Gerechtvaardigd belang bij cookies bestaat niet
Op websites wordt regelmatig om toestemming gevraagd voor het plaatsen van cookies. Dat moet van de Telecommunicatiewet en dat moet vervolgens weer op de manier die in de AVG omschreven staat. Maar steeds vaker zien we naast de optie toestemming, ook de optie gerechtvaardigd belang of legitiem belang. Misschien niks mis mee, maar waarom kunnen we die uit zetten? Hoe zet je dit goed in?
Er zijn maar twee opties
Bij het mogen plaatsen van cookies zijn er maar twee opties:
- Het mocht toch al, omdat het bijvoorbeeld noodzakelijke/functionele cookies zijn. Heb je ze bijvoorbeeld nodig om de communicatie via je website uit te kunnen voeren, of om jouw dienst via je website te kunnen leveren, dan mag het wel. Ook zijn analytics cookies toegestaan, als ze niet teveel impact hebben op de privacy van je bezoeker.
- Andere cookies mogen alleen met toestemming, omdat de cookies een privacyinbreuk zijn en niet noodzakelijk of functioneel zijn.
LawStories in je mailbox?
Gerechtvaardigd belang bij cookies bestaat niet
Gerechtvaardigd belang bij cookies bestaat dus niet. Je zou natuurlijk kunnen zeggen dat dit is waarom analytics cookies zijn toegestaan, maar het is geen grondslag. Eigenlijk is er maar één regel:
Cookies plaatsen en vergelijkbare technieken gebruiken, mag alleen met toestemming van de bezoeker.
Heb je geen toestemming, dan mag het dus niet. En daarop bestaat enkel de uitzondering voor
- functionele of noodzakelijke cookies
- analytics cookies
Eenvoudiger kan het bijna niet worden.
Toestemming volgens de AVG
Als je toestemming voor de cookies nodig hebt die je wil plaatsen, moet dat volgens de toestemmingsregels uit de AVG.
Dat is waarom er ook wel gezegd wordt dat een cookiewall niet zou kunnen. De cookies zijn dan immers een voorwaarde geworden om de content te kunnen bekijken. Er is dan geen sprake meer van vrije toestemming, zo is de redenering.
Voor toestemming is nodig:
- een actieve handeling, zoals het klikken op een knop
- moet vrij gegeven kunnen worden, dus mag geen voorwaarde zijn voor iets anders
- het moet specifiek, geïnformeerd en ondubbelzinnig zijn, dus de betrokkene moet precies weten waarvoor toestemming wordt gevraagd
- toestemming voor meerdere doelen, betekent dus ook meerdere keren toestemming vragen, bijvoorbeeld door meerdere vakjes aan te laten vinken
Cookies en vergelijkbare technieken
Let op dat dit trouwens niet alleen voor cookies geldt, maar ook voor alle vergelijkbare technieken, zoals webbeacons en pixels.
De regel geldt namelijk voor alle technieken waarmee je toegang krijgt tot randapparatuur, zoals computers en telefoons, of wanneer op die apparatuur informatie wordt opgeslagen.
Mag een affiliate cookie wel?
Voor tracking cookies en dus ook voor de meeste advertentiecookies is toestemming nodig. Veel mensen blokkeren deze cookies en ook steeds meer techbedrijven gebruiken dit als standaardinstelling. Zo worden ze al geblokkeerd in browsers als Safari en Firefox en vanaf 2022 ook in Google Chrome.
Een affiliate cookie is echter wel toegestaan, zolang daarmee maar geen profielen worden gebouwd. Je zou kunnen zeggen dat het doel van de affiliate cookie vergelijkbaar moet zijn met die van een analytics cookie: enkel meten hoeveel mensen er via een bepaalde affiliate zijn binnengekomen. En niet bijvoorbeeld wie dat dan waren.
Altijd informeren
Als je toestemming nodig hebt voor het plaatsen van een cookie, moet je daar altijd goed over informeren. De belangrijkste informatie staat in de banner, maar dat is nog niet genoeg.
Goed informeren doe je met een cookieverklaring. Die hoef je niet met een pop-up aan te bieden, maar moet wel vanaf elke pagina van je website direct vindbaar zijn. Een link in de footer van je website is dus een goed idee. Je mag hem ook toevoegen aan je privacyverklaring.
-
Cookieverklaring€ 19,95
Gerechtvaardigd belang uit de AVG
Gerechtvaardigd belang is een grondslag uit de AVG. Je mag dan, nadat je daar een belangenafweging in hebt gedaan én deze vermeldt in je privacyverklaring, ook zonder toestemming persoonsgegevens verwerken.
De Telecommunicatiewet en e-Privacyrichtlijn bieden deze optie echter niet voor het plaatsen van cookies. Schuifjes als deze hebben dus weinig zin als het gaat om de vraag of de cookie geplaatst mag worden of niet.
Als het gerechtvaardigd belang als grondslag gebruikt wordt, moeten betrokkenen daar bezwaar tegen kunnen maken. Overigens is dat bezwaar natuurlijk niet altijd per definitie gegrond, dus het is niet per definitie zo dat na dat bezwaar die persoonsgegevens niet meer verwerkt mogen worden. Maar het zou in sommige gevallen wel zo kunnen zijn dat websites het schuifje ‘gerechtvaardigd belang’ of ‘legitiem belang’ gebruiken bij wijze van bezwaarmogelijkheid. Dat is overigens geen verplichting. Je kunt ook gewoon in de privacyverklaring vermelden hoe er bezwaar gemaakt kan worden. Meestal moet dat door naar een bepaald e-mailadres een e-mail te sturen.
Plaatsen van cookies vs gebruik data
Het is wel belangrijk om een onderscheid te maken tussen:
- Het mogen plaatsen van cookies
- Het gebruiken van de data die je met de cookies verzamelt
Het plaatsen van de cookies, is namelijk waar de Telecommunicatiwet over gaat. Met een cookie hoef je niet per se persoonsgegevens te verwerken. Maar doe je dat wel, dan komt ook nog de AVG om de hoek kijken en moet je dus ook aan al die vereisten voldoen om die persoonsgegevens te mogen verwerken.
