Het Hof van Justitie heeft vandaag geoordeeld dat de voor het plaatsen en uitlezen van cookies vereiste toestemming een actieve handeling vergt. Impliciete toestemming bestaat dus niet. Dit schuurt (deels) met de Nederlandse praktijk tot op heden. Komt de cookiewall terug?
Duitse loterij
De kwestie gaat over een Duitse online loterij. Deelnemers moesten voor deelname aan de loterij instemmen met de ontvangst van aanbiedingen van partners. De deelnemers konden daarnaast ook toestemming geven voor plaatsen van tracking cookies.
Vooraf aangevinkte vakjes voor cookies
Het opmerkelijke hierbij was dat het eerste (voor deelname verplichte) aanvinkvakje (voor de aanbiedingen) standaard was uitgeschakeld, terwijl het tweede (voor deelname niet verplichte) aanvinkvakje (voor de cookies) standaard was ingeschakeld. In een Duitse procedure kwam de vraag op of dit is toegestaan.
Hof van Justitie: antwoord voor zowel privacyrichtlijn als privacyverordening
Het Hof van Justitie geeft aan het begin van de uitspraak aan dat het antwoord wordt gegeven zowel in het licht van de privacyrichtlijn als de privacyverordening. Dit omdat de kwestie zowel gaat over gedragingen van de loterij in het verleden, als mogelijke gedragingen in de toekomst.
Hof van Justitie: begrippen EU-breed hetzelfde uitleggen
Het Hof benadrukt vervolgens dat begrippen uit richtlijnen (en verordeningen) in principe EU-breed uniform moeten worden uitgelegd:
In dit verband moet in herinnering worden gebracht dat de eenvormige toepassing van het Unierecht en het gelijkheidsbeginsel vereisen dat de bewoordingen van een bepaling van Unierecht die voor de vaststelling van de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, normaliter in de gehele Unie autonoom en uniform worden uitgelegd [arresten van 26 maart 2019, SM (Onder Algerijnse kafala geplaatst kind), C‑129/18, EU:C:2019:248, punt 50, en 11 april 2019, Tarola, C‑483/17, EU:C:2019:309, punt 36].
Allerlei nationale toelichtingen op en interpretaties van wetgeving zijn in zoverre dus maar (heel) betrekkelijk van waarde.
Hof van Justitie: kijken naar context en geschiedenis van bepaling
Het Hof benadrukt verder dat het regels moet uitleggen in de (historische) context en wordingsgeschiedenis daarvan. Het Hof signaleert dat in dat kader dat in een conceptversie van de cookieregels eerst nog stond dat gebruikers bezwaar zouden moeten kunnen maken tegen het plaatsen en uitlezen van cookies. Later is dat veranderd in de eis van toestemming. Dat wijst op een bepaalde handeling van betrokkene.
Ook het gegeven dat de betrokkene een "wilsuiting" moet doen wijst volgens het Hof in die richting. Die wilsuiting moet bovendien 'ondubbelzinnig' zijn gedaan, hetgeen toch lastig is vast te stellen indien toestemming ook impliciet gegeven zou kunnen worden:
In dit opzicht lijkt het praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op basis van informatie is verleend. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette.
Verder is het volgens het Hof lastig te rijmen met de lijst van zes grondslagen dat toestemming ook impliciet zou kunnen zijn.
Hof van Justitie: geen vooraf aangekruiste toestemmingsvakjes bij cookies
Het Hof komt dan ook tot de conclusie dat toestemming dat vooraf aangevinkte vakjes voor toestemming voor cookies niet zijn toegestaan.
Hof van Justitie: toestemming moet bovendien specifiek
Het Hof is er dan echter nog niet. Het vervolgt met de vaststelling dat een toestemming alleen geldig is indien deze "specifiek" is gegeven. Dat wil zeggen "dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft.". Hele generieke teksten voor toestemming zijn dus niet geldig.
Hof van Justitie: het voorgaande geldt eens te meer onder de privacyverordening
Daarna stelt het Hof vast dat de tekst van de privacyverordening over dit alles nog duidelijker en explicieter is. Hier komt in de definities en overwegingen nog duidelijker terug dat impliciete toestemming niet bestaat.
Hof van Justitie: geen uitspraak over afgedwongen deelname
Het Hof merkt ook nog op dat het zich uitlaat over de vraag of de toestemming wel geldig is indien deze vereist is om te kunnen deelnemen aan een loterij, nu die vraag niet is gesteld:
Ten slotte moet erop worden gewezen dat de verwijzende rechter het Hof niet de vraag heeft voorgelegd of het verenigbaar is met het vereiste van „vrije” toestemming in de zin van artikel 2, onder h), van richtlijn 95/46 en artikel 4, punt 11, en artikel 7, lid 4, van verordening 2016/679 dat een gebruiker – zoals gelet op de gegevens in de verwijzingsbeslissing in de onderhavige zaak in ieder geval bij het eerste selectievakje het geval lijkt te zijn – alleen kan deelnemen aan een loterij indien hij toestemming geeft voor de verwerking van zijn persoonsgegevens voor reclamedoeleinden. In deze omstandigheden hoeft het Hof deze vraag niet te onderzoeken.
Enkele opmerkingen
De uitspraak van het Hof heeft potentieel grote gevolgen voor diverse websitehouders in Nederland. In de Nederlandse wetsgeschiedenis werd namelijk vroeger - in lijn met ons eigen nationale burgerlijke recht - aangenomen dat toestemming wel degelijk ook gedragingen gelegen kan zijn. En zodoende werd ook wel aangenomen dat wie ''doorsurft" na het lezen van een duidelijke melding over cookies, met dat doorsurfen de cookies (impliciet) had aanvaard. Dat lijkt nu niet langer houdbaar. Ik voorspel de terugkomst van de cookiewall.
Ook alle andere teksten in de Nederlandse wetsgeschiedenis dat privacybegrippen op een bepaalde (Nederlandse) manier moeten worden uitgelegd, lijken niet langer houdbaar (overigens ook al op grond van eerdere uitspraken).
De eis dat toestemming heel specifiek moet zijn, kennen we ook uit andere (ook Nederlandse) uitspraken. Dit betekent in de praktijk al wel snel dat het een uitdaging zal zijn een geldig toestemmingsformulier op te stellen voor hele complexe verwerkingsprocessen.
Dat het Hof niet ingaat op de vraag of je toestemming kunt uitruilen tegen een dienst is jammer, want dit is een van de grote vragen die regelmatig opkomt in het privacydebat. Of anders gezegd: kun je betalen met persoonsgegevens? Is dit een kwestie van autonomie van burgers (wilsbekwaamheid) en bedrijven (vrijheid ondernemerschap), of stelt de wet hier grenzen? Dit wordt ongetwijfeld vervolgd.
Gerelateerd
Privacy
