-

Update cookiewet: meer duidelijkheid van minister

Deze week verscheen de Nadere Memorie van Antwoord in verband met de wijziging van de Telecommunicatiewet. Het zijn de antwoorden van Minister Verhagen op vragen van de Eerste Kamer over het wetsvoorstel. Een belangrijk onderdeel betreft de nieuwe eisen voor het gebruik van cookies.

De Eerste Kamer heeft zich zeer kritisch getoond over de wijze waarop de nieuwe Europese cookieregels in het Nederlandse wetsvoorstel zijn geïmplementeerd. Alhoewel de minister op enkele belangrijke praktische vragen geen antwoord wil geven (zie ook de Memorie van Antwoord), bevat de Nadere Memorie van Antwoord wel enkele interessante punten:

Interpretatieverschillen
De minister stelt voorop dat het van het ‘allergrootste belang’ is dat binnen de Europese Unie geen interpretatieverschillen over de nieuwe regels bestaan. Dat is van nog meer belang bij internetdiensten. De minister betreurt het daarom dat er nog zoveel discussie is in Europa over de interpretatie van de nieuwe regels. Vooral over het begrip toestemming en hoe dat in de praktijk moet worden verkregen bestaat nog veel onduidelijkheid. De invoering van de richtlijn in de Nederlandse wet kan (en mag) echter niet langer op zich laten wachten.

Nederlands wetsvoorstel gelijk aan Europese richtlijn (volgens de minister)
Vanwege het belang om interpretatieverschillen te voorkomen, is Nederland zo dicht mogelijk bij de tekst van de richtlijn gebleven, aldus de minister. De minister gaat zelfs nog verder en stelt dat Nederland de letterlijke tekst van de richtlijn heeft gevolgd bij de implementatie. Dat is een opvallende bewering. Nederland heeft als enige lidstaat een rechtsvermoeden geïntroduceerd, waardoor de strenge Wet bescherming persoonsgegeven (‘Wbp’) van toepassing is op tracking cookies, tenzij kan worden bewezen dat er geen persoonsgegevens worden verzameld. De richtlijn maakt geen onderscheid tussen tracking cookies en andere cookies. Maar vooral: de richtlijn rept niet over een rechtsvermoeden, of over de vraag wat er moet gebeuren als er persoonsgegevens worden verzameld. Dat hoeft ook niet, want in dat laatste geval is de Wbp gewoon van toepassing. De introductie van een rechtsvermoeden is daarmee een extra regel, en bovendien een extra belasting waartoe de richtlijn helemaal geen aanleiding geeft.

OPTA terughoudend bij handhaving
De minister doet een belangrijke mededeling met betrekking tot de handhaving van de nieuwe regels. Gegeven het feit dat de nieuwe cookieregels zo snel mogelijk zullen moeten worden ingevoerd in de Nederlandse wet, terwijl er nog zoveel onduidelijk is, stelt de minister voor dat toezichthouder OPTA terughoudend zal optreden zolang er binnen de EU geen consensus is bereikt. OPTA moet ervoor zorgen niet uit de pas te lopen met de andere lidstaten. Als de consensus eenmaal is bereik, kan OPTA met beleidsregels een nadere invulling aan de regels geven.

Op zichzelf is het goed dat OPTA terughoudend zal handhaven zolang de interpretatie van de regels nog niet duidelijk is. Het doet echter wel de vraag rijzen wie die duidelijkheid dan moet geven. Als alle lidstaten op elkaar wachten, dan gebeurt er niets. Ondertussen verkeert zowel het bedrijfsleven als de consument in onzekerheid.

In de toekomst toestemming via browsers
De minister benadrukt nog maar weer eens dat de huidige browsers niet geschikt zijn als manier om de vereiste toestemming te geven. Opvallend is dat hij wel de verwachting uitspreekt dat het uiteindelijk toch mogelijk zal zijn om via de browser toestemming te geven en verkrijgen. De minister spreekt daarbij expliciet uit dat hij een voorkeur heeft voor de browser oplossing. Dit vergroot niet alleen het gebruiksgemak, maar leidt ook tot kostenbesparing.

Cookiewet ook van toepassing op digitale televisie
Tot nog toe was nog niet duidelijk of de nieuwe cookieregels ook zouden gaan gelden voor digitale televisie. De minister maakt dat nu duidelijk: als kijkgedrag wordt gevolgd door informatie uit te lezen die is vastgelegd op randapparatuur zoals een digitale decoder, dan zijn de cookieregels gewoon van toepassing.

Analytics cookies
Marktpartijen verkeerden nog in onzekerheid over de vraag of analytics cookies onder de nieuwe regels vallen. De minister heeft daar nu enige duidelijkheid in gebracht. Voor zover ze noodzakelijk zijn voor het goed functioneren van de website, dan vallen analytics cookies onder de uitzonderingsbepaling, dus is er geen voorafgaande toestemming of informatieplicht. Als ze niet noodzakelijk zijn en worden gebruikt over meerdere websites, dan vallen analytics cookies juist onder het strenge regime. In dat geval is de Wet bescherming persoonsgegevens van toepassing tenzij kan worden bewezen dat er geen persoonsgegevens worden verzameld.

Cookiewet ook van toepassing op device fingerprinting
Veel marktpartijen zagen de oplossing in device fingerprinting. Zij dachten (of hoopten) met gebruik van deze technologie niet aan de strenge cookieregels te hoeven voldoen. De minister maakt hieraan nu een einde: de wet is niet alleen van toepassing op het plaatsen van gegevens (cookies) op de eindapparatuur van gebruikers, maar ook op het uitlezen van gegevens die al aanwezig zijn in de eindapparatuur. En dat is precies wat device fingerprinting doet. Gelet op de ratio van de nieuwe cookiewet (consumentenbescherming en techniekneutrale formulering) was het te verwachten dat dit soort technieken ook onder de wet zouden vallen.

Een praktisch probleem is wel dat de gebruiker, anders dan bij cookies, niet kan controleren of hij wordt gevolgd door middel van device fingerprinting. De wet zal op dit punt dus heel moeilijk zijn te handhaven.

Bewijslast en rechtsvermoeden
De leden van VVD en CDA maken zich zorgen over de wijze waarop gebruikers van cookies kunnen bewijzen dat ze toestemming hebben verkregen. De minister op dit punt geen duidelijkheid.

Wel benadrukt hij dat in zijn ogen het Nederlandse wetsvoorstel niet strenger is. Ook het rechtsvermoeden dat persoonsgegevens worden verzameld, maakt de wet niet strenger, aldus de minister. Dit is een zwakke redenering. De minister gaat er volledig aan voorbij dat een rechtsvermoeden een bewijslast met zich meebrengt: de plaatser van de cookie zal moeten bewijzen dat er geen persoonsgegevens worden verzameld. Het is een last die een risico neerlegt bij de plaatser van een cookie: als hij niet kan bewijzen dat er geen persoonsgegevens worden verzameld, moet hij aan de strenge Wbp voldoen. Deze bewijslast (en daarmee bewijsrisico) is uniek en geldt niet in de andere Europese lidstaten. Zelfs de Wbp kent een dergelijke bewijslast niet. Daarmee is het Nederlandse wetsvoorstel wel degelijk aanzienlijk belastender dan de Europese richtlijn voorschrijft.

Op 6 maart aanstaande zal het wetsvoorstel in de Eerste Kamer plenair worden behandeld.

)* Auteur Milica Antic is advocaat bij SOLV advocaten

Deel dit bericht

1 Reactie

iwan van Geelen

Ach… en dan meteen zorgen dat het meldprogramma (2002) van CbP ook eens op een ander systeem dan MS Windows werkt…

Plaats een reactie

Uw e-mailadres wordt niet op de site getoond