De enorme technologische vooruitgang heeft ertoe bijgedragen dat persoonsgegevens op een steeds grotere schaal worden verzameld. Dat geldt ook voor persoonsgegevens van kinderen. Websites gericht op kinderen volgen hen online door middel van tracking cookies. De Algemene Verordening Gegevensbescherming (AVG) besteedt specifieke aandacht aan de bescherming van persoonsgegevens van kinderen.
Tracking cookies
Met behulp van tracking cookies (ook wel marketing cookies) wordt het surfgedrag van een websitebezoeker gevolgd. De gegevens die daarmee worden verkregen, worden gebruikt om een profiel op te stellen van de websitebezoeker. Daarin wordt een beeld geschetst van de interesses van de websitebezoeker.
Adverteerders kunnen websitebezoekers daarop indelen aan de hand van sociaaleconomische, psychologische, filosofische of andere criteria en hen op basis daarvan verschillende advertenties tonen. Zoekmachines kunnen bezoekers aan de hand van dergelijke indelingen verschillende zoekresultaten aanbieden. Met een tracking cookie wordt bijvoorbeeld aan iemand die eerder een webwinkel heeft bezocht zonder daar iets te kopen, op een andere website een advertentie getoond die is afgestemd op dat eerdere webwinkelbezoek.
De cookiewetgeving bepaalt daarom dat cookies alleen mogen worden geplaatst en gelezen als de websitebezoeker hiervoor toestemming heeft verleend. Daarbij moet hij duidelijk en volledig worden geïnformeerd, onder meer over het doel waarvoor de cookies worden gebruikt. Die toestemming wordt doorgaans via een cookie banner gevraagd en gegeven, waarbij wordt verwezen naar het cookie statement.
Uitgangspunt is dat door middel van tracking cookies persoonsgegevens worden verwerkt. Daarop is de AVG van toepassing, bijvoorbeeld als het gaat om het informeren over cookies. Ook voor de regels voor het vragen van toestemming verwijst de cookiewetgeving naar de AVG.
Toestemming
De AVG benadrukt dat kinderen met betrekking tot hun persoonsgegevens recht hebben op specifieke bescherming. Kinderen zijn zich namelijk minder bewust van de risico’s en mogelijke gevolgen van de verwerking van hun persoonsgegevens. Die specifieke bescherming geldt nog meer voor het gebruik van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen en het verzamelen van persoonsgegevens over kinderen bij het gebruik van rechtstreeks aan kinderen verstrekte diensten.
De AVG kent daarom een specifieke bepaling die ziet op toestemming van kinderen voor het verwerken van hun persoonsgegevens. Uitgangspunt is dat persoonsgegevens van kinderen, jonger dan 16 jaar, alleen mogen worden verwerkt met toestemming van de ouders/verzorgers.
EU-landen hebben echter de mogelijkheid om de grens voor toestemming bij online verwerkingen bij een lagere leeftijd te leggen, mits deze niet onder 13 jaar ligt. Nederland heeft van deze mogelijkheid geen gebruik gemaakt. In Nederland geldt dus een leeftijdsgrens van 16 jaar.
De leeftijdsgrens uit AVG geldt alleen bij gegevensverwerkingen door online diensten. Bijvoorbeeld via een app, online game, webwinkel of via sociale media. In Nederland geldt dat de regels voor toestemming van kinderen ook van toepassing zijn als sprake is van andere dienstverlening dan online diensten. Gedacht kan worden aan het verwerken van persoonsgegevens om een in de winkel besteld product thuis te laten bezorgen.
Kinderen en tracking cookies
De AVG verbiedt het gebruik van tracking cookies bij kinderen in beginsel niet. De European Data Protection Board (EDPB) benadrukt daarbij dat kinderen een kwetsbaardere groep van de maatschappij vormen.
Kinderen zijn bijzonder kwetsbaar in de onlineomgeving en zijn eenvoudiger te beïnvloeden met op surfgedrag afgestemde reclame. Bijvoorbeeld bij onlinespellen kan profilering worden gebruikt om reclame te richten aan spelers die volgens het algoritme eerder geneigd zijn om geld aan het spel uit te geven en om meer gepersonaliseerde reclame te tonen. Vanwege hun leeftijd en onvolwassenheid begrijpen kinderen mogelijk niet goed wat de redenen van dit soort marketing zijn en welke gevolgen die voor hen kan hebben.
Organisaties moeten volgens de EDPB daarom in het algemeen afzien van profilering van kinderen voor marketingdoeleinden. Hoewel profilering van kinderen, en dus gebruik van tracking cookies, niet verboden is, is het wel van belang om van geval tot geval te beoordelen of de privacy en rechten van kinderen gewaarborgd kan blijven. Dit zal met name van belang zijn bij websites die zich uitsluitend of hoofdzakelijk richten op kinderen.
Een andere lastige kwestie is dat websitehouders moeten kunnen aantonen dat de websitebezoeker toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens via tracking cookies. Doorgaans kan dat worden aangetoond omdat de websitebezoeker ergens op moet klikken of een vinkje moet zetten. Bij kinderen is dat echter niet zo simpel. Dan moet namelijk worden aangetoond dat daadwerkelijk de toestemming van de ouders/verzorgers is verkregen. Met name in de online context is dat bijna niet in te richten.
De websitebezoeker moet verder duidelijk worden geïnformeerd over wie cookies plaatst en leest en wie de beschikking krijgt over en verantwoordelijk is voor de daarmee verkregen gegevens. Ook moet duidelijk worden gemaakt dat tracking cookies gebruikt worden om profielen op te stellen, welk type informatie wordt verzameld om dergelijke profielen mee op te stellen, dat deze profielen worden gebruikt om gerichte reclame aan te bieden en dat het surfgedrag van de gebruiker wordt gevolgd doordat de gebruiker aan de cookie op zijn computer kan worden herkend op meerdere websites. Als de website is gericht op kinderen, moet de informatie in duidelijke en eenvoudige taal worden opgesteld zodat het kind deze makkelijk kan begrijpen.
DPIA
Heeft u een website waarmee u zich uitsluitend of hoofdzakelijk richt op kinderen en maakt u gebruik van tracking cookies? Dan is het van belang om uw cookie banner en cookie statement zo privacyvriendelijk mogelijk in te richten. Omdat het gaat om profilering en een kwetsbare groep van betrokkenen (kinderen), bent u bovendien verplicht om een zogenaamde data protection impact assessment (DPIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. En om daarna maatregelen te kunnen nemen om de risico’s te verkleinen. De Autoriteit Persoonsgegevens kan vragen naar de door u uitgevoerde DPIA.
