Cookies

Noodzakelijk of niet?
De cookiewet maakt nergens onderscheid tussen first party en third party cookies. Het enige onderscheid dat er is, is tussen noodzakelijke (functionele) en niet-noodzakelijke cookies. Een cookie die technisch noodzakelijk is vereist geen toestemming, alle andere wel. Wel kent de wet een uitzondering voor privacyvriendelijke analytische cookies, mits de inbreuk op de privacy beperkt is.

First party, third party, privacyschendend, puur registrerend: het maakt allemaal niet uit. Is het een cookie? Dan is toestemming nodig, tenzij je kunt motiveren waarom de cookie technisch noodzakelijk is.

Functionele cookies
Zogeheten functionele cookies vallen buiten de cookiewet. Hiervoor hoef je geen toestemming te vragen, en eigenlijk hoeven dit ook niet in de cookieverklaring te worden beschreven (hoewel wij dat toch wel een goed idee vinden). 

Het idee achter de uitzondering is om een beperkte escape te genereren voor het geval er geen reden is om de cookie te weigeren. Dit is geformuleerd met de woorden “strikt noodzakelijk voor de dienst”, en die bewoordingen moet je beperkt interpreteren, maar ook weer niet zó beperkt dat alleen technisch volstrekt onvermijdelijke cookies er onder vallen. En tevens moeten de cookies niet privacyschendend zijn, want een privacyschending is per definitie niet noodzakelijk voor de dienst. Wij spreken dan ook van “functionele cookies” om aan te geven dat het cookie een functionele rol binnen een site of dienst moet spelen. Een winkelwagentje, een login onthouden of vastleggen dat een ander cookie wel of niet mag worden gezet.

Analytische cookies
Hierbij kan het gaan om cookies die geplaatst worden voor analyse van het gebruik van de website. In principe is hiervoor toestemming nodig. Slechts wanneer de plaatsing en het uitlezen van deze cookies geringe gevolgen voor de privacy heeft, hoeft de bezoeker hier geen toestemming voor te geven. Let op: voor het gebruik van Google Analytics is slechts in uitzonderlijke gevallen geen toestemming vereist. Om geen toestemming te hoeven vragen dient het Google Analytics stappenplan van de Autoriteit Persoonsgegevens precies te worden opgevolgd. 

Tracking cookies
Tracking cookies worden soms door website-eigenaren zelf maar vaker door adverteerders (third parties) via hun advertentie op de computer van de websitebezoeker geplaatst. Wanneer de websitebezoeker verder surft, kunnen sommige websites (indien ze een bepaalde code hebben ingebouwd) de cookie herkennen en dan gepersonaliseerde advertenties tonen. Daarnaast kunnen deze cookies het surfgedrag van de websitebezoeker bijhouden waardoor een zeer specifiek profiel van de bezoeker wordt opgebouwd. Dit is erg handig voor marketeers: zij weten precies welke aanbiedingen ze het beste aan iemand kunnen doen. Dit profiel is meestal echter zo gedetailleerd dat er sprake is van ‘gegevens die herleidbaar zijn tot een identificeerbare natuurlijke persoon’, met andere woorden persoonsgegevens. 

De naam ‘cookiewet’ is lichtelijk misleidend. Hoewel alle heisa over cookies gaat, is de wet formeel niet beperkt tot cookies. De wet spreekt van “eenieder die gegevens wenst uit te lezen uit of op te slaan in randapparatuur”. Onder gegevens vallen cookies, maar ook Flash-cookies, plugins, local storage, toolbars, offline content en zelfs gewoon de HTML, CSS en Javascript scripts waar iedere website uit bestaat. Voor al die gegevens is dus toestemming nodig.

De uitzondering voor strikt noodzakelijk zijn, geldt bij HTML, CSS en dergelijke al snel. Zonder stylesheet ziet de website er niet uit, dus die is noodzakelijk. Maar wie de wet héél formeel leest, zal vast elementen van een website kunnen aanwijzen die eigenlijk niet noodzakelijk zijn en dus eigenlijk toestemming vereisen. 

Browser fingerprinting valt óók onder de cookiewet. Daarbij wordt weliswaar niets opgeslagen op de computer van de eindgebruiker maar wel uitgelezen en ook dat triggert al de toestemmingseis (tenzij noodzakelijk). Uitlezen van informatie over de browser (welke fonts, welk besturingssysteem, welke schermresolutie enzovoorts) is óók uitlezen van gegevens immers. En de minister heeft expliciet gezegd:

“Het lezen van de combinatie van instellingen en kenmerken van het apparaat met als uitsluitend doel de met dat apparaat opgevraagde dienst te leveren (bijvoorbeeld om de bezochte website goed te kunnen weergeven) valt onder de uitzondering in het derde lid. Het lezen van deze informatie om het surfgedrag van de gebruiker van het apparaat te volgen valt niet onder de uitzondering. Hiervoor is dan ook geïnformeerde toestemming van de gebruiker vereist.”

Het maakt dus wél uit met welk doel de gegevens worden uitgelezen. Wie de browserversie uitleest om een Chrome-specifieke site (of een voor tablets geschikte versie) terug te kunnen sturen, hoeft daar geen toestemming voor te vragen. En wie het besturingssysteem en taalinstellingen achterhaalt om zo de meest passende downloadlink te kunnen tonen (de Nederlandstalige 64-bits Windowsversie of de Linux ARM versie) hoeft ook geen toestemming te vragen. Maar browser fingerprinting voor herkenning, al is het maar in geaggregeerde vorm, vereist dus net zo goed toestemming.

Een IP-adres wordt over het algemeen als persoonsgegeven gezien, omdat het meestal in gebruik is bij één persoon (op een gegeven tijdstip). Deze is te identificeren via zijn internetprovider. Hoewel dat in de praktijk een heel gedoe is, is deze mogelijkheid voor de AVG genoeg. Natuurlijk zijn er ook IP-adressen die niet aan één persoon te koppelen zijn (bijvoorbeeld het IP-adres van een thuisnetwerk, bedrijfsproxy of webserver), maar als vuistregel is het aan te bevelen alle IP-adressen te behandelen alsof het persoonsgegevens zijn.

Een cookie is meestal niet meer dan een getal (naam en waarde). Dat is op zichzelf zelden een persoonsgegeven, tenzij die naam en waarde zelf dat zijn natuurlijk. Denk aan het onthouden van een IP-adres of iemands naam of e-mailadres of iets dergelijks.

Wanneer een cookie een identificatienummer oplevert voor een profiel in een database, is dat cookie een persoonsgegeven. Daarmee geldt de AVG  voor dit cookie (en op het profiel zelf natuurlijk). 

Grijze gebieden te over: een cookie die een gebruiker uniek identificeert maar weinig meer doet dan dat, is waarschijnlijk wel een persoonsgegeven (want het identificeert een gebruiker) maar welke verwerking vindt er plaats?

Klik hier voor meer informatie over het opstellen van een cookieverklaring.

Allereerst geldt de Nederlandse wet voor alle bedrijven en diensten die zich “op Nederland” richten, zoals blijkt uit de algemene rechtspraak over bevoegdheid van de Nederlandse rechter. Het gaat dus niet om bijvoorbeeld welke extensie de domeinnaam van de site heeft, of waar het bedrijf formeel gevestigd is. Je moet alle omstandigheden bij elkaar optellen en dan de conclusie trekken “ja, dit is gewoon een Nederlandse site”.

Zo komt Bol.com écht niet weg met “we hebben een .com domeinnaam en onze servers staan in Duitsland”. Ze zijn een Nederlandse webshop. The New York Times/nytimes.com is daarentegen niet op Nederland gericht, want dat blijkt uit niets.  Je kunt de artikelen lezen vanuit Nederland, maar dat is het wel zo’n beetje. En die ene factor is niet genoeg.

De cookiewet kan ook om een andere reden voor buitenlandse bedrijven gelden. Wanneer een Amerikaans bedrijf op een Nederlandse computer een cookie plaatst, is volgens de privacytoezichthouder de AVG van toepassing. Dat Amerikaans bedrijf gebruikt namelijk een Nederlands systeem voor privacygevoelige handelingen. Wel moet het dan gaan om een cookie die persoonsgegevens verwerkt.

Natuurlijk is het lastig om een Amerikaans bedrijf te dwingen deze wet na te leven, maar als zo’n bedrijf een vestiging in Europa heeft dan wordt dat een stuk eenvoudiger. Google en Facebook zijn bijvoorbeeld al diverse malen in Europa aangesproken door privacytoezichthouders wegens schendingen van de privacy van Europese burgers.

Formeel kan dus een partij als Google of Facebook aan de Nederlandse wet gehouden worden. Maar of de ACM ook zal handhaven naar deze partijen toe is zeer de vraag.