Zo goed als alle webwinkels die gebruikmaken van tracking cookies voldoen niet aan de wet. Ze vinken het hokje waarmee gebruikers wordt gevraagd akkoord te gaan met zulke cookies vooraf aan, of dwingen bezoekers deze te accepteren om überhaupt verder te kunnen surfen.
Dat blijkt uit een steekproef van de Autoriteit Persoonsgegevens (AP) onder 175 websites van webshops, gemeenten en media. Bijna de helft van alle onderzochte websites - tegenover bijna alle webwinkels - laten de bezoekers niet expliciet akkoord gaan met het gebruik van tracking cookies. Hiervoor is echter een 'ondubbelzinnige en actieve handeling' van de gebruiker nodig.
Privacywet AVG
Tracking cookies zijn kleine bestandjes die tijdens het surfen op een computer of smartphone worden geplaatst om de gebruiker te kunnen volgen. Op die manier is het mogelijk om internetters advertenties voor te schotelen van producten of diensten die eerder zijn bekeken. Omdat het om de verwerking van persoonsgegevens gaat, is de nieuwe privacywet van kracht.
Sinds het van kracht worden van deze Algemene Verordening Gegevensbescherming (AVG) in mei vorig jaar is de AP belast met de naleving ervan. Als organisaties de wet overtreden, kan de toezichthouder boetes uitdelen. Het gaat om bedragen van maximaal 20 miljoen euro of 4 procent van de wereldwijde jaaromzet.
Ruim twee maanden geleden oordeelde het Europees Hof van Justitie al dat het vinkje waarmee bezoekers toestemming geven voor het gebruik van cookies niet al vooraf mag zijn ingevuld. Als het vinkje al is gezet en gebruikers dus alleen nog maar op 'ok' hoeven te drukken om door te gaan, dan is dat geen bewuste keus en is hun toestemming dus niet geldig.
Nog geen boetes
De overtredende partijen hebben inmiddels een brief gekregen van de toezichthouder met de oproep om hun cookiebeleid op orde te brengen. "Het doel is om de overtreding aangepast te krijgen", laat een woordvoerder van AP weten in een reactie. "Alles is er op gericht dat overtreding stopt. Het gaat vaak niet om onwil."
"Ik denk dat de organisaties die een brief hebben gekregen zich terdege bewust zijn dat er acties vanuit de Autoriteit Persoonsgegevens kunnen volgen."
Op een boete hoeven de overtreders op korte termijn niet te rekenen, maar dat betekent niet dat dit in de toekomst niet gebeurt, aldus de woordvoerder. "Ik denk dat de organisaties die een brief hebben gekregen zich terdege bewust zijn dat er acties vanuit de Autoriteit Persoonsgegevens kunnen volgen. Dit moet gewoon aangepast worden."
Bol.com en Coolblue
Hoewel de AP de onderzochte en overtredende organisaties niet bekend wil maken, blijkt uit een inventarisatie van RTL Z dat onder meer Bol.com en Coolblue hun cookiebeleid niet op orde hebben. Beide webshops plaatsen tracking cookies van Google en Facebook zonder expliciete toestemming van de gebruiker met de mededeling dat deze geaccepteerd moeten worden om verder te surfen.
Het gebruik van tracking cookies op Bol.com en Coolblue kan wel worden gewijzigd. Daarvoor moeten internetters wel naar de aparte cookiepagina surfen, helemaal onderaan de pagina. De cookiebalk op de homepage is na één klik al verdwenen.
Bol.com laat in een een reactie weten dat het inderdaad een brief van de AP heeft ontvangen. "We waren voor ontvangst van deze brief echter al bezig met het evalueren van ons cookiebeleid", zegt een woordvoerder, verwijzend naar de uitspraak van het Europese Hof. "Naar aanleiding van die uitleg kijken wij nu in hoeverre wij ons cookiebeleid gaan aanpassen."
Coolblue heeft nog niet gereageerd op vragen van RTL Z.
Cookiemuren
Veel Nederlandse media zijn ook in overtreding. Zowel DPG Media (de Volkskrant, AD) en Mediahuis (De Telegraaf, NRC) als Talpa (SBS6, Radio 538) en RTL Nederland (RTL Z, Videoland) hebben cookiemuren opgetuigd. Bezoekers kunnen de website pas bekijken wanneer ze de cookies accepteren. Ga je niet akkoord, dan kun je niet verder.
"Online adverteerders willen alleen gericht advertenties inkopen en daarvoor is nodig dat gebruikers aan RTL toestemming geven. Het alternatief is dat RTL geld moet gaan vragen voor zijn diensten."
Het gebruik van deze cookiewalls is ook verboden, oordeelde de AP al eerder op basis van privacywet AVG. Dat komt omdat websites geen geldige toestemming kunnen krijgen van hun gebruikers voor het plaatsen van tracking cookies. Bezoekers moeten ook de gelegenheid hebben om toestemming te weigeren.
Ook RTL Nederland heeft de brief van de AP ontvangen, bevestigt een woordvoerder. Het mediabedrijf is daarna met de toezichthouder om tafel gegaan om tot een gezamenlijke oplossing te komen. "Helaas is dat tot nu toe niet gelukt."
Businessmodel
RTL bestrijdt dat een cookiewall per definitie onrechtmatig is. "AP benadert de cookiewall uitsluitend vanuit privacy-oogpunt", aldus de woordvoerder. "Hierbij houdt het onvoldoende rekening met het businessmodel van online mediadiensten."
Volgens haar zijn tracking cookies van essentieel belang voor het voortbestaan van commerciële media. "Online adverteerders willen alleen gericht advertenties inkopen en daarvoor is nodig dat gebruikers aan RTL toestemming geven. Het alternatief is dat RTL geld moet gaan vragen voor zijn diensten."
