-

Mag een tracking cookie van de AVG als je het “gerechtvaardigd belang” noemt?

Een lezer vroeg me: Sinds een tijdje valt het me op dat er steeds meer cookie-popups zijn die schermen met de term “gerechtvaardigd belang” als reden waarom ze cookies mogen plaatsen. Ook tracking cookies, terwijl dat toch gewoon onder toestemming valt volgens de AVG? Waar komt die term vandaan en hoezo is het niet misleidend om je commerciële belang op voorhand “gerechtvaardigd” te noemen?

Misleidend

Die term is inderdaad wat misleidend, zeker gezien hoe mensen de term nu gebruiken namelijk als schaamlap voor alles dat ze maar willen. Maar ‘gerechtvaardigd’ betekent niet dat jij het goed moet vinden, het betekent dat het binnen de wet past, van de wet te rechtvaardigen is.

In de kern komt het erop neer dat er situaties zijn waarin jij ook gewoon een belang hebt, bijvoorbeeld de bescherming van je eigendom (een grondrecht, immers). Dat belang moet je dan kunnen beschermen, zoals door cameratoezicht. De AVG zegt dan dat dat mag, mits je maar zo veel mogelijk de privacy van passanten beschermt.

Belangenafweging

Daar zit dan een hele belangenafweging in, inclusief zo mogelijk een opt-out op basis van persoonlijke omstandigheden. Maar in de kern zegt de AVG dus dat het mag, “in principe” zoals de AVG dat noemt.

Het lastige is natuurlijk wanneer een belang “gerechtvaardigd” is. De AVG gaat daar niet op in, en er is ook geen jurisprudentie hierover van het Hof van Justitie. Onze eigen Autoriteit Persoonsgegevens publiceerde in haar normuitleg hier wel een formulering over:

[Gerechtvaardigd] houdt in dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden.

De insteek is dus dat een belang ergens te herleiden moet zijn tot de wet, zoals in mijn voorbeeld van het eigendomsrecht dat ik wil beschermen. Een ander belang zou kunnen zijn dat ik een rechtsvordering wil instellen tegen je, omdat jij mijn schadeclaim niet betaalt. Daarvoor heb ik je persoonsgegevens nodig, en dat zou ik dan onder deze grondslag kunnen doen.

Direct marketing

Bij al die cookiedingen wordt er geschermd met “direct marketing” als gerechtvaardigd belang, omdat de AVG dat expliciet noemt als een voorbeeld. Daar zet de AP tegenover:

Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, et cetera.

Zuiver commercieel belang

Over wat een “zuiver commercieel belang” is, heb ik het eerder gehad. Ik las dat als dat je “ik wil geld verdienen anders ga ik failliet” niet als belang mag opvoeren, maar de AP lijkt het te interpreteren als “iedere motivatie waarin ‘ik wil geld verdienen’ staat, is ongeldig”. Dat gaat wel héél ver, met name omdat grondrechten wél als gerechtvaardigd belang kunnen dienen en de vrijheid van ondernemerschap een grondrecht is. Net als de vrijheid van meningsuiting; als ik je privacy mag schenden door iets te publiceren, waarom dan niet door je te tracken?

Specifiek bij cookies werkt dit trouwens bijna nooit. De Telecommunicatiewet eist toestemming voor ieder plaatsen of uitlezen van informatie, ongeacht wat de AVG eventueel zegt over de persoonsgegevens-aspecten van die informatie. Dus een cookie plaatsen of een remote software update uitvoeren mag alleen met toestemming.

Uitzondering

De Nederlandse uitzondering daarop is dat cookies die geen of geringe privacy-inbreuk maken, géén toestemming nodig hebben. Daarmee kun je dus bijvoorbeeld third-party analytics inzetten, hoewel daar tracking cookies bij komen kijken. Als je dat goed dichttimmert, dan is dat legaal zonder toestemming – en dán kun je je dus op gerechtvaardigd belang beroepen. Ik zou dus zeggen vrijheid van informatiegaring – weten hoe je site bezocht wordt.

Over de auteur: Arnoud Engelfriet is partner bij ICT Recht.

Op de hoogte blijven van het laatste nieuws binnen je vakgebied? Volg Emerce dan ook op social: LinkedInTwitter en Facebook.

Deel dit bericht

5 Reacties

Refthoom

Hoe zit het dan met vrije keuze? Want ik zie nog steeds websites met een cookie wall, met name sites van de grote uitgevers, waar je alleen verder komt als je de cookies accepteert.

Jan

Het viel mij ook op dat “gerechtvaardigd belang” steeds vaker in cookiebanners is terug te vinden. Maar het viel mij ook op dat hier dan ook nog zo’n aan/uit schuifje bij staat. Met andere woorden er wordt ook nog “toestemming” gevraagd?

Er wordt dus zowel “gerechtvaardigd belang” als “toestemming” als grondslag voor verwerking gebruikt. Dat mag toch helemaal niet? Je mag toch maar 1 grondslag voor verwerking binnen de AVG kiezen? Als het om twee verschillende verwerkingen gaat, moet je dit toch opsplitsen in het deel dat je met “toestemming” en het deel dat je met “gerechtvaardigd belang” wil afvangen?

Bovendien: hoe kan je “toestemming” weer intrekken bij een derde partij die “gerechtvaardigd belang” heeft gekozen? Dat gaat toch helemaal niet?

Dus is de verwerking op deze manier niet gewoon onwettelijk?

John-Pierre

Ik zie steeds vaker cookie banners met véél meer opties dan de gebruikelijke vier categorieën. Marketingfacts geeft 11 (!) categorieën waarvan er 8 vragen om toestemming én legitiem belang waarbij legitiem belang standaard staat aangevinkt. Vice doet hetzelfde met 12 en 9 categorieën. En dan geven beide ook nog de optie om toestemming te geven voor bijna 200 leveranciers die aangesloten zijn bij het Transparency and Consent Framework van IAB Europe.

Van de ‘legitiem belang’ keuzes zijn er twee die gepersonaliseerd profiel aanmaken. Een advertentieprofiel en een contentprofiel. Het verschil tussen volledige toestemming (die standaard uit staat) en toestemming voor legitiem belang (die standaard aan staat) wordt niet duidelijk gemaakt, maar het lijkt me sterk dat het ‘legitiem beland’ volgens de AVG/ePrivacywet is toegestaan. Ik heb meerdere keren bij Marketingfacts navraag gedaan, maar die geeft gewoon geen reactie.

Alles lijkt erop gericht om het de consument zo lastig mogelijk te maken zodat die maar gewoon toestemming voor alles geeft.

Carlo - -

Het is voor mij simpel, komt een website met te veel opties en/of legitiem belang rotzooi klik ik op de BACK button.
Een gebruiker wil maar twee opties : Ja en nee alleen functioneel.
De rest verbieden.

Karin

Als uitgever willen wij ook niks liever dan een hele simpele keus. Accepteren of niet. Maar wij zijn verplicht binnen het nieuwe framework om al deze keuzes voor te leggen aan de consument. Het schijnt dat dit is wat consumenten willen, controle over hun eigen data en keuzes. En als uitgever mag je niet eens meer een cookiewall gebruiken en moet je een bezoeker dus toegang geven, ook als die geen advertenties wilt accepteren. Ik begrijp niet dat mensen niet snappen dat je hiermee uitgevers kapot maakt. Hoe moeten wij content maken als niemand de rekening wil betalen? Het is advertenties of premium content zonder advertenties. We bieden beide mogelijkheden, maar door nieuwe regels als dit, wordt ons dat als uitgever ontnomen. Goede content is niet gratis!!

Plaats een reactie

Uw e-mailadres wordt niet op de site getoond