18 June 2013 Privacy Newsletter Legislative bill to ease cookie rules 1 Introduction You will probably have noted the many requests for consent to place cookies while surfing the internet. This is a consequence of the so-called cookie rules introduced last year. On 20 May 2013, Minister Kamp published a draft bill to ease these cookie rules. The Minister took the opportunity to further clarify the requirement to obtain consent for the use of cookies. 2 Additional exemption At the moment, on the basis of article 11.7a of the Dutch Telecommunications Act, the placing of or reading of information, for example by means of cookies, on the computers of Internet users is only allowed if (i) the Internet user is fully and clearly informed thereof and (ii) has consented thereto. Cookies that are used to carry out communication across a network and/or cookies that are necessary to deliver a user-requested online service, are exempted from the obligation to inform and obtain consent. In the draft bill, a third category of cookies is exempted from the obligation to inform and obtain consent. For cookies that are used exclusively to obtain information about the quality or effectiveness of services provided over the Internet, it will also no longer be required to inform the user and obtain consent. The exemption only applies to the extent that the use of this type of cookie has little or no impact on the privacy of the Internet user. Examples of such cookies are analytic cookies (which map out the usage of a particular website with the aim to improve the website s quality) and
affiliate cookies (which, for example, are used to track which advertisement triggers a purchase, so that the party that has displayed the advertisement can receive a reward). For other cookies, especially tracking cookies (cookies that are used to track the surfing behaviour of website users and compile a personal profile of them), and other software that accesses information in the terminal equipment of the Internet user (such as malware and spyware), the obligation to inform and obtain consent remains in force. 3 Obligation to obtain consent How should consent be obtained? The Independent Post and Telecommunications Authority (OPTA, merged into the current Consumer and Market Authority) was previously of the view that [it is] a requirement for the user to perform an action to provide consent, such as by ticking a I agree box in a pop-up window. Minister Kamp has now balanced this point of view as a result of which this point of view is more in line with the position of the Article 29 Working Party (the advisory and consultative forum in which the European privacy supervisors are all represented) at this point. According to the Minister, consent must always be based on an informed, and therefore conscious choice by the website s user, and be apparent from an active action. Minister Kamp holds the view that consent may also be derived from less explicit actions than granting consent via a pop-up window. Consent may, for example, be derived from an Internet user s continued surfing of a website. The Internet user must be clearly and fully informed on the use of cookies and must be informed of the fact that continued surfing on the website is considered as giving consent to placing of cookies. On the other hand, leaving the default settings of the browser as they are to accept cookies, is (generally) not seen as an expression of an Internet user s informed, conscious choice. This will therefore (generally) not qualify as granting consent for the purposes of article 11.7a of the Dutch Telecommunications Act. Please note: in any event, cookies may be placed only after an active action by the Internet user and not yet when visiting the website for the first time. According to the Minister, the eased application of the rules regarding the obligation to obtain consent also apply to the use of tracking cookies. For the use of tracking cookies (generally) unambiguous consent is required as opposed to ordinary consent, which is the requirement for the use of other cookies. According to the Minister, however, unambiguous consent can also be derived from continued surfing on a website. The website user should in that event be clearly and fully informed of the fact that personal data will be processed in case of continued surfing. 4 Conclusion On-line responses to the legislative bill can be submitted until 1 July 2013. The bill is expected to be submitted to the Lower House in the autumn and will probably not enter into force earlier than next year. More information: Kim Lucassen T: +31 10 224 64 16 E: kim.lucassen@loyensloeff.com Dinah Elzinga T: +31 10 224 66 02 E: dinah.elzinga@loyensloeff.com 2
Wetsvoorstel versoepeling cookie regels 1 Inleiding Het is u waarschijnlijk wel opgevallen dat u tijdens het surfen op internet regelmatig via pop-ups of blokkades wordt gevraagd om toestemming te geven voor het plaatsen van cookies. Dit is een gevolg van de invoering van de zogenoemde cookie regels vorig jaar. Op 20 mei 2013 heeft Minister Kamp een concept wetsvoorstel gepubliceerd om die cookie regels te versoepelen. De Minister heeft van de gelegenheid gebruik gemaakt om het toestemmingsvereiste voor het gebruik van cookies nader toe te lichten. 2 Extra uitzondering Op dit moment is, op grond van artikel 11.7a Telecommunicatiewet, het plaatsen of lezen van informatie, bijvoorbeeld door middel van cookies, op computers van internetgebruikers uitsluitend toegestaan indien (i) de internetgebruiker daarover volledig en duidelijk is geïnformeerd en (ii) daarvoor toestemming heeft verleend. Cookies die uitsluitend als doel hebben de communicatie over een netwerk uit te voeren en/of cookies die noodzakelijk zijn voor het leveren van een door de gebruiker gevraagde online dienst zijn uitgezonderd van de informatieplicht en het toestemmingsvereiste. In het concept wetsvoorstel wordt een derde categorie cookies van de informatieplicht en het toestemmingsvereiste uitgezonderd. Voor cookies die uitsluitend worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van via internet geleverde diensten zal het ook niet langer verplicht zijn om de gebruiker te informeren en om toestemming te vragen. De uitzondering geldt slechts voor zover het gebruik van dit type cookies geen of slechts geringe gevolgen heeft voor de persoonlijke levenssfeer van de internetgebruiker. Voorbeelden van dergelijke cookies zijn analytic cookies (die het gebruik van een bepaalde website in kaart brengen met het doel de kwaliteit van de website te verbeteren) en affiliate cookies (die bijvoorbeeld worden gebruikt om bij te houden welke advertentie leidt tot een aankoop, zodat degene die de advertentie heeft getoond hiervoor een beloning kan ontvangen). Voor overige cookies, met name voor tracking cookies (cookies die worden gebruikt om het surfgedrag van websitebezoekers te volgen en van hen een persoonlijk profiel te maken), en andere software waarmee toegang wordt verkregen tot informatie in de randapparatuur van de internetgebruiker (zoals malware en spyware) blijven de informatieplicht en het toestemmingsvereiste wel gelden. 3 Toestemmingsvereiste Hoe dient toestemming te worden gegeven? De Onafhankelijke Post en Telecommunicatie Autoriteit (OPTA, opgegaan in de huidige Autoriteit Consument en Markt) stelde zich eerder op het standpunt dat vereist [is] dat de gebruiker een handeling verricht tot het geven van toestemming, zoals door het klikken op een button met ik geef toestemming in een pop-up box. Dit standpunt wordt nu door Minister Kamp genuanceerd en komt daardoor meer in lijn met de visie van de Artikel 29 Werkgroep (het advies- en overlegorgaan waarin de Europese privacytoezichthouders zijn verenigd) op dit punt. Volgens de Minister moet toestemming altijd gebaseerd zijn op een geïnformeerde, en dus bewuste keuze van de bezoeker en blijken uit een actieve handeling. Minister Kamp vindt dat toestemming ook kan blijken uit minder expliciete handelingen dan het geven van toestemming via een pop-up box. Toestemming kan bijvoorbeeld worden afgeleid 3
uit het doorsurfen van een internetgebruiker op de website. De internetgebruiker moet dan wel duidelijk en volledig zijn geïnformeerd over het gebruik van cookies en over het feit dat doorsurfen op de website wordt beschouwd als toestemming voor het plaatsen van die cookies. Daarentegen kan het ongewijzigd laten van de standaardinstellingen van de browser waardoor cookies worden geaccepteerd (over het algemeen) niet worden gezien als een uiting van een geïnformeerde, bewuste keuze van de internetgebruiker. Dit zal daarom in de regel niet kwalificeren als toestemming in de zin van artikel 11.7a Telecommunicatiewet. Let wel: in alle gevallen geldt dat cookies pas mogen worden geplaatst na een actieve handeling van de internetgebruiker en dus niet reeds bij het eerste bezoek aan de website. Volgens de Minister geldt de versoepelde toepassing van de toestemmingsregels ook voor gebruik van tracking cookies. Voor het gebruik van tracking cookies is in de regel ondubbelzinnige toestemming vereist in tegenstelling tot het gewone toestemmingsvereiste bij gebruik van andere cookies. Volgens de Minister kan de ondubbelzinnige toestemming echter eveneens blijken uit het doorsurfen op een website. De websitegebruiker dient dan ook hier duidelijk en volledig geïnformeerd te zijn over het feit dat bij doorsurfen persoonsgegevens zullen worden verwerkt. 4 Slot Op het concept wetsvoorstel kan tot 1 juli 2013 online worden gereageerd. Naar verwachting zal het wetsvoorstel in het najaar bij de Tweede Kamer worden ingediend en niet eerder dan volgend jaar in werking treden. Meer informatie: Kim Lucassen T: +31 10 224 64 16 E: kim.lucassen@loyensloeff.com Dinah Elzinga T: +31 10 224 66 02 E: dinah.elzinga@loyensloeff.com 4
Disclaimer Although this publication has been compiled with great care, Loyens & Loeff N.V. and all other entities, partnerships, persons and practices trading under the name Loyens & Loeff, cannot accept any liability for the consequences of making use of this issue without their cooperation. The information provided is intended as general information and cannot be regarded as advice. Hoewel deze publicatie met grote zorgvuldigheid is samengesteld, aanvaarden Loyens & Loeff N.V. en alle andere entiteiten, samenwerkingsverbanden, personen en praktijken die handelen onder de naam Loyens & Loeff, geen enkele aansprakelijkheid voor de gevolgen van het gebruik van de informatie uit deze uitgave zonder hun medewerking. De aangeboden informatie is bedoeld ter algemene informatie en kan niet worden beschouwd als advies. www.loyensloeff.com