Deze casus gaat over het recht op bescherming van de persoonsgegevens en het privéleven van burgers binnen de EU. Gaan we voldoende bewust om met de informatie die we online delen? Geven we te snel toestemming dat cookies mogen worden geplaatst? Wanneer kan men eigenlijk stellen dat we toestemming gaven? Wanneer we een leeg vakje hebben aangevinkt of ook wanneer we een standaard aangevinkt vakje niet hebben afgevinkt (en we de veronderstelde toestemming hebben ingetrokken)?[1]
De feiten: Planet49 volgt het surfgedrag van bezoekers via cookies
Planet49 is een Duitse vennootschap die kansspelen op internet aanbiedt. Bezoekers van de website die aan de loterij willen deelnemen, moeten hun postcode invoeren. Daarna komen ze op een pagina terecht waar ze hun naam en adres moeten opgeven. Onder de invoervelden voor het adres staan twee mededelingen met daarbij twee selectievakjes:
- De eerste mededeling is als volgt: “Ik vind het goed dat sponsors en partners mij per post of telefonisch dan wel via e-mail of sms op de hoogte stellen van aanbiedingen die verband houden met hun respectievelijke activiteiten. Ik kan deze hier zelf bepalen; anders zal de keuze door de organisator worden gemaakt. Ik kan mijn instemming te allen tijde weer intrekken. Meer informatie daarover is hier te vinden.”
- De tweede mededeling – die standaard is aangevinkt – luidt: “Ik vind het goed dat webanalysedienst Remintrex bij mij wordt ingeschakeld. Dat brengt mee dat de organisator van de loterij, Planet49 […], na mijn registratie voor de loterij cookies zal plaatsen, waardoor deze in de gelegenheid zal zijn mijn surf- en gebruiksgedrag op websites van reclamepartners te analyseren en Remintrex mij specifieke reclameberichten zal kunnen toesturen. Deze cookies kan ik te allen tijde weer wissen. Meer daarover hier.”
Als een bezoeker meer informatie opvraagt (door op hier te klikken), dan verschijnt dit: "De geplaatste cookies met de namen ceng_cache, ceng_etag, ceng_png en gcr zijn kleine bestanden die door uw browser worden opgeslagen op uw harde schijf en waardoor gegevens worden binnengehaald die een gebruikersvriendelijkere en effectievere reclame mogelijk maken."
Deze cookies laten Planet49 toe het surfgedrag van bezoekers te volgen op websites van reclamepartners. Dat is mogelijk omdat gebruikers hun naam en adres opgeven. Aan de registratie van de gebruiker wordt een nummer toegekend en dat nummer wordt vervolgens verbonden met die persoonlijke gegevens. Er kan dan bijvoorbeeld worden geregistreerd dat je de website bezoekt, voor welk product je interesse hebt en of je dat al dan niet gekocht hebt. Op basis van die informatie kunnen de gebruikers dan specifieke reclame ontvangen. Deelname aan de loterij is alleen mogelijk wanneer ten minste het eerste selectievakje is aangevinkt.
De Duitse vereniging voor consumentenbescherming (vergelijkbaar met het Belgische Testaankoop) protesteert. De organisatie vindt vooral het feit dat het selectievakje bij de tweede mededeling standaard is aangevinkt in strijd met het recht op bescherming van het privéleven. Bezoekers van de site die aan de loterij willen deelnemen, worden zo verondersteld akkoord te gaan dat hun gegevens worden opgeslagen. Zij moeten expliciet afvinken dat zij dat niet willen. Dat is volgens de consumentenvereniging ook in strijd met de EU-Richtlijn Privacy in elektronische communicatie.[2] Zij stelt hiertegen een beroep in bij de Duitse rechter. Deze stelt op zijn beurt enkele vragen aan het Hof van Justitie.
Over welke EU-rechten gaat dit verhaal?
Het recht op bescherming van persoonsgegevens en op de eerbiediging van het privéleven (art. 7 en 8 Handvest van de grondrechten van de EU) zijn zeer belangrijk in het EU-recht. Daarom bepaalt de EU-wetgeving dat je toestemming steeds nodig is vooraleer een website informatie kan opslaan op je computer of vooraleer deze toegang kan krijgen tot informatie die zich al op je computer bevindt. Dat geldt ook voor een cookie (een cookie is een klein bestandje dat op je toestel wordt opgeslagen wanneer je een website bezoekt).
Volgens de EU-wetgeving moet de verwerking van je gegevens op een eerlijke manier gebeuren. Een cookie houdt een verwerking van je persoonsgegevens in omdat je naam en adres worden gelinkt met andere gegevens. Dat wordt uitgewerkt in de Richtlijn Privacy in elektronische communicatie. Toestemming is het cruciale begrip van deze Richtlijn.
Planet49 moet duidelijke en volledige informatie geven over het doel van de cookie.[3] Het moet vooraf vermelden wie toegang zal hebben tot de informatie (bijv. welke reclamepartners) en hoelang de cookie actief zal zijn. Volgens het Hof van Justitie moet die informatie voldoende gedetailleerd zijn om je toe te laten de gevolgen in te schatten van de toestemming die je verleent om een cookie op te slaan.
Wordt er wel toestemming gegeven als het vakje standaard aangevinkt staat?
In deze casus linkt de cookie de naam en het adres van de gebruikers aan het registratienummer voor de loterij. De cookie laat toe het latere surfgedrag te volgen en te personaliseren. Het verzamelen van deze gegevens door middel van cookies moet daardoor als verwerking van persoonsgegevens worden aangemerkt. Hiervoor moet dus uitdrukkelijk toestemming worden gegeven.[4]
De Richtlijn definieert de toestemming als “elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Er moet met andere woorden dus sprake zijn van een actieve handeling. Toestemming door middel van een standaard aangevinkt selectievakje impliceert geen actieve gedraging van de gebruiker van een website. Het is in dat geval namelijk onmogelijk om na te gaan of de persoon daadwerkelijk zijn toestemming gegeven heeft, aangezien het goed mogelijk is dat de gebruiker de informatie bij het standaard aangevinkte vakje (de “zie hier") niet heeft gelezen.
Het Hof oordeelt dat een standaard aangevinkt selectievakje op een website om toestemming te geven tot het opslaan van een cookie niet kan worden beschouwd als een rechtsgeldige toestemming.
Wat met andere gegevens (zoals IP-adres, type browser, add-ons voor die browser, …)?
Het Hof oordeelt: het privéleven van de gebruiker moet steeds worden beschermd, ongeacht of een inmenging betrekking heeft op persoonsgegevens of niet. Alle informatie die bewaard wordt, moet met andere woorden worden beschermd. Er is namelijk ook een kans dat verborgen identificatoren en andere soortgelijke programma's binnenkomen op hun apparaten zonder hun medeweten.
Vervolg na de beslissing van het Hof van Justitie
Voor Planet49
Deze Duitse vennootschap die kansspelen op internet aanbiedt, moet om actieve toestemming vragen van gebruikers van de site. Dat kan door een leeg selectievakje dat de gebruiker kan aanvinken.
Voor andere vennootschappen op internet, voor de lidstaten en de EU
Het begrip “toestemming” moet over de hele Unie uniform moet worden geïnterpreteerd, aangezien het om EU-wetgeving en niet om nationale wetgeving gaat. De lidstaten moeten ervoor zorgen dat hun nationaal recht in overeenstemming is met het EU-recht. De nationale rechters moeten deze interpretatie van het Hof van Justitie volgen.
In 2016 nam de EU een verordening aan: de Algemene Verordening Gegevensbescherming. Het is niet toevallig dat de EU-wetgever koos voor een verordening in plaats van een richtlijn. Een verordening geeft rechtstreeks rechten aan burgers, los van wat hun nationaal recht zegt, en is zo veel sterker dan een richtlijn.
De Privacyverordening wijst op de gevaren van cookies:
“Natuurlijke personen kunnen worden gekoppeld aan online-identificatoren via hun apparatuur, applicaties, instrumenten en protocollen, zoals internetprotocol (IP)-adressen, identificatiecookies of andere identificatoren zoals radiofrequentie-identificatietags. Dit kan sporen achterlaten die, met name wanneer zij met unieke identificatoren en andere door de servers ontvangen informatie worden gecombineerd, kunnen worden gebruikt om profielen op te stellen van natuurlijke personen en natuurlijke personen te herkennen.”[5]
In de Privacyverordening staat het begrip “toestemming” beter gedefinieerd dan in de Richtlijn van deze casus. Toestemming wordt er gedefinieerd als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt".[6] In de Verordening wordt dus duidelijk een actieve toestemming vereist. Een reeds aangevinkt vakje volstaat hiervoor niet. Een zaak als Planet49 heeft de wetgever op dat probleem gewezen en leidde tot een precieze regel, zodat dat niet langer in twijfel kan worden getrokken. Alle actoren op internet, vennootschappen en andere, moeten dat respecteren.
Deze tekst is gebaseerd op de casusfiche geschreven door Roel De Meu, Willem Theus, Kris Grimonprez en Antje Vanlaethem.
Meer uitleg over deze zaak en andere belangrijke Europese rechtspraak vindt u terug op de website van Case4EU, o.l.v. Kris Grimonprez.
0 reacties