Antwoord schriftelijke vragen : Antwoord op vragen van de leden Middendorp en Van Gent over het bericht 'Websites overtreden massaal cookiewallverbod'

Antwoord van MinisterDekker (Rechtsbescherming) (ontvangen 10 september 2019). Zie
ook Aanhangsel Handelingen, vergaderjaar 2018–2019, nr. 3549.

Vraag 1

Kent u het bericht over «Websites overtreden massaal cookiewallverbod»?1

Antwoord 1

Ja.

Vraag 2

Bent u bekend met de uitspraak van de Autoriteit Persoonsgegevens dat gratis websites
ook gratis toegankelijk moeten zijn voor bezoekers die geen toestemming geven voor
zogenaamde «tracking cookies»» ten bate van gericht adverteren? Hoe beoordeelt u deze
zienswijze? Kunt u daarbij betrekken dat cookiewalls zijn ingesteld om te kunnen voldoen
aan de eisen van de wet om toestemming te vragen bij het gebruik van bepaalde cookies
bij gratis websites zoals nieuwswebsites?

Antwoord 2

Ja ik ben bekend met de uitspraak van de Autoriteit Persoonsgegevens (AP). Door middel
van tracking cookies (volgsoftware) kunnen bedrijven het internetgedrag van mensen
volgen. Persoonlijke interesses kunnen zo worden afgeleid om vervolgens profielen
van deze mensen samen te stellen en gericht te kunnen adverteren. Op grond van artikel
11.7a Telecommunicatiewet (Tw) is voor het gebruik van tracking cookies toestemming
van de gebruiker vereist. Nu in artikel 11.7a van de Tw verwezen wordt naar de AVG
is het begrip toestemming in de Tw gelijk aan het begrip toestemming zoals dat gedefinieerd
is in de AVG. Dit betekent onder meer dat de toestemming vrijelijk moet zijn gegeven
en moet voldoen aan de eisen van artikel 7 van de AVG. Artikel 7, vierde lid, van
de AVG bepaalt dat bij de beoordeling van de vraag of de toestemming vrijelijk kan
worden gegeven onder meer ten sterkste rekening moet worden gehouden met de vraag
of voor de uitvoering van een overeenkomst (…) toestemming is vereist voor een verwerking
van persoonsgegevens die niet noodzakelijk zijn voor de uitvoering van de overeenkomst.
AP komt op grond van deze bepaling tot het oordeel dat er bij gebruik van cookiewalls
geen sprake is van vrijelijk gegeven toestemming en dat cookiewalls derhalve niet
zijn toegestaan.

Zie voorts mijn antwoord op vraag 4.

Vraag 3

Bent u bekend met het beleid in andere Europese landen ten aanzien van deze trackingcookies
en cookiewallverboden? Is dat gelijk in alle landen of zijn er verschillen op het
punt van het gebruik/toestemming vragen voor of verbieden van tracking cookies en
cookiewalls? Kunt u de Kamer hiervan een overzicht geven?

Antwoord 3

De zogenoemde cookiepaling is onderdeel van de Europese ePrivacy richtlijn 2002/58,
die in Nederland in artikel 11.7a van de Tw is geïmplementeerd. In deze Europese richtlijn
wordt geregeld wie onder welke voorwaarden gegevens van een ander mag verwerken die
op diens eindapparatuur staan.

Ook in andere landen is men bezig met normuitleg over het gebruik van (tracking)cookies.
In Frankrijk heeft CNIL, de Franse toezichthouder, onlangs richtlijnen vastgesteld
over het gebruik van cookies/cookiewalls en het geven van toestemming. Daarin stelt
CNIL dat het gebruik van een cookiewall in strijd is met de AVG omdat er dan geen
sprake is van een vrijelijk verleende toestemming (artikel 2 Richtlijnen). Deze richtlijnen
zijn alleen in het Frans beschikbaar.2 Ook de Engelse toezichthouder, ICO, heeft onderzoek gedaan naar het gebruik van (tracking)cookies,
en dan met name in de context van «real-time bidding». Over cookiewalls stelt de ICO
dat een cookiewall «is unlikely to represent valid consent», maar dat er ook andere
overwegingen zijn, en wijst op het recht van vrijheid van ondernemerschap.3 Verder staat het onderwerp op de agenda van Technology Expert Subgroup van de European
Data Protection Board (EDPB).

Ik beschik verder niet over een overzicht waarin het beleid of uitleg van andere Europese
landen ten aanzien van tracking cookies en cookiewalls wordt weergegeven.

Voor het overige heeft de AP mij laten weten dat zij binnen de European Data Protection
Board nauw samenwerkt met haar Europese collega-toezichthouders, onder meer om te
komen tot gemeenschappelijke guidelines over de toepassing/uitleg van AVG-normen.
Bij het bepalen van haar standpunt over cookiewalls, heeft de AP zich mede gebaseerd
op de gemeenschappelijke EDPB guidelines over toestemming (Guidelines on Consent under
Regulation 2016/679 (wp259rev.01)).

Vraag 4

Hoe beoordeelt u de stelling dat een mogelijk verbod op cookiewalls in het huidige
competitieve landschap het verdienmodel raakt van bedrijven? Kunt u daarbij met name
ingaan op de verdienmodellen van bedrijven die content (nieuws, redactionele artikelen)
produceren en deze op gratis websites aanbieden?

Antwoord 4

Ik wil vooropstellen dat het hier gaat om de bescherming van een grondrecht. Daarnaast
is privacy belangrijk voor het goed functioneren van de elektronische communicatiemarkt.
Als gebruikers van elektronische communicatiediensten er niet op kunnen vertrouwen
dat hun privacy gewaarborgd is, zal dit het gebruik van deze diensten – met of zonder
cookiewalls – aanzienlijk beperken. In die zin moeten bedrijven met businessmodellen
waarbij de gebruikers twijfels hebben over hun privacybescherming, zich afvragen of
ze voldoende aansluiten op de wensen en behoeftes van hun klanten.

Een cookiewall – in een competitief landschap – heeft tot gevolg dat een website of
dienst alleen toegankelijk is op voorwaarde dat de gebruikers de cookies accepteren.
Het is dan inderdaad de vraag of eindgebruikers hebben in dat geval een vrije keuze
hebben. Daarom pleit Nederland in lijn met de motie Verhoeven voor een verbod op deze
zogenoemde cookiewalls.4 Ik ben er van overtuigd dat de huidige (Europese) wettelijke kaders voldoende ruimte
bieden om innovatie binnen het bedrijfsleven en een goede privacybescherming hand
in hand te laten gaan.

Vraag 5 en 6

Hoe beoordeelt u de stelling dat een mogelijk verbod op cookiewalls in het huidige
competitieve landschap Nederlandse mediabedrijven op achterstand zet op grote internationale
techbedrijven (bijvoorbeeld social media bedrijven) vooral omdat de laatste toestemming
vragen voor gericht adverteren met gebruik van persoonsgegevens van gebruikers via
algemene voorwaarden?

Waarom kan toestemming voor instrumenten om gericht te adverteren (zoals tracking
cookies) niet via algemene voorwaarden geregeld worden?

Antwoord 5 en 6

Op grond van artikel 11.7a, lid 1, Tw is het alleen toegestaan om cookies te plaatsen
indien de gebruiker is voorzien van duidelijke en volledige informatie. Deze informatie
moet in ieder geval weergeven welke informatie wordt verzameld en voor welke doeleinden
deze informatie wordt gebruikt. De memorie van toelichting bij dit artikel voegt hieraan
toe dat de informatie gemakkelijk te vinden moet zijn en in begrijpelijke bewoordingen
gegeven.5 Als deze informatie in algemene voorwaarden wordt opgenomen is niet voldaan aan voornoemde
eis om de gebruiker duidelijk te informeren.

Voor het plaatsen en lezen van cookies, met uitzondering van functionele cookies en
niet-privacygevoelige analytische cookies, dient, zoals al eerder aangegeven, toestemming
te worden verkregen. Het moet hier gaan om vrijelijk verleende toestemming. Rechtsgeldige
toestemming voor het gebruik van cookies moet blijken uit een daar toe strekkende
handeling van de eindgebruiker (klikken op een «ja» knop of verder surfen na de mededeling
dat cookies zullen worden geplaatst)Toestemming kan dus niet worden verkregen via
algemene voorwaarden.6

De voornoemde verplichtingen gelden niet alleen voor Nederlandse websites, maar voor
een ieder die gegevens plaatst op of uitleest die zijn opgeslagen in de randapparatuur
van een gebruiker. Het maakt daarbij niet uit waar deze partij gevestigd is. Bepalend
is dat deze norm tot doel heeft gebruikers in Nederland te beschermen. De informatieplicht
en het toestemmingsvereiste gelden derhalve voor zowel Nederlandse websites als voor
internationale bedrijven die zich (mede) op Nederlandse gebruikers richten. Dat laatste
kan bijvoorbeeld worden afgeleid uit de aard van de aangeboden informatie, de mogelijkheid
om producten in Nederland te laten bezorgen of uit de omstandigheid dat een website
in de Nederlandse taal wordt aangeboden. Hierbij is het domein van de website (.nl/.eu/.com/.net/etc.)
niet doorslaggevend.

Ik ben dan ook van oordeel dat Nederlandse mediabedrijven op dit punt geen achterstand
hebben op internationale bedrijven.

Vraag 7

Kunt u omschrijven hoe de wet- en regelgeving omtrent tracking cookies en cookiewalls
in de telecommunicatiewet, de ePrivacy richtlijn en de Algemene verordening gegevensbescherming
zich tot elkaar verhouden?

Antwoord 7

De bepalingen in de Tw vormen een omzetting van de Europese ePrivacy richtlijn, richtlijn
nr. 2002/58. De ePrivacyrichtlijn en daarmee de Tw is een lex specialis ten opzichte
van de AVG. Dit betekent dat voor zover de regels van de Tw en de AVG samenlopen de
regels van de Tw voorgaan op die van de AVG. Bij het gebruik van cookies gaat het
daarbij vooral om de verwerkingsgrondslagen. Op basis van de Tw mogen gegevens die
via cookies zijn verkregen alleen worden verwerkt als deze verwerking nodig is voor
de levering van een door de eindgebruiker gevraagde dienst of als de eindgebruiker
toestemming heeft verleend.

Het begrip toestemming in de Tw is, zoals al gezegd, hetzelfde als het begrip toestemming
in de AVG. Daarom zijn, zoals ook al bij het antwoord op vraag 2 is aangegeven, de
eisen die de AVG stelt aan rechtsgeldige toestemming ook van toepassing bij toestemming
in het kader van cookies.

Momenteel worden onderhandelingen gevoerd over een nieuwe Europese ePrivacyverordening
die de huidige richtlijn zal vervangen. Het Europees parlement heeft aangegeven een
expliciet verbod op cookiewalls te willen opnemen in de nieuwe ePrivacyverordening.
De Raad van de Europese Unie heeft nog geen standpunt ingenomen. In lijn met de motie
Verhoeven pleit Nederland in de Raad voor een verbod op deze zogenoemde cookiewalls.
Met een dergelijk verbod zou -los van de interpretatie van artikel 7, vierde lid,
van de AVG, onomstreden duidelijk worden bepaald dat cookiewalls niet zijn toegestaan.
Zo wordt voorkomen dat er tussen de lidstaten interpretatieverschillen optreden. Hoewel
de onderhandelingen in de Raad over de ePrivacyverordening nog steeds niet zijn afgerond
is al wel duidelijk dat er weinig steun is voor een verbod op cookiewalls. Uiteindelijk
zal veel afhangen van de onderhandelingen met het Europese parlement.