Wat voorafging
Voor de inwerkingtreding van de GDPR werd quasi nooit toestemming verleend voor het plaatsen van cookies bij de internetgebruiker. De GDPR bracht daar deels verandering in, doordat cookies immers vaak persoonsgegevens verzamelen en verwerken. Zulke persoonsgegevens kunnen gelinkt worden aan een IP-adres en meer specifiek aan de werkpost van de internetgebruiker, en vormen dus een gegevensverwerking die onder de GDPR rechtmatig moet zijn. De rechtmatigheid van het gebruik van cookies kan gestoeld worden op grond van een voorafgaandelijke en geïnformeerde toestemming van de internetgebruiker. Slechts in uitzonderlijke gevallen zijn bepaalde sporen anoniem en vallen zij dan ook niet onder de GDPR. Deze problematiek heeft een aantal privacy kwesties teweeggebracht met betrekking tot cookies, wat zich uitte in een prejudiciële vraag door de Duitse rechter aan het Europese Hof van Justitie, in de zaak tussen de Duitse consumentenbond en de loterij-organisatie Planet 49.
Er werd het Hof gevraagd of er sprake is van een geldige toestemming voor het gebruik van cookies door middel van een vooraf aangevinkt selectievakje dat door de gebruiker moet worden uitgevinkt ingeval hij/zij weigert toestemming te verlenen.
Deze vraag werd gesteld naar aanleiding van een reclameloterij georganiseerd op een website, in september 2013, door de loterij-organisatie Planet 49. Internetgebruikers die wilden deelnemen aan de loterij konden zich registeren via een registratieformulier. Het formulier vroeg gebruikers een vakje aan te vinken om toestemming te verlenen aan Planet 49 om persoonsgegevens de delen met commerciële partners. Daarnaast was er ook een vooraf aangevinkt vakje die toestemming verleende voor het plaatsen van cookies op de apparatuur van de gebruiker. De gebruiker kon toestemming weigeren door het vakje zelf handmatig uit te vinken.
Beslissing Europese Hof van Justitie
Het Hof oordeelt in zijn uitspraak van 1 oktober 2019 dat de toestemming van de gebruiker van een website voor het plaatsen en raadplegen van cookies op zijn apparatuur, niet rechtsgeldig is verleend wanneer gebruik wordt gemaakt van een standaard aangevinkt selectievakje dat door de gebruiker moet worden uitgevinkt indien hij wil weigeren zijn toestemming te verlenen. Kort en bondig houdt dit in dat een actieve toestemming van internetgebruikers is vereist voor het plaatsen van cookies. Toestemming door middel van een standaard aangevinkt selectievakje impliceert immers geen actieve gedraging van de gebruiker van een website. Belangrijk is dat het Hof hieraan toevoegt dat het niet van belang is of de informatie die is opgeslagen op de apparatuur van de gebruiker al dan niet bestaat uit persoonsgegevens. Het Unierecht is immers meer dan de GDPR alleen, en wil de gebruiker beschermen tegen elke vorm van inmenging in zijn privéleven.
Het Hof benadrukt daarbij dat de verkregen toestemming in die zin ‘specifiek’ moet zijn. Dit betekent dat de gebruiker geacht wordt een ‘aparte’ toestemming te geven enkel en alleen voor het plaatsen van cookies. Het feit dat de gebruiker op de knop voor deelname aan de betrokken reclameloterij heeft geklikt, volstaat op zich niet om rechtsgeldig toestemming te verlenen voor het plaatsen van cookies.
De toestemming is bovendien onderworpen aan een voorafgaande informatieplicht waardoor je onder meer kennis verwerft over de duurtijd dat de cookies actief blijven en of derden al dan niet toegang kunnen verkrijgen tot de cookies.
Wat betekent dit voor de toekomst?
Ben je een websiteaanbieder en maak je gebruik van cookies? Zorg ervoor dat het selectievakje niet vooraf is ingevuld. Vraag apart toestemming voor cookies en andere onderwerpen op je website en informeer je websitegebruiker vooraf met betrekking tot het gebruik van cookies.
Voor meer informatie kan u ons steeds contacteren via hallo@dejuristen.be.
