Cookieregels drastisch versoepeld

Webwinkeliers en andere site-eigenaren hoeven straks geen toestemming meer te vragen voor de plaatsing van analytics cookies. Ook affiliates cookies vallen in beginsel binnen deze uitzondering. Voor tracking cookies volstaat impliciete toestemming, schrijft minister Kamp aan de Tweede Kamer.

De cookie-soep lijkt lang niet zo heet te worden gegeten als zij een paar jaar geleden werd opgediend. Door de strenge vertaling van Europese regels in de Nederlandse Telecommunicatiewet zouden site-eigenaren bezoekers niet alleen moeten informeren over het gebruik van cookies, maar ook om expliciete toestemming moeten vragen via een ‘ondubbelzinnige opt-in’.

Analytics cookies
Na de inwerkingtreding van de wet, een klein jaar geleden, werden Nederlandse surfers geconfronteerd met talloze pop-ups. Om dat te beperken stelde D66-kamerlid Kees Verhoeven voor het toestemmingsvereiste voor analytics cookies te schrappen. Minister Kamp van Economische Zaken liet eind februari weten de cookiewet aan te zullen passen. De Opta (thans Autoriteit Consument & Markt) had toen al duidelijk gemaakt niet langer te handhaven op het toestemmingsvereiste voor analytics cookies, die worden gebruikt om webstatistieken te maken.

Wetswijziging
Kamp zei tegen de Kamer dat hij medio maart met een voorstel tot wetswijziging zou komen, maar dat liet tot gisteren op zich wachten. In de begeleidende brief bij het concept wetsvoorstel legt Kamp de Tweede Kamer uit: ‘Als analytic cookies alleen worden gebruikt om het gebruik van de website in kaart te brengen en te analyseren zijn de privacygevolgen gering. Dan hoeft hierover niet te worden geïnformeerd en hoeft geen toestemming worden gevraagd. Dit geldt voor zowel first party analytic cookies als third party analytic cookies: beiden kunnen onder de uitzondering vallen.’ In het laatste geval moet met de betrokken derden een bewerkersoverenkomst worden gesloten, waarin staat dat de gegevens niet voor eigen doeleinden worden gebruikt.

A/B testing cookies en affiliate cookies
Ook A/B testing cookies en affiliate cookies (ook wel performance cookies) vallen onder de uitzondering op het toestemmingsvereiste. Deze cookies zijn immers ‘niet bedoeld om informatie te verzamelen over de gebruiker, maar over de advertentie respectievelijk de affiliate’, schrijft Kamp. ‘Welke advertentie werkt het beste; welke affiliate heeft recht op de beloning omdat zijn advertentie heeft geleid tot een verkoop. Indien de met de A/B testing cookies en de affiliate cookies verkregen informatie alleen voor deze doelen worden gebruikt, zal dit geen of nauwelijks gevolgen hebben voor de privacy van de internetgebruiker en vallen beide type cookies onder de uitzondering.’

Ook ook bij het gebruik van A/B testing cookies en affiliate cookies moet een bewerkersovereenkomst worden gesloten als gegevens met een derde worden gedeeld.

Van expliciet naar impliciet
Het (onvoorwaardelijke) toestemmingsvereiste voor de genoemde cookies wordt dus geschrapt - Kamp verwacht het wetsontwerp komend najaar bij de Kamer in te kunnen dienen - maar ook het toestemmingsvereiste zelf wordt minder streng geïnterpreteerd. Dat blijkt uit de brief die de minister gisteren naar de Kamer heeft gestuurd. Het aanklikken van onderdelen van een site is te beschouwen als toestemming voor de plaatsing van bijvoorbeeld tracking cookies, stelt hij, op voorwaarde dat de klikkende bezoeker ‘duidelijk en volledig’ is geïnformeerd. Cookies mogen als gevolg daarvan dus pas vanaf de tweede pageview worden geplaatst. Voor deze beleidswijziging, die een wens van de Kamer inwilligt, is het niet nodig om de wet aan te passen volgens Kamp.

NB: het rechtsvermoeden dat bij tracking cookies persoonsgegevens worden verwerkt, blijft bestaan: Tenzij de site-eigenaar kan aantonen dat er géén persoonsgegevens worden verwerkt (omgekeerde bewijslast), valt het gebruik van tracking cookies ook onder de Wet bescherming persoonsgegevens.