1. De ‘oude’ situatie (tm mei 2011) – BUDE
Nu geldt er een opt-out regime voor cookies. Dit betekent dat websites bezoekers moeten informeren dat zij cookies plaatsen (in de privacy statement) en dat bezoekers cookies kunnen weigeren via de beveiligingsinstellingen van hun browser.
Art. 4.1 BUDE
2. De Europese EU-Privacy Richtlijn
November 2009 nam de EU het National Regulatory Framework aan. De herziening van een aantal Richtlijnen die twee zaken moeten bewerkstelligen:
a) betere consumentenbescherming
b) bevorderen interne EU-markt
Onderdeel van dit pakket maatregelen is de herziening van de E-privacy richtlijn. Art. 5.3 van deze Richtlijn behandelt cookies en stelt dat:
- het opslaan van informatie op randapparatuur van een gebruiker en
- toegang tot informatie op randapparatuur van een gebruiker
alleen mag als
- de gebruiker hierover helder geïnformeerd is
- en toestemming heeft gegeven (dit is strenger dan de vorige tekst waar geen toestemming vereist was)
In het voorwoord van de richtlijn staat dat een gebruiker zijn toestemming kan uitdrukken door browsersettings. Het probleem is dat dit voorwoord geen juridische status heeft. Dit betekent dat lidstaten het naar eigen inzicht kunnen interpreteren.
3. Implementatie in EU
13 EU lidstaten hebben een verklaring aangeboden aan de Europese commissie waarin zij pleiten voor browserinstellingen als uitwerking van de toestemmingsvereiste. Ook Frankrijk implementeert de richtlijn één op één, hetgeen betekent dat ook hier browserinstellingen voldoende zijn voor toestemming. Voor het European Level Playing Field een belangrijk argument.
4. Implementatie NL
4.1 Nederland achtergrond
Mei 2010 presenteerde het ministerie van Economische Zaken (EZ) haar voorstel tot wijziging van de Telecommunicatiewet om de Richtlijn te implementeren. Cookies mochten volgens de concepttekst alleen geplaatst worden als de gebruiker van tevoren duidelijk is geïnformeerd over het doel van het cookie en hij ondubbelzinnige toestemming heeft gegeven.Dit is een strengere interpretatie dan de Europese. Daar heeft de branche tegen geageerd, onder meer door het versturen van een gezamenlijke brief waarin zij de bezwaren tegen deze strenge interpretatie van het toestemmingsvereiste duidelijk maken.
4.2 Het huidige wetsvoorstel
De tweede conceptversie van het wetsvoorstel die begin 2011 door de Tweede Kamer wordt besproken heeft de toestemmingsvereiste 1 op 1 uit de Europese Richtlijn overgenomen: bij het plaatsen van cookies moet een gebruiker helder geïnformeerd worden en toestemming hebben gegeven.
NL wetsvoorstel en toelichting
5. Toestemming geregeld via zelfregulering:
5.1 Het probleem:
Het is onduidelijk hoe de toestemming moet worden ingevuld. Volgens de Wet Bescherming Persoonsgegevens kan je toestemming ook uitdrukken door gedrag. Dus door browserinstellingen. Mits een webbezoeker maar goed geïnformeerd is. De branche pleit in navolging van Eurocommissaris Kroes voor effectieve transparantie. Door een combinatie van browserinstellingen (zoals de EU voorstelt en 14 lidstaten doen) en heldere informatieverstrekking. Dit is in het belang van het gebruiksgemak van internet, de privacy van de consument en het economisch belang van de branche.5.2 De zelfregulering
16 december 2010 presenteerden de Europese brancheverenigingen al een blauwdruk hiervoor aan de Europese Commissie. Tijdens een round table on Online Behavioral Advertising legden zij hun plannen voor aan Robert Madelin, van het Directoraat Generaal Informatiesamenleving en Media van Neelie Kroes. De ambitie: in 2012 moet 70% van de OBA-advertenties een cookiezegel dragen.
Het EU-model
Bijna alle Europese koepelverenigingen die iets met Behavioral Advertising te maken hebben, zijn samengekomen in de Europese Stichting Reclame Code: EASA. In dit gremium hebben zij zelfregulering opgesteld voor het gebruik van third party cookies. De regels zijn gebaseerd op 5 principes: informeren, keuze, gevoelige data, compliance en handhaving & evaluatie. Tijdens de round table mochten de Europese Commissie, consumentenorganisaties en andere belanghebbenden input geven.
Principe 1: informeren
Webbezoekers moeten altijd geïnformeerd worden over het plaatsen van cookies via een universeel EU cookie-icoon in een online advertentie die gebruikmaakt van third party cookies.
Principe 2: keuze
Het icoon moet gelinkt worden aan één universele landingspagina: een one-stop-shop voor informatie over OBA en opt-out mogelijkheden. Mensen zien een overzicht van bestaande affiliate cookies, waarbij wordt aangegeven welke cookies actief zijn op hun pc. Vervolgens kunnen ze deze met één click uitschakelen. De affiliate partijen plaatsen dan een do-not-track cookie op de pc van de bezoeker.
Principe 3: gevoelige gegevens
Sommige gegevens worden in de Code als ‘gevoelig’ bestempeld. En mogen daarom alleen met expliciete toestemming verwerkt worden. Denk bijvoorbeeld aan (persoons)gegevens van kinderen.
Principe 4: compliance en handhaving
Ook over de handhaving is nagedacht. Onder motto ‘demp de put voordat het kalf verdronken is’, wil men proactief gaan controleren door middel van een verplichte audit. Multinationals kunnen dat eenmalig op Europees niveau doen. En nationale organisaties kunnen terecht bij hun nationale Stichting Reclame Code terecht. Aangezien de Nederlandse Reclamecode bindend is voor alle marktpartijen, ook als ze geen lid zijn van een branchevereniging. En uiteraard is er ook voorzien in reactief toezicht op basis van klachten.Het belangrijkste sanctie-instrument van de Stichting Reclame Code is naming & shaming: van een openbare waarschuwing tot blacklisting tot het benaderen van partners in de keten met het verzoek de samenwerking te staken.
Principe 5: evaluatie
Robert Madelin geeft aan de 3-jarige evaluatie wat mager te vinden en pleit voor een hogere frequentie. Om op die manier ook klaar te zijn om veranderende regelgeving in de Code te implementeren.
Blauwdruk
Tijdens de round table bleek dat de Europese Commissie en zeker het directoraat generaal van Kroes wel wat ziet in het cookievoorstel. Een Europese uitrol van dit voorstel zou ook voor Nederland positief zijn, omdat er geen sprake is van ongelijke concurrentie. In de VS en in de UK is dit model al met succes geïntroduceerd. DDMA is samen met anderen bezig dit model in Nederland uit te rollen.
Meer weten?
Bel of mail met Jitty van Doodewaerd, DDMA Compliance Officer
T: 020-4528413
