Mag een tracking cookie van de AVG als je het “gerechtvaardigd belang” noemt?
Een lezer vroeg me: Sinds een tijdje valt het me op dat er steeds meer cookie-popups zijn die schermen met de term “gerechtvaardigd belang” als reden waarom ze cookies mogen plaatsen. Ook tracking cookies, terwijl dat toch gewoon onder toestemming valt volgens de AVG? Waar komt die term vandaan en hoezo is het niet misleidend om je commerciële belang op voorhand “gerechtvaardigd” te noemen?
Misleidend
Die term is inderdaad wat misleidend, zeker gezien hoe mensen de term nu gebruiken namelijk als schaamlap voor alles dat ze maar willen. Maar ‘gerechtvaardigd’ betekent niet dat jij het goed moet vinden, het betekent dat het binnen de wet past, van de wet te rechtvaardigen is.
In de kern komt het erop neer dat er situaties zijn waarin jij ook gewoon een belang hebt, bijvoorbeeld de bescherming van je eigendom (een grondrecht, immers). Dat belang moet je dan kunnen beschermen, zoals door cameratoezicht. De AVG zegt dan dat dat mag, mits je maar zo veel mogelijk de privacy van passanten beschermt.
Belangenafweging
Daar zit dan een hele belangenafweging in, inclusief zo mogelijk een opt-out op basis van persoonlijke omstandigheden. Maar in de kern zegt de AVG dus dat het mag, “in principe” zoals de AVG dat noemt.
Het lastige is natuurlijk wanneer een belang “gerechtvaardigd” is. De AVG gaat daar niet op in, en er is ook geen jurisprudentie hierover van het Hof van Justitie. Onze eigen Autoriteit Persoonsgegevens publiceerde in haar normuitleg hier wel een formulering over:
[Gerechtvaardigd] houdt in dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden.
De insteek is dus dat een belang ergens te herleiden moet zijn tot de wet, zoals in mijn voorbeeld van het eigendomsrecht dat ik wil beschermen. Een ander belang zou kunnen zijn dat ik een rechtsvordering wil instellen tegen je, omdat jij mijn schadeclaim niet betaalt. Daarvoor heb ik je persoonsgegevens nodig, en dat zou ik dan onder deze grondslag kunnen doen.
Direct marketing
Bij al die cookiedingen wordt er geschermd met “direct marketing” als gerechtvaardigd belang, omdat de AVG dat expliciet noemt als een voorbeeld. Daar zet de AP tegenover:
Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, et cetera.
Zuiver commercieel belang
Over wat een “zuiver commercieel belang” is, heb ik het eerder gehad. Ik las dat als dat je “ik wil geld verdienen anders ga ik failliet” niet als belang mag opvoeren, maar de AP lijkt het te interpreteren als “iedere motivatie waarin ‘ik wil geld verdienen’ staat, is ongeldig”. Dat gaat wel héél ver, met name omdat grondrechten wél als gerechtvaardigd belang kunnen dienen en de vrijheid van ondernemerschap een grondrecht is. Net als de vrijheid van meningsuiting; als ik je privacy mag schenden door iets te publiceren, waarom dan niet door je te tracken?
Specifiek bij cookies werkt dit trouwens bijna nooit. De Telecommunicatiewet eist toestemming voor ieder plaatsen of uitlezen van informatie, ongeacht wat de AVG eventueel zegt over de persoonsgegevens-aspecten van die informatie. Dus een cookie plaatsen of een remote software update uitvoeren mag alleen met toestemming.
Uitzondering
De Nederlandse uitzondering daarop is dat cookies die geen of geringe privacy-inbreuk maken, géén toestemming nodig hebben. Daarmee kun je dus bijvoorbeeld third-party analytics inzetten, hoewel daar tracking cookies bij komen kijken. Als je dat goed dichttimmert, dan is dat legaal zonder toestemming – en dán kun je je dus op gerechtvaardigd belang beroepen. Ik zou dus zeggen vrijheid van informatiegaring – weten hoe je site bezocht wordt.
Over de auteur: Arnoud Engelfriet is partner bij ICT Recht.
Gerelateerde opleiding
Deel dit bericht
Plaats een reactie
Uw e-mailadres wordt niet op de site getoond
7 Reacties
Refthoom
Hoe zit het dan met vrije keuze? Want ik zie nog steeds websites met een cookie wall, met name sites van de grote uitgevers, waar je alleen verder komt als je de cookies accepteert.
Jan
Het viel mij ook op dat “gerechtvaardigd belang” steeds vaker in cookiebanners is terug te vinden. Maar het viel mij ook op dat hier dan ook nog zo’n aan/uit schuifje bij staat. Met andere woorden er wordt ook nog “toestemming” gevraagd?
Er wordt dus zowel “gerechtvaardigd belang” als “toestemming” als grondslag voor verwerking gebruikt. Dat mag toch helemaal niet? Je mag toch maar 1 grondslag voor verwerking binnen de AVG kiezen? Als het om twee verschillende verwerkingen gaat, moet je dit toch opsplitsen in het deel dat je met “toestemming” en het deel dat je met “gerechtvaardigd belang” wil afvangen?
Bovendien: hoe kan je “toestemming” weer intrekken bij een derde partij die “gerechtvaardigd belang” heeft gekozen? Dat gaat toch helemaal niet?
Dus is de verwerking op deze manier niet gewoon onwettelijk?
John-Pierre
Ik zie steeds vaker cookie banners met véél meer opties dan de gebruikelijke vier categorieën. Marketingfacts geeft 11 (!) categorieën waarvan er 8 vragen om toestemming én legitiem belang waarbij legitiem belang standaard staat aangevinkt. Vice doet hetzelfde met 12 en 9 categorieën. En dan geven beide ook nog de optie om toestemming te geven voor bijna 200 leveranciers die aangesloten zijn bij het Transparency and Consent Framework van IAB Europe.
Van de ‘legitiem belang’ keuzes zijn er twee die gepersonaliseerd profiel aanmaken. Een advertentieprofiel en een contentprofiel. Het verschil tussen volledige toestemming (die standaard uit staat) en toestemming voor legitiem belang (die standaard aan staat) wordt niet duidelijk gemaakt, maar het lijkt me sterk dat het ‘legitiem beland’ volgens de AVG/ePrivacywet is toegestaan. Ik heb meerdere keren bij Marketingfacts navraag gedaan, maar die geeft gewoon geen reactie.
Alles lijkt erop gericht om het de consument zo lastig mogelijk te maken zodat die maar gewoon toestemming voor alles geeft.
Carlo - -
Het is voor mij simpel, komt een website met te veel opties en/of legitiem belang rotzooi klik ik op de BACK button.
Een gebruiker wil maar twee opties : Ja en nee alleen functioneel.
De rest verbieden.
Karin
Als uitgever willen wij ook niks liever dan een hele simpele keus. Accepteren of niet. Maar wij zijn verplicht binnen het nieuwe framework om al deze keuzes voor te leggen aan de consument. Het schijnt dat dit is wat consumenten willen, controle over hun eigen data en keuzes. En als uitgever mag je niet eens meer een cookiewall gebruiken en moet je een bezoeker dus toegang geven, ook als die geen advertenties wilt accepteren. Ik begrijp niet dat mensen niet snappen dat je hiermee uitgevers kapot maakt. Hoe moeten wij content maken als niemand de rekening wil betalen? Het is advertenties of premium content zonder advertenties. We bieden beide mogelijkheden, maar door nieuwe regels als dit, wordt ons dat als uitgever ontnomen. Goede content is niet gratis!!
Dolf - nvt
Beste Karin, uw reactie komt op mij –als simpele consument– over als de omgekeerde wereld. In de normale (fysieke) economie wordt er toch altijd betaald voor goederen en diensten? Ooit een pak melk in de supermarkt gratis meegekregen in ruil voor het opgeven van wie uw vrienden zijn? Ook een fysiek tijdschrift kost daar gewoon een klein bedrag. Als “niemand de rekening wil betalen” kunt u inderdaad geen content maken, maar moet u een prijs gaan vragen. Dan kunnen consumenten zelf afwegen of ze daar behoefte aan hebben. Er zijn inmiddels veel sites die Premium abonnementen aanbieden, en mijn ervaring is dat als de gratis content op een gegeven erg karig wordt, ik bij sommige sites wél een abonnement neem en bij andere niet. Bij die laatste sites mis ik dan misschien iets, maar dat is dan een bewuste keuze. Dus ik zou zeggen: goede content heeft een prijs!
Daarnaast is het vervelend (vind ik persoonlijk) dat het hele cookie-gebeuren erg ondoorzichtig wordt vanwege de datahandel ‘aan de achterkant’…het cookie-menu met het “gerechtvaardigd belang” dat stiekem toch aan staat is daar een illustratie van.
Jan
@Dolf
Er zijn wel veel sites die premium abonnementen aanbieden, maar de cookies / tracking gaat na het inloggen gewoon door hoor. Bij het maken van het account moet je er zelfs expliciet mee akkoord gaan. Dus zelfs als je betaald voor de content, moet je nog steeds je data afstaan.
Als consument is er geen verschil tussen een gerechtvaardigd belang en een toestemming knopje. Er zullen weinig consumenten zijn die dit zien als dat zij bezwaar indienen tegen het legitieme belang dat de verwerker claimt. En wat gebeurt er vervolgens met dit bezwaar? Inderdaad heel ondoorzichtig en ik kan mij niet voorstellen dat de wetgever dit zo heeft bedoelt.