PIBN Whitepaper Cookiewetgeving

Transcriptie

1 PIBN Whitepaper Cookiewetgeving INHOUDSOPGAVE 1. Inleiding 2. Op welke technologie heeft de wet betrekking? 3. Wat zijn de uitzonderingen? 3.1 Algemeen 3.2 Communicatie 3.3 Gevraagde dienst 3.4 Wel functionele cookies 3.5 Niet-functionele cookies 4 Voor wie geldt de wet? 5 Informatie 5.1 Verplichtingen 6 Toestemming 7 Wet bescherming persoonsgegevens 8 Hoe kan worden voldaan aan de nieuwe regels 9 Wie is bevoegd tot handhaving

2 VOORWOORD Op 5 juni is de nieuwe Nederlandse wet betreffende cookies in werking getreden. Omdat deze wet gevolgen heeft voor PIBN leden en hun klanten, heeft PIBN in samenwerking met SOLV Advocaten in juni 2012 twee kennissessies georganiseerd. Naar aanleiding van deze kennissessies is deze white paper opgesteld, waarin wordt kort aangegeven wat de nieuwe wet betekent voor PIBN leden en hun klanten en welke praktische stappen er genomen kunnen worden. In de white paper zal eerst kort worden aangegeven wat de nieuwe wet inhoudt. Vervolgens zal worden ingegaan op de verschillende technologieën waarop de wet betrekking heeft en de uitzonderingen die in de wet zijn opgenomen. Daarna wordt aangegeven voor wie de wet geldt, wat wordt verstaan onder de vereisten dat informatie moet worden verstrekt en toestemming moet worden gegeven en wat de implicaties zijn van de toepasselijkheid van de Wet bescherming persoonsgegevens bij bepaald gebruik van cookies. Ten slotte zal aandacht worden besteed aan de manier waarop aan de Cookiewet kan worden voldaan en de handhaving van de wet. Bij deze white paper is ook een aantal praktische documenten bijgesloten, te weten: een brief met informatie over de Cookiewet die door PIBN leden aan klanten kan worden gestuurd; een template voor een cookiestatement dat door PIBN leden kan worden gebruikt voor hun eigen diensten; een artikel waarin de aansprakelijkheid voor het plaatsen van cookies wordt uitgesloten en dat PIBN leden in contracten met klanten kunnen opnemen. Ook is PIBN bezig met het opstellen van een position paper over de wijze waarop de Cookiewet naar de mening van PIBN dient te worden geïnterpreteerd. PIBN Sessie professionalisering PIBN

3 1. INLEIDING In 2009 heeft de Europese wetgever nieuwe, strengere wetgeving betreffende het gebruik van cookies geïntroduceerd. Deze wetgeving is opgenomen in de aangepaste eprivacy Richtlijn van 25 november De nieuwe regels uit de richtlijn hadden in mei 2011 moeten zijn omgezet in Nederlands recht. Dat is echter een jaar later pas gebeurd. In het kader van de onduidelijkheid omtrent cookie-gebruik nam de Tweede Kamer op 8 mei 2012 een wetsvoorstel aan, waardoor de Telecommunicatiewet (hierna Tw ) werd aangepast. Het regime voor het gebruik van cookies dat door deze wetswijziging tot stand is gebracht, komt neer op het zogenaamde opt-in systeem: Voorafgaand aan het plaatsen of het lezen van cookies op de randapparatuur van de eindgebruiker, moet de eindgebruiker geïnformeerd worden. Tevens dient van hem voorafgaande toestemming verkregen te worden voor deze handelingen. Voor zover de cookies worden gebruikt voor het verzamelen, combineren of analyseren van informatie over het gebruik van verschillende diensten van de informatiemaatschappij door de eindgebruiker, wordt dit geacht een verwerking te zijn van persoonsgegevens. Dit betekent dat de Wet bescherming persoonsgegevens ( Wbp ) van toepassing is. Functionele cookies vallen hier niet onder. 2. OP WELKE TECHNOLOGIE HEEFT DE WET BETREKKING? De nieuwe Cookiewet is niet alleen van toepassing op cookies, maar op alle technologie door middel waarvan Gegevens worden opgeslagen op de randapparatuur van een eindgebruiker, of Toegang wordt verkregen tot gegevens die zijn opgeslagen in de randapparatuur van de eindgebruiker. Van belang is dus dat de regels niet alleen gelden voor het plaatsen van informatie maar ook voor het enkele uitlezen daarvan. De regels zijn bovendien niet alleen van toepassing op computers, maar ook op mobiele telefoons en andere mobiele apparatuur en, als bijvoorbeeld sprake is van een digitale decoder, zelfs op televisies. Voorbeelden van technologieën waarop de regels van toepassing zijn, zijn (flash)-cookies, Javascripts, web taps en spyware of soortgelijke software zoals dialer programma s. De minister heeft ook

4 expliciet aangegeven dat device fingerprinting 1 onder de nieuwe wet valt. De combinatie van instellingen en kenmerken die door browsers wordt meegestuurd over de randapparatuur van de eindgebruiker is volgens de minister zo specifiek dat daaruit bijvoorbeeld kan worden afgeleid welke websites een internetgebruiker heeft bezocht. Aldus wordt surfgedrag gevolgd aan de hand van informatie die wordt uitgelezen van de computer van een eindgebruiker. Het is niet duidelijk in hoeverre de wetgeving tevens van toepassing is op een intranet. Er zullen situaties zijn waarin de randapparatuur die gebruikt wordt binnen een intranet niet van de eindgebruiker is, bijvoorbeeld als het een computer van de werkgever betreft. Het komt echter ook steeds vaker voor dat met eigen randapparatuur (ook wel Bring Your Own Device BYOD genoemd) toegang wordt verkregen tot een intranet. In dat geval zijn de regels in principe wel gewoon van toepassing. Van belang is daarnaast dat de wet geen verschil maakt tussen first party en third party cookies. 3. WAT ZIJN DE UITZONDERINGEN? Het opt-in vereiste geldt niet voor functionele cookies. Dat zijn volgens de wet twee soorten cookies: 1. cookies die worden gebruikt met als uitsluitend doel de uitvoering van den verzending van een communicatie; 2. cookies die strikt noodzakelijk zijn voor de uitvoering van een gevraagde dienst. De wet geeft geen duidelijkheid over de vraag wanneer een cookie onder een van deze twee uitzonderingen valt. Wel heeft Werkgroep 29, het onafhankelijke advies -en overlegorgaan van Europese privacytoezichthouders, onlangs een opinie gepubliceerd over de vraag wanneer sprake is van uitgezonderde cookies. 2 Omdat dit vooralsnog de enige beschikbare leidaard is ten aanzien van functionele cookies, is het verstandig rekening te houden met deze opinie en worden de regels uit de opinie hier samengevat. De Onafhankelijke Post en Telecommunicatie Autoriteit ( OPTA ), die de Nederlandse Cookiewet zal handhaven, is echter niet gebonden aan deze opinie. In de position paper van PIBN zal aan OPTA duidelijk worden gemaakt wat het standpunt van PIBN is ten aanzien van functionele cookies. 1 Als met een computer of mobiele telefoon een website wordt bezocht, geeft de browser bepaalde instellingen en kenmerken van het apparaat door aan die website. Te denken valt aan het type besturingssysteem, de browserinstellingen, geïnstalleerde plug-ins, tijdzone en beeldschermgrootte en dergelijke. De combinatie van deze instellingen en kenmerken wordt device fingerprint genoemd. 2 PIBN Sessie professionalisering PIBN

5 3.1 Algemeen Over het algemeen mag de levensduur van een functionele cookie volgens Werkgroep 29 niet langer zijn dan strikt noodzakelijk is voor het doel van de cookie. Doorgaans zullen functionele cookies daarom sessie cookies zijn, tenzij het langer bewaren van de cookie noodzakelijk is (bijvoorbeeld om te onthouden dat iemand ergens drie keer het verkeerde wachtwoord heeft opgegeven); first party cookies zijn. Als cookies meerdere functies hebben, moeten al deze functies vallen onder een van de twee hierboven besproken uitzonderingen. Als dat niet het geval is, moet alsnog aan de wettelijke vereisten van informatie en toestemming worden voldaan voor de functies die niet onder de uitzonderingen vallen.voldoen aan de besproken vereisten om onder de wettelijke uitzondering te vallen. 3.2 Communicatie In haar opinie geeft Werkgroep 29 aan dat cookies alleen onder de eerste uitzondering vallen wanneer het verzenden van communicatie niet mogelijk is zonder de cookie. Het assisteren bij, versnellen of reguleren van de verzending van een communicatie door middel van cookies valt volgens de werkgroep niet onder deze uitzondering. Drie elementen kunnen volgens Werkrgroep 29 wel als strikt noodzakelijk worden beschouwd, namelijk de mogelijkheid om: 1. Informatie over een netwerk te routen, met name door de eindpunten van de communicatie te identificeren; 2. Data items suit te wisselen in de bedoelde volgorde, vooral door data pakketjes te nummeren; 3. Transmissie fouten of dataverlies op te sporen. 3.3 Gevraagde dienst Ten aanzien van de tweede uitzondering geeft Werkgroep 29 aan dat in ieder geval een de volgende vereisten moet zijn voldaan: De dienst is uitdrukkelijk verzocht door de gebruiker in kwestie, waarvoor een positieve actie is uitgevoerd; De cookie is strikt nodig om de dienst mogelijk te maken. Als de cookies er niet zijn, werkt de dienst niet. De dienst moet bovendien worden beschouwd als een optelling van verschillende functionaliteiten, en afzonderlijke functionaliteiten moeten aan de vereisten voldoen.

6 3.4 Wel functionele cookies Zijn volgens Werkgroep 29 Gebruiker-input cookies (onthouden input gebruiker, shopping chart, formulieren); Authentificatie cookies (identificeren gebruiker na inloggen); Andere beveiliging van expliciet gevraagde dienst (3 x verkeerd wachtwoord); Flash cookies voor play back; Load balancing cookies; UI cookies als het aangegeven voorkeuren betreft; Social plugins als de betreffende gebruiker is ingelogd. 3.5 Niet-functionele cookies Zijn volgens Werkgroep 29 Social plugin tracking cookies; Adverteren door derde partijen; Analytische cookies (met uitzdering van first party analytische cookies als er duidelijke informatie wordt verstrekt en een opt-out mogelijkheid wordt geboden); Third party analytische cookies (bijvoorbeeld Google Analytics). 4. VOOR WIE GELDT DE WET? Elke partij die cookies plaatst op de randapparatuur van de eindgebruiker of die de cookies leest die al aanwezig zijn op deze randapparatuur moet zich aan de nieuwe regels houden. Werkgroep 29 heeft benadrukt dat er een gedeelde verantwoordelijkheid kan bestaan, waar in ieder geval enige verantwoordelijkheid op de schouders van de aanbieders van websites rust. OPTA heeft echter aangegeven juist te zullen handhaven bij de aanbieders van websites, omdat dit de partijen zijn waar eindgebruikers mee te maken hebben. Dat cookies feitelijk niet door aanbieders van websites, maar door adverteerders worden geplaatst, doet daar volgens OPTA niet aan af. Deze opstelling zal bijvoorbeeld ook van belang zijn bij SaaS oplossingen waarbij de leverancier van de software de partij is die feitelijk cookies plaatst/leest ten behoeve van de aanbieder van een bepaalde website. Onder meer de volgende partijen moeten rekening houden met de wetgeving: Ontwikkelaars van digitale media en advertentie technologie; Aanbieders van websites; Adverteerders; Affiliates and affiliate networks; Leveranciers van gegevens; PIBN Sessie professionalisering PIBN

7 Handelaars in online advertenties; Media bedrijven. De nieuwe wet is van toepassing op eenieder die informatie wil opslaan op-, of informatie wil ophalen bij de randapparatuur van de eindgebruiker in Nederland. De wet kan dus ook van toepassing zijn op bedrijven in het buitenland. 5. INFORMATIE De informatie die gegeven dient te worden voorafgaand aan het plaatsen of het lezen van een cookie, dient duidelijk en volledig te zijn. De informatie dient de eindgebruiker te informeren omtrent het doel van de cookie en de verdere verwerking van de door de cookie verzamelde informatie. 5.1 Verplichtingen Dit betekent dat de eindgebruiker in ieder geval de volgende informatie moet verkrijgen: Het feit dat een cookie wordt geplaatst op / uitgelezen van de randapparatuur; Het doel van de cookie; De periode waarover de cookie actief blijft; Indien de cookie wordt gebruikt om online gedrag te monitoren ten behoeve van gerichte advertenties moet dit worden vermeld. Eveneens moet worden vermeld met wie deze informatie wordt gedeeld. De informatie moet gemakkelijk toegankelijk en te begrijpen zijn voor eindgebruikers. Dat betekent dat de informatie niet mag worden verstopt in algemene gebruiksvoorwaarden of een privacy policy. 6. TOESTEMMING Er is veel discussie geweest omtrent de vraag hoe toestemming verkregen dient te worden. De juridische voorwaarde is dat toestemming vrij, specifiek en op informatie berust dient te zijn. In de preambule van de eprivacy Richtlijn wordt duidelijk gemaakt dat een bepaalde configuratie van browser instellingen als toestemming zou kunnen gelden. De Nederlandse overheid heeft echter bevestigd dat de huidige browsers niet aan deze eis voldoen, voornamelijk omdat deze standaard staan ingesteld op het automatisch accepteren van cookies. In de Memorie van Toelichting bij de aangenomen wetswijziging staat dat toestemming ondubbelzinnig moet zijn. Dit is een strengere eis dan welke is opgenomen in de eprivacy Richtlijn. De overheid heeft echter bevestigd dat er in beginsel geen ondubbelzinnige toestemming is vereist. Deze tegenstrijdige uitleg leidt tot onzekerheid en interpretatiegeschillen. De eprivacy Richtlijn vereist

8 volledige harmonisatie. Een uitleg van de wet welke leidt tot het vereiste van ondubbelzinnige toestemming kan daarom in strijd worden geacht met de Richtlijn. In de parlementaire geschiedenis wordt aangegeven dat het mogelijk is toestemming eenmalig te verkrijgen en dat deze niet opnieuw bij elke handeling behoeft te worden verkregen. Wij gaan ervan uit dat dus ook eenmalig voor verschillende domeinen toestemming kan worden verkregen. Ook is het mogelijk collectief toestemming te verkrijgen voor het gebruik van cookies. Toestemming kan te allen tijde worden ingetrokken door de eindgebruiker. Van deze mogelijkheid dient hij op de hoogte te worden gebracht. Eurocommissaris Neelie Kroes heeft zich meerdere malen positief uitgelaten over zelfregulatie. Kroes laat weten dat in het geval de industrie bij machte is om een goed functionerend volg-mij-niet register in te stellen, welke leidt tot meer transparantie en goed wordt gehandhaafd, deze zelfregulatie voldoet aan de vereisten van de nieuwe cookie-wetgeving. Ze heeft aangekondigd de vooruitgang van zelfregulatie te evalueren medio WET BESCHERMING PERSOONSGEGEVENS Het vereiste dat voorafgaande aan het plaatsen of het lezen van een cookie geïnformeerde toestemming verkregen dient te worden, is in overeenstemming met de eprivacy Richtlijn. De aangenomen wetswijziging gaat echter een stuk verder, aangezien het een nieuw (strikter) regime introduceert voor het gebruik van cookies. Elk gebruik van cookies voor het verzamelen, combineren of analyseren van informatie betreffende het surfgedrag van eindgebruikers, kan namelijk gezien worden als een verwerking van persoonsgegevens. Dientengevolge is de Wbp hierop van toepassing. Dit betekent dat een nog strenger regime van toepassing wordt op het gebruik van cookies. Deze wetgeving zal inwerking treden op 1 januari De vereisten voor de verwerking van persoonsgegevens zoals die zijn opgenomen in de Wbp gaan verder dan die welke die zijn opgenomen in de wetgeving betreffende cookies, zoals neergelegd in de eprivacy Richtlijn. Het betreft vereisten zoals: De verplichting om verwerking van persoonsgegevens te melden bij het College Bescherming Persoonsgegevens ( CBP ); De verplichting bepaalde veiligheidsmaatregelen te treffen; De verplichting om betrokkenen in staat te stellen hun persoonsgegevens te controleren en, indien nodig, aan te passen; PIBN Sessie professionalisering PIBN

9 De verplichting om, in het geval gebruik wordt gemaakt van een derde partij bij de verwerking van persoonsgegevens, een overeenkomst te sluiten met die partij; Verwerking van persoonsgegevens is slechts toegestaan indien is voldaan aan één van de zes legitieme gronden voor verwerking, waaronder ondubbelzinnige toestemming. Aangezien het hier gaat om een juridische veronderstelling, kan de toepasselijkheid van de Wbp worden weerlegd indien wordt aangetoond dat geen persoonsgegevens worden verwerkt. In praktijk zal dit echter moeilijk zijn. De bewijslast wordt in ieder geval neergelegd bij de gebruiker van de cookie. Volgens de wet is dat dus de partij die de cookie plaatst of leest, maar niet uitgesloten is dat het CBP net als OPTA van mening zal zijn dat op aanbieders van websites een (gedeelde) verantwoordelijkheid rust. Deze aanzienlijk zwaardere vereisten voor het gebruik van cookies dan nodig is onder de eprivacy Richtlijn wordt in geen enkele andere lidstaat opgelegd, waardoor Nederland in een uitzonderlijke positie verkeert. 8. HOE KAN WORDEN VOLDAAN AAN DE NIEUWE REGELS Hoe er daadwerkelijk kan worden voldaan aan de nieuwe regels is een essentiële vraag. Deze is echter niet beantwoord door de wetgever. De verantwoordelijke ministers hebben enige uitleg gegeven, maar de Memorie van Toelichting bij de aangenomen wetswijziging veroorzaakt op bepaalde punten verwarring. Het volgende staat in ieder geval vast. De informatie die dient te worden gegeven voorafgaand aan het plaatsen/uitlezen van cookies en moet makkelijk toegankelijk en begrijpelijk zijn voor eindgebruikers. Dit impliceert dat een duidelijk zichtbare verwijzing naar de informatie waarschijnlijk voldoende is. Als de informatie slechts te vinden is in de privacy policy zal dit onvoldoende zijn. De toestemming van de eindgebruiker moet een duidelijke weergave van haar wensen zijn. Het vertonen van een pop-up venster waarin duidelijke en volledige informatie wordt gegeven met daarbij een aanvinkhokje met bijvoorbeeld ik ga akkoord lijkt, gezien de vereisten besproken onder 5.1, op dit moment de enige manier om te voldoen aan de nieuwe regels. Een andere optie is de gebruiker pas door te laten gaan naar de website als het cookiebeleid is geaccepteerd, zoals bijvoorbeeld door SOLV Advocaten wordt gedaan.

10 De regelgevende autoriteiten hebben laten weten dat toestemming niet vereist is voor elk individueel cookie. Zodra de eindgebruiker eenmaal toestemming heeft verleend voor het gebruik van cookies van een bepaalde partij voor een bepaald doeleinde, dan hoeft deze partij niet voor elk cookie die hetzelfde doel dient toestemming te verkrijgen. Gebruikers moet altijd de optie worden geboden om toestemming in te trekken. Onderneem de volgende stappen: 1. Zorg ervoor dat u een duidelijke, informatieve en makkelijk toegankelijke privacy statement hebt. Gebruik hiervoor bijgaande template; 2. Gebruik bij voorkeur een pop-up venster met informatie betreffende de cookies met daarbij een aanvinkhokje ter verkrijging van toestemming; 3. Als voorzorgsmaatregel: meldt de gegevensverwerking bij het College Bescherming Persoonsgegevens; 4. Zorg voor goede en duidelijke contracten met klanten. Zorg in ieder geval voor duidelijke afspraken omtrent wie verantwoordelijkheid draagt voor naleving van de toepasselijke wettelijke bepalingen, garanties, aansprakelijkheid en schadeloosstelling. Gebruik daarvoor bijgaande vrijwaringstemplate. PIBN Sessie professionalisering PIBN

11 9. WIE IS BEVOEGD TOT HANDHAVING De nieuwe regels omtrent cookie gebruik zijn opgenomen in de Telecommunicatiewet. OPTA is de bevoegde autoriteit voor handhaving van deze wet. Desalniettemin is het CBP bevoegd zodra persoonsgegevens worden verwerkt. Het CBP vaart een strenge koers met betrekking tot naleving, met name betreffende de informatie- en toestemmingsverplichtingen. OPTA heeft recent enkele marginale FAQs ten aanzien van de Cookiewet gepubliceerd. 3 Daaruit blijkt dat zij vooralsnog alleen zal optreden tegen schrijnende gevallen. Dat zijn volgens OPTA partijen die door haar gewaarschuwd zijn en desalniettemin geen actie ondernemen om aan de wetgeving te voldoen. Met name het informeren van eindgebruikers lijkt prioriteit voor OPTA. Omdat OPTA nog geen beleidsregels heeft vastgesteld ten aanzien van de Cookiewet, zal PIBN trachten daarop invloed uit te ofenen door middel van een position paper. OPTA is bevoegd hoge boetes te geven in geval van niet-naleving van de verplichtingen uit de Telecommunicatiewet. Het CBP is enkel bevoegd dwangsommen op te leggen. In het licht van de aanstaande wijzigingen aan de Richtlijn Bescherming Persoonsgegevens, ligt het in de lijn der verwachtingen dat het CBP ook de bevoegdheid krijgt boetes te geven in geval van niet-naleving. Wat betreft grensoverschrijdende handhaving, zijn er een paar Europese instanties waarin de regelgevende autoriteiten van de lidstaten samenwerken. 3