Nederlandse cookiewet wordt milder voor analytics
Bart Van den Brande is advocaat gespecialiseerd in IT-recht bij advocatenkantoor Sirius Legal. Hij houdt zich al een tijdje bezig met de cookiewetgeving. Volgens hem wordt de Nederlandse wetgeving iets soepeler. De details beschrijft hij zelf in onderstaande tekst.
Nederland, dat één van de strengste cookiewetten in Europa heeft, zal zijn wetgeving binnen korte termijn afzwakken om het gebruik van Google Analytics en andere analytics tools mogelijk te maken zonder voorafgaande toestemming van de websitebezoeker. Vandaag is hiervoor, net als voor andere cookies, een duidelijke voorafgaande opt-in vereist in Nederland, maar vorige week kondigde de bevoegde Nederlandse minister een wetswijziging aan.
De huidige situatie in Nederland
De Nederlandse cookiewet voorzag tot op heden wel een uitzondering voor zuiver functionele cookies, maar analytics tools als Google Analytics werden niet als zuiver functioneel beschouwd, waardoor een voorafgaande toestemming vereist was. Die toestemming, herhaalt de bevoegde minister nogmaals, moet niet persé een expliciete opt-in via een pop-up zijn (“Ja, ik ga akkoord met het plaatsen van cookies”), maar kan ook minder expliciet door een bezoeker bij aanvang van zijn bezoek aan een website duidelijk te waarschuwen dat het verder klikken op de website als een akkoord beschouwd wordt met het plaatsen van cookies. (gevolg is wel dat op de eerste pagina die een bezoeker opent geen cookies kunnen geplaatst worden bij zijn eerste bezoek. vraag is hoe dat in de praktijk mogelijk is, nu voor de meeste websites heel wat trafic niet via de home page gegenereerd wordt, natuurlijk…).
[related_article id=”158578″]
Nederland had hiermee een wel érg strenge wet en die maakte de facto het analyseren van bezoekersstromen op websites onmogelijk. Dit was al een tijdje duidelijk voor zowat iedereen, inclusief de Europese Commissie, maar het bleef wachten op een initiatief van de Nederlandse regering om de wet aan te passen. Het doel van de wet is immers in de eerste plaats om de privacy van de burger te beschermen en niet om normaal internetgebruik te bemoeilijken. Analytics tools die -anonieme- gegevens over bezoekersaantallen verzamelen doen in realiteit weinig afbreuk aan de privacy van individuele surfers en bovendien raken die surfers steeds vaker en sneller geïrriteerd door de vele cookie pop-ups, waar ze ook steeds vaker automatisch “ja” op klikken, zonder zelfs nog te lezen wat er in de pop-up staat.
Voorstel wetswijziging: Cookies om info te krijgen over kwaliteit en effectiviteit van websites
Nu komt er dus uiteindelijk toch een voorstel tot wetswijziging door de bevoegde minister, waarin de uitzonderingen op de cookiewet worden aangevuld. In de toekomst zal geen expliciete toestemming meer nodig zijn voor:
- cookies die uitsluitend dienen om communicatie mogelijk te maken (load_balancer cookies)
- cookies die noodzakelijk zijn om een door de internetter gevraagde dienst te leveren vallen (winkelwagentje, onthouden inloggegevens)
- en vanaf nu dus ook: cookies die dienen om informatie te verkrijgen over de kwaliteit of effectiviteit van de website, mits dit geen nadelige gevolgen heeft voor de privacy van de internetter.
Voor analytic cookies is dus vanaf nu -onder omstandigheden- geen voorafgaande toestemming vereist
Het voorstel moet ervoor zorgen dat de individuele belangen van de internetgebruiker beter verzend worden met de belangen van website-uitbaters. Met dit doel worden zowel first party analytics cookies als third party analytics cookies vrijgesteld van voorafgaande opt-in als tenminste de verzamelde gegevens naast het puur statistische niet gebruikt worden voor privacygevoelige doeleinden, zoals bvb profiling.
Het voorstel voorziet ook dat website-eigenaars die de verkregen gegevens willen delen met derden een overeenkomst moeten sluiten met die derde waarin die derde zch ertoe verbindt om de gegevens niet voor eigen doeleinden te gebruiken.
Wat met A/B testing cookies?
A/B testing cookies verzamelen in de meeste gevallen geen persoonlijke informatie over de gebruiker, maar analyseren enkel het succes en de kwaliteit van verschillende versies van web pages. Voor zover dit inderdaad het geval is, vallen deze cookies in principe onder de nieuwe uitzondering.
Wat met affiliate cookies?
Affiliate cookies die verkopen of bezoeken via affiliate sites of advertenties moeten tracken, zijn in principe evenmin bedoeld om informatie te verzamelen over de gebruiker zelf. Ook hier kan dus geoordeeld worden dat -voor zover inderdaad geen persoonsgegevens verzameld worden- deze cookies vanaf nu in Nederland ook onder de nieuwe uitzondering zouden kunnen vallen.
Wat met tracking cookies?
Cookies die individueel surfgedrag tracken om profielen van gebruikers op te stellen worden door de Nederlandse overheid -conform de Europese richtlijnen overigens- nog steeds als privacygevoelig beschouwd en hiervoor blijft een voorafgaande toestemming vereist.
En wat met België?
De duidelijkheid die de Nederlandse wetgever geeft voor wat betreft de toepassing van de cookie consent vindt voorlopig spijtig genoeg haar gelijke niet in België. In België moeten we het nog steeds stellen met één enkel artikel in de Telecomwet dat stelt dat de voorafgaande toestemming vereist is voor het plaatsen van cookies. Hoe die toestemming concreet moet verkregen worden en welke cookies eventueel uitgezonderd zijn van toestemmingsplicht blijft voorlopig koffiedik kijken. De Belgische privacycommissie heeft wel een tijdje geleden al een advies met enige verduidelijkingen aangekondigd, maar voorlopig is het daarop nog even wachten. Informeel duiden de meeste signalen erop dat een interpretatie gelijkaardig aan de Nederlandse uiteindelijke de bovenhand zal krijgen.
Bart Van den Brande, Sirius Legal
