BLOG: Tracking cookies, hoe zit dat ook alweer?

In juni 2024 heeft de voorzieningenrechter in Amsterdam geoordeeld dat het verboden is om zonder toestemming tracking cookies te plaatsen.
Adviseur Ismay Elferink van L2P vertelt over de mogelijke gevolgen van de uitspraak voor de praktijk.

In juni 2024 deed de voorzieningenrechter in Amsterdam een belangrijke uitspraak in een geding over tracking cookies. De eiser, een Nederlandse LinkedIn-gebruiker, stelde dat via LinkedIn Marketing Solutions en Microsoft Advertising op zijn computer cookies waren geplaatst, zonder dat daarvoor eerst om zijn toestemming was gevraagd. Verwerkers van persoonsgegevens zijn verplicht om altijd toestemming te vragen voor het gebruik van cookies, bijvoorbeeld als er cookies worden geplaatst, uitgelezen en/of vastgelegd. Daarom zouden LinkedIn en moederbedrijf Microsoft volgens de eiser onrechtmatig hebben gehandeld.

Hoe zit het ook alweer met cookies en de bescherming van persoonsgegevens?

Cookies zijn kleine tekstbestanden, die worden opgeslagen op de apparatuur van internetgebruikers met als doel om gegevens te verzamelen over onder andere de websitenavigatie. Er zijn drie verschillende soorten: analytische, functionele en tracking cookies. Analytische en functionele cookies zijn bedoeld om je website-ervaring te verbeteren en verwerken doorgaans geen persoonsgegevens. Tracking cookies zijn ook actief als een bezoeker een andere website bezoekt. De cookies worden gebruikt voor de identificatie en de profilering van websitebezoekers om vervolgens gerichte advertentiecampagnes uit te voeren. Hierbij worden altijd persoonsgegevens verwerkt.

Wat vindt de rechter nu?

In de zaak waarover de Amsterdamse voorzieningenrechter recent oordeelde, stellen LinkedIn en Microsoft dat zij geen persoonsgegevens verwerken, omdat er geen sprake is van cookies waarmee zij persoonsgegevens uitlezen. De rechter weerlegt deze argumentatie, omdat al het vastleggen van de persoonsgegevens is aan te merken als een verwerking.

Daarnaast stellen de gedaagden dat een deel van de cookies niet als tracking cookies zijn te identificeren. Volgens de rechter gaat deze redenatie ook niet op, omdat uit technisch onderzoek én een toelichting op de betreffende websites is op te maken dat er wel degelijk tracking cookies zijn gebruikt.

De rechter wijst ook een derde verweer af, namelijk dat het niet altijd technisch mogelijk zou zijn om betrokkenen te vragen om toestemming.

De rechter concludeert dat LinkedIn en Microsoft onrechtmatig hebben gehandeld door tracking cookies te plaatsen zonder hiervoor toestemming te vragen. Dit is in strijd met de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet (Tw). De rechter verbiedt LinkedIn om nog langer tracking cookies te plaatsen op de computer van de eiser, op last van een dwangsom.

Wat betekent de rechterlijke uitspraak voor de praktijk?

De Autoriteit Persoonsgegevens (AP) maakte in februari 2024 bekend vaker te gaan controleren of websites op de juiste manier toestemming vragen voor tracking cookies (en andere volgsoftware). Nu is er dus een eerste rechterlijke uitspraak over het onderwerp.

Het is niet zo dat tracking cookies helemaal verboden zijn. Het is wel noodzakelijk om de betrokkene hiervoor eerst toestemming te vragen. De AP heeft zeven vuistregels opgesteld voor cookie banners die voldoen aan de wettelijke vereisten voor toestemming.

Voor de plaatsing van tracking cookies gelden altijd de voorwaarden van de AVG. Het is daarbij niet relevant of de persoonsgegevens vervolgens ook worden gebruikt voor de identificatie en/of profilering van een persoon. Het gegeven dat er persoonsgegevens worden verzameld en opgeslagen betekent al dat er sprake is van een verwerking zoals bedoeld in artikel 4 van de AVG.

De focusgebieden van de AP en de rechterlijke uitspraak maken dus duidelijk dat het verstandig is om als organisatie nauwkeurig te letten op het gebruik van tracking cookies en de inzet van cookie banners. Het devies is: laat bij twijfel controleren of alles goed is geregeld.