Aangenomen wetsvoorstel vereist voorafgaande toestemming gebruiker voor plaatsen cookies

Vorige week (op 21 juni 2011) heeft de Tweede Kamer een wetsvoorstel aangenomen dat de wijzigingen van de e-Privacyrichtlijn implementeert. Op grond van de nieuwe ‘cookiewet’, opgenomen in artikel 11.7a lid 1 van de Telecommunicatiewet (Tw), dienen eenieder (in het bijzonder beheerders van websites) eerst toestemming te verkrijgen van gebruikers voordat zij cookies kunnen opslaan op de computer van gebruikers of toegang kunnen krijgen tot de opgeslagen cookies (opt-in). Daarnaast wordt het gebruik van cookies voor behavioral advertising vermoed een verwerking van persoonsgegevens te zijn in de zin van de Wet bescherming persoonsgegevens (Wbp) (artikel 11.7a lid 1, laatste zin Tw). Door het invoeren van het vereiste van voorafgaande toestemming en het vermoeden dat het om de verwerking van persoonsgegevens gaat wanneer cookies voor bepaalde doeleinden worden gebruikt, gaat de Nederlandse wet verder dan wat de e-Privacyrichtlijn van lidstaten vereist. Zoals verwacht heeft deze nieuwe wet in Nederland en in het buitenland voor heel wat beroering gezorgd en zal zij de komende tijd nog wel voor beroering blijven zorgen.

Voorafgaande geïnformeerde toestemming

De nieuwe ‘cookiewet’ is onderdeel van een breder wetsvoorstel ter wijziging van de Telecommunicatiewet. Op grond van artikel 11.7a lid 1 Tw kan men in beginsel alleen gegevens opslaan op de randapparatuur van een gebruiker of hiertoe toegang verkrijgen (denk aan het opslaan van of het toegang verkrijgen tot cookies) (i) wanneer de gebruiker wordt voorzien van duidelijke en volledige informatie in overeenstemming met de Wbp, en in ieder geval van de doeleinden waarvoor de informatie wordt opgeslagen of waarvoor toegang tot de informatie wordt verkregen; en (ii) de gebruiker toestemming geeft voor dergelijk handelen. De term ‘toestemming’ die in dit artikel wordt gehanteerd verwijst naar de definitie van toestemming in artikel 1 (i) Wbp en dient daarom een vrije, specifieke en op informatie berustende wilsuiting te zijn. Volgens de toelichting bij het wetsvoorstel kan de huidige praktijk waarbij webbrowsers onder de standaardinstellingen automatisch alle cookies accepteren niet worden beschouwd als een vorm van toestemming in de zin van artikel 11.7a Tw. In de toelichting staat ook expliciet vermeld dat dergelijke toestemming voorafgaand aan de opslag en toegang dient te worden verkregen.

Vermoeden van verwerking van persoonsgegevens: ‘ondubbelzinnige’ toestemming?

De eerste zin van artikel 11.7a lid 1 Tw laat geen twijfel meer bestaan dat de Wbp van toepassing is op het opslaan van en toegang verkrijgen tot cookies indien dit een verwerking van persoonsgegevens met zich meebrengt (“Onverminderd de Wbp...”). Volgens de laatste zin van artikel 11.7a lid 1 Tw wordt het opslaan van en toegang verkrijgen tot informatie op de computers van gebruikers vermoed een verwerking van persoonsgegevens te zijn indien dit “tot doel heeft gegevens over het gebruik van verschillende diensten van de informatiemaatschappij door de gebruiker of de abonnee te verzamelen, combineren of analyseren voor commerciële, charitatieve of ideële doeleinden”. Dit element in de nieuwe wet lijkt specifiek gericht te zijn tegen cookies die worden gebruikt voor behavioral advertising. Het wordt simpelweg aangenomen dat een dergelijk gebruik van cookies een verwerking van persoonsgegevens is. Bovendien lijkt de wetgever in de toelichting te suggereren dat de verwerking van persoonsgegevens als hierboven omschreven alleen mogelijk is indien de gebruiker ‘ondubbelzinnige’ toestemming verleent. De Wbp kent echter verschillende andere wettelijke gronden op grond waarvan persoonsgegevens verwerkt mogen worden. Zo kan bijvoorbeeld de verwerking van persoonsgegevens toegestaan zijn indien dit noodzakelijk is om het gerechtvaardigde belang van de verantwoordelijke die de gegevens verwerkt te behartigen (artikel 8 (f) Wbp).

Back to the past of Back to the future?

De nieuwe wet lijkt het einde te betekenen voor de huidige wijdverspreide praktijk van het zogenaamde opt-out regime waarbij cookies worden opgeslagen en toegang tot cookies wordt verkregen zonder de voorafgaande toestemming van gebruikers. De Nederlandse wetgever heeft duidelijk voor een opt-in aanpak gekozen. Het is momenteel nog onzeker of deze nieuwe wet zal leiden tot een ‘online exodus’ van in Nederland gevestigde internetondernemers naar andere lidstaten die hebben gekozen voor een meer coulante implementatie van de e-Privacyrichtlijn of dat dit het startsein zal zijn van de ontwikkeling van praktische oplossingen om de voorafgaande geïnformeerde (ondubbelzinnige) toestemming van gebruikers te verkrijgen. Het is echter ook mogelijk dat de nieuwe wet binnenkort alweer door de praktijk wordt ingehaald door de ontwikkeling van nieuwe technologieën om het gedrag van gebruikers in kaart te brengen, die het gebruik van cookies overbodig maakt.