Nog meer misverstanden over de nieuwe cookiewet

Sinds gisteren is, toch nog onverwacht, de nieuwe cookiewet van kracht geworden. De branche breekt het hoofd over hoe aan de nieuwe regels te voldoen. De wet is ingewikkeld, zowel juridisch als in de praktische uitvoering daarvan.

Wat niet helpt is dat OPTA, de autoriteit die de nieuwe regels moet gaan handhaven, tot op heden zwijgt: geen uitleg, geen richtsnoeren, geen beleid, geen FAQ’s, helemaal niets. Ook minister Verhagen wilde, of beter: kon tijdens het debat in de Eerste Kamer weinig tekst en uitleg geven. Dit omdat er ‘geen consensus’ is binnen Europa over de vraag hoe de cookiewet moet worden uitgevoerd, aldus Verhagen zelf.

Verwarring
Na het Eerste Kamerdebat was de verwarring zo mogelijk nog groter. Verhalen gingen dat de wet pas per 1 januari 2013 inwerking zou treden. Nee, per 1 juli al, maar OPTA zou pas vanaf volgend jaar gaan handhaven, zeiden anderen. Weer andere geluiden waren dat de wet per 1 juni van kracht zou worden, maar dat alleen de informatieverplichting zou worden gehandhaafd, en niet de toestemmingsverplichting. En zo gingen nog wel wat variaties de ronde. Die verwarring werd gecreëerd door Verhagen zelf, die vage toezeggingen deed namens OPTA en namens de regering. Toezeggingen waar noch de online marketingbranche nog de consument wat aan heeft.

Altijd toestemming
De stand van zaken is dat alle verplichtingen uit wet vanaf gisteren moeten worden nageleefd. Officieel is er geen enkele toezegging dat de wet, of delen van de wet pas later zullen worden gehandhaafd. Alleen het vermoeden dat persoonsgegevens worden verzameld wanneer trackingcookies worden gebruikt, geldt pas vanaf 1 januari 2013. Simpel gezegd betekent het dat sinds gisteren voor alle cookies vooraf toestemming moet worden gegeven en informatie moet worden gegeven. Gebeurt dat niet, dan handelt de gebruiker van deze cookies in strijd met de wet.

Twitter discussie
Naar aanleiding hiervan werd er gisteren massaal getwitterd over het feit dat allerlei overheidswebsites cookies gebruiken zonder toestemming. Met uitzondering van nota bene De Piratenpartij overtreden ook alle politieke partijen sinds gisteren de wet. Dat geldt dus ook voor de PVV en de PvdA, de twee partijen die het beruchte amendement hebben ingediend waardoor straks de Wet bescherming persoonsgegevens van toepassing is op trackingcookies.

Als privacy voorvechter reageerde Martijn van Dam, de indiener van het amendement namens de PvdA, fel op de berichtgeving. Een tweet van Van Dam in reactie op de constatering dat de PvdA in overtreding is:

“Nee hoor, cookies zijn toegestaan zonder toestemming, maar bij toepassing voor tracking en profiling is toestemming vereist.”

Waarop wordt gereageerd dat Google Analytics-cookies, waarvan de PvdA gebruikmaakt, ook een trackingfunctie heeft. Ook daar heeft Van Dam een antwoord op:

“Hoeft niet. Bij Analytics kun je als sitebeheerder de trackingfunctie uitzetten. Zal ik checken.”

Hiermee laat Van Dam blijken dat ook hij niet precies weet hoe de wet werkt, die hij zelf deels heeft ontworpen. Daarmee worden de toch al hardnekkige misverstanden over de betekenis van de nieuwe cookieregels, niet alleen in stand gehouden maar alleen maar verergerd.

Duidelijkheid
Voor alle duidelijkheid: de nieuwe cookieregels gelden in principe voor alle cookies. Dat betekent dat voor alle soorten cookies vooraf toestemming moet worden verkregen, voordat ze mogen worden gedropt, tenzij de cookies vallen onder een van de twee strikt geformuleerde uitzonderingen. De vraag of cookies een trackingfunctie hebben of niet, is volstrekt niet relevant. Dat is alleen belangrijk voor de vraag of straks de Wbp van toepassing is.

En voor nog meer duidelijkheid: Google Analytics-cookies vallen in principe niet onder een van de uitzonderingen. Ze zijn niet nodig om de communicatie uit te voeren, en ze zijn in de meeste gevallen ook niet strikt noodzakelijk ter uitvoering van de door gebruiker gevraagde dienst, zoveel wilde de minister nog wel kwijt aan de Eerste Kamer.

Als de ontwerpers van de wet de wet verkeerd uitleggen, de minister geen duidelijkheid durft te geven vanwege de gebrekkige consensus in Europa, en de toezichthouder zwijgt, wat moet de branche dan doen om ‘compliant’ te zijn? En waar kan de internetgebruiker, wiens privacy door deze wet beschermd zou moeten worden, nog op rekenen?

Dit artikel geeft de opinie weer van de auteur, Milica Antic. Zij is werkzaam als advocaat bij Solv.

Foto: Yuri Arcurs (cc)