonsgegevens

In een eerdere blog schreef ik ook al over toestemming voor verwerking van persoonsgegevens en het gebruik van een zogenaamde cookie-wall. Toen bleek dat volgens de Algemene Verordening Gegevensbescherming (“AVG”) verwerking van persoonsgegevens door cookie-gebruik is toegestaan indien de gebruiker van de website daarvoor 1) expliciet, 2) vrijelijk, 3) specifiek, 4) geïnformeerd en 5) ondubbelzinnig toestemming geeft.

Vanwege deze vereisten moet bij een cookie-wall in ieder geval een (deels) werkende website beschikbaar zijn indien een gebruiker geen toestemming geeft voor het gebruik van cookies. Is de website door een cookie-wall helemaal niet beschikbaar als een gebruiker geen toestemming geeft? Dan wordt de toestemming niet ‘vrijelijk’ verkregen en is het gebruik van die cookie-wall niet toegestaan. 

Cookie-gebruik is (met inachtneming van hiervoor genoemde vereisten) wel toegestaan indien toestemming wordt verkregen door gebruikers daarvoor bepaalde soorten cookies aan te laten vinken. Dit zie je op veel websites terug. Maar wordt toestemming ook ‘vrijelijk’ verkregen indien die soorten cookies al standaard aangevinkt zijn en de gebruiker de vinkjes niet weghaalt; het zogenaamde ‘opt-out cookie-gebruik’? Daarover heeft het Hof van Justitie van de Europese Unie (“HvJEU”) recent een uitspraak gedaan (HvJ EU 1 oktober 2019, ECLI:EU:C:2019:801).

Planet49 GmbH

De Duitse onderneming Planet49 organiseerde een reclameloterij op www.dein-macbook.de. Deelnemers aan de loterij moesten naam en adres opgeven. Onder de invoervelden stonden twee mededelingen met daarbij selectievakjes. Het eerste selectievakje was niet standaard aangevinkt, en het tweede vakje (over bepaald cookie-gebruik) was wel standaard aangevinkt. Deelname aan de loterij was alleen mogelijk wanneer ten minste het eerste (niet standaard aangevinkte) selectievakje was aangevinkt.

Aangezien de hoogste Duitse rechter betwijfelde of Planet49 met het tweede (standaard aangevinkte) selectievakje rechtsgeldig de toestemming van gebruikers van de website verkreeg voor het cookie-gebruik, heeft deze rechterlijke instantie het HvJEU daarover (prejudiciële) vragen gesteld.

Volgens het HvJEU lijkt het praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en of deze toestemming op basis van verleende informatie is verkregen. Het is immers mogelijk dat een gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette.

Het HvJEU oordeelt daarom dat toestemming voor cookie-gebruik niet rechtsgeldig wordt verleend door middel van een standaard aangevinkt selectievakje dat een gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

Slotopmerkingen

Als je een aantal willekeurige websites bezoekt, zul je merken dat lang niet alle websites voldoen aan bovenstaande regels. Dit kan grote gevolgen hebben voor de ondernemingen achter deze websites. Onder de AVG kunnen namelijk hoge boetes worden opgelegd, zoals bijvoorbeeld de boete van €600.000 voor taxidienst Uber in 2018, en de boete van €460.000 voor het Haagse HagaZiekenhuis in 2019.

Gebruik je zelf cookies op je website en/of heb je hier vragen over? Neem gerust contact op met Rolf Hebbink.

Facebooktwitterlinkedinmail