De nieuw(st)e cookiewet: expliciete toestemming van de baan

Deze week publiceerde het Ministerie van Economische Zaken haar voorstel tot het (opnieuw) wijzigen van de cookiewet. Verschillende Kamerleden hadden kritiek geuit op de pop-up-terror en cookiewalls. Daarom stelt minister Kamp nu twee dingen voor: sites hoeven geen toestemming meer te vragen voor niet privacygevoelige cookies, zoals analytics en affiliate cookies. 

Bovendien hoeft de webbezoeker niet meer expliciet een box aan te vinken om toestemming te geven, maar kan dit ook blijken uit een andere handeling zoals doorsurfen, mits je bezoeker dan wel begrijpt dat hij dan toestemming geeft.

Statistieken mogen weer

De cookiewet houdt de gemoederen bezig, illustreert ook dit nieuwe voorstel. Er wordt één zin van de cookiewet veranderd, maar er zijn vijftien pagina’s nodig voor de toelichting. De daadwerkelijke wetswijziging ziet er als volgt uit (punt b):

“11.7 a lid 3
3. Het bepaalde in het eerste lid is niet van toepassing indien het de opslag of toegang betreft:
a. met als uitsluitend doel de communicatie over een elektronisch communicatienetwerk uit te voeren,
b. die strikt noodzakelijk is om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren of – mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker – om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij.”

Naast functionele cookies die nodig zijn om communicatie mogelijk te maken of een dienst te leveren (winkelwagentjes, logindata), worden nu ook cookies die een geringe invloed hebben op de privacy uitgezonderd van de verplichting om te informeren en toestemming te vragen. Als voorbeeld noemt de minister analytics-, affiliate- en A/B testing-cookies. Voorwaarde is wel dat je de data niet gebruikt om profielen te maken.

Als je bovendien gebruik maakt van een derde partij voor je analytics, bijvoorbeeld Google, moet je met deze partij een bewerkersovereenkomst afsluiten waarin je afspreekt dat Google de cookiedata niet mag gebruiken.

Toestemming voor tracking cookies

Over het gebruik van tracking cookies moet wel worden geïnformeerd, en hiervoor moet toestemming gevraagd worden. Deze cookies hebben wel invloed op de privacy van de webbezoeker. Die toestemming hoeft volgens Kamp niet ‘expliciet’ gevraagd te worden, maar kan blijken uit een handeling van je bezoeker.

“Binnen de definitie van ‘toestemming’ is het niet noodzakelijk dat deze handeling expliciet uiting geeft aan de wens om het gebruik van cookies te aanvaarden. Dit kan ook blijken uit minder expliciete handelingen dan het klikken op een button ‘ik geef toestemming’ in een pop-up.”

Dit kan bijvoorbeeld blijken uit het doorsurfen van de bezoeker, nadat hij duidelijk en volledig is geïnformeerd. Essentieel is dat de bezoeker wel een handeling doet, waarmee hij te kennen geeft dat hij het oké vindt dat er cookies worden geplaatst. Zwijgen is in dit geval geen instemmen. Cookies kunnen dan niet op de eerste pagina geplaatst worden, want dan is er nog geen handeling geweest van de bezoeker.

‘Beter functioneren van de website’ verleden tijd?

Voorwaarde voor de toestemming door een handeling is wel dat een webbezoeker duidelijk en volledig is geïnformeerd.

“Om uit een dergelijke handeling toestemming te kunnen afleiden is wel van belang dat de bezoeker op het moment dat hij doorsurft duidelijk en volledig moet zijn geïnformeerd.”

Om onder het lichtere toestemmingsregime te vallen, moeten sitehouders aangeven waarom zij cookies plaatsen, bijvoorbeeld om getarget te adverteren. ‘Beter functioneren van de website’, is volgens het ministerie onvolledig en misleidend.

Wordt vervolgd

Het MKB, webwinkels en bloggers halen opgelucht adem nu het ernaar uitziet dat zij weer webstatistieken kunnen meten. En de toelichting maakt hopelijk een einde aan de discussie over de ‘juiste’ manier van toestemming vragen. Iets waar bedrijven de afgelopen periode mee worstelden. Toestemming geven door middel van een handeling is iets waar DDMA en de andere branchevertegenwoordigers al lang voor pleiten. Met de wijziging lijkt een meer praktische en gebruiksvriendelijke oplossing voor handen.

De komende zes weken wordt het wetsvoorstel openbaar geconsulteerd (input is welkom). Daarna gaat het langs de ACM (was OPTA), CBP en de Raad van State voor advies. Waardoor het waarschijnlijk pas in het najaar aangeboden kan worden aan de Tweede Kamer, die over de wijziging zullen moeten stemmen.