De Nederlandse Publieke Omroep (“NPO”) lijkt weer in schijnwerpers te staan als het gaat om het verzamelen van persoonsgegevens, en niet in positieve zin. Dit keer gaat het om de app NPO Start. De afgelopen week verscheen in de app de melding dat gebruikers akkoord moeten gaan met de mogelijkheid dat informatie over het kijkgedrag wordt doorgeven aan adverteerders. Door deze gegevens kunnen adverteerders een beter beeld krijgen van (het gedrag van) de gebruikers. Gebruikers moeten hiermee instemmen, anders kunnen ze de app, de opvolger van Uitzending Gemist, niet gebruiken.
2013 – toegang weigeren
Begin 2013 zijn Kamervragen gesteld en beantwoord over hetgebruik van cookies op de websites van de NPO. Als reactie hierop heeft deAutoriteit Persoonsgegevens (“AP”), toen nog het College beschermingpersoonsgegevens (“CBP”), in een brief een toelichting gegeven op het toepasselijke wettelijke kader. De AP merkte toen op dat de NPO bezoekers niet de toegang mag weigeren als zij geen toestemming geven voor het laten volgen van hun surfgedrag:
“De NPO biedtbezoekers geen andere keuze dan (in een keer) toestemming te geven voor allesoorten cookies, inclusief tracking cookies. Wie deze toestemming weigert,krijgt geen toegang tot de – met publiek geld verspreide – informatie en uitzendingen van de publieke omroepen. Er is echter geen (digitaal) alternatief beschikbaar, waardoor kan worden gesteld dat de NPO een situationelemonopoliepositie heeft. Door het afdwingen van toestemming voor trackingcookies betalen bezoekers feitelijk bij elk bezoek met hun persoonsgegevens. Van in vrijheid gegeven, rechtsgeldige toestemming is daarom geen sprake.”
2014 – tracking cookieszonder toestemming
Daarop heeft de AP in 2014 onderzoek gedaan naar de verwerking van persoonsgegevens met cookies door de NPO. Naar aanleiding daarvan concludeerde de AP dat de NPO de wet overtreedt door met zogeheten tracking cookies persoonsgegevens van websitebezoekers zonder hiervoor hun ondubbelzinnige toestemming te vragen. Met deze tracking cookies kan de NPO het surfgedrag van bezoekers van verschillende omroepwebsites volgen. Het volgen van surfgedrag via cookies zonder adequate informatie en voorafgaande toestemming van de websitebezoeker is niet toegestaan:
“Gegevens over surfgedrag zijn gevoelige gegevens die een indringend beeld kunnen geven van iemands (communicatie)gedrag en belangstelling. Internetgebruikers hebben het recht om te weten wie welke persoonsgegevens van hen verzamelt en met welk doel dat gebeurt. De NPO verzamelt gegevens van zijn websitebezoekers onder meer om het publieksbereik te meten, om gepersonaliseerde advertenties te tonen en om het delen via social media mogelijk te maken. De informatie van de NPO aan bezoekers schiet op verschillende punten tekort. Websitebezoekers horen eerst informatie te krijgen over de verschillende soorten cookies en welke van hun persoonsgegevens waarvoor worden gebruikt zodat zij weten waarvoor zij precies toestemming geven.”
2015 – overtredingen beëindigd
In 2015 maakte de AP bekend dat de NP maatregelen heeft getroffen om de geconstateerde overtredingen van de wet te beëindigen. De NPO plaatste en verwerkte niet langer tracking cookies zonder dat een bezoeker hiervoor zijn ondubbelzinnige toestemming heeft gegeven.
Cookiemuur entoestemming
De definitie van toestemming in de Wet beschermingpersoonsgegevens, en straks ook in de Algemene verordening gegevensbescherming, schrijft voor dat sprake moet zijn van een vrije wilsuiting.
Het niet, of alleen tegen betaling, kunnen gebruiken van de website die de bezoeker opvraagt is op zichzelf nog niet voldoende om aan te nemen dat de bezoeker geen vrije keuze kan maken om al dan niet met het gebruik van cookies in te stemmen. Zo zijn er aanbieders die, om te voldoen aan d ecookiebepaling, gebruikmaken van een cookiemuur: in een pop-up wordt om toestemming gevraagd voor het plaatsen en lezen van cookies, maar als er geen toestemming wordt gegeven kan de bezoeker de site niet bezoeken.
De toelichting op de cookiewet erkent dat er veel websites zijn die voor hun inkomsten afhankelijk zijn van het gebruik van tracking cookies om gerichte reclame te kunnen tonen. Dergelijke websites kiezen er soms voor om bezoekers die geen toestemming geven voor het gebruik van cookies de toegang tot de site te weigeren:
“Wel kan het zo zijn dat het verdien model van een gratis website is gebaseerd op de inkomsten die de websitehouder genereert met reclame op zijn site. Zonder tracking cookies ontvangt de websitehouder lagere reclame-inkomsten, omdat hij dan geen (op de uit het surfgedrag gebleken interesses van de bezoeker) gerichte reclames kan aanbieden, maar moet volstaan met minder gerichte advertenties. Dit kan voor hem aanleiding geven om bezoekers die geen toestemming geven voor het gebruik van tracking cookies geen gebruik te laten maken van zijn site. De cookiebepaling schrijft alleen voor dat hij zonder toestemming geen cookies mag plaatsen. Een cookiemuur is over het algemeen dan ook een rechtmatige manier om aan het toestemmingsvereiste in de cookiebepaling te voldoen. Ook al is dit niet de meest gebruiksvriendelijke manier en is het technisch ook nooit noodzakelijk, het staat de websitehouder in beginsel wel vrij om te bepalen of hij een bezoeker die geen toestemming geeft voor het gebruik van cookies, al dan niet toegang geeft tot zijn website.”
Daarbij wordt aangegeven dat het niet mogelijk is om vooraf een limitatieve opsomming te geven van omstandigheden waarin de consequentie die aan het niet-geven van toestemming wordt verbonden zo zwaar is dat dit de keuzevrijheid ondermijnt. Daar is in ieder geval wel sprake van als aan he tniet geven van toestemming de consequente wordt verbonden dat de gebruiker een wettelijk recht niet kan uitoefenen: “Dat de via de bezochte website aangeboden informatie en diensten onderdeel uitmaken van een publieke taak zal er over het algemeen ook toe leiden dat deze ook moet worden aangeboden als de bezoeker geen toestemming geeft voor privacygevoelige cookies.”
De cookiewet (art. 11.7a lid 5 Telecommunicatiewet) bepaalt daarom dat de toegang van een gebruiker tot een website of dienst die wordt geleverd door een publieke instelling niet afhankelijk mag worden gemaakt van het verlenen van toestemming. In dat verband bepaalt ook de nieuwe Algemene verordening gegevensbescherming expliciet dat bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, rekening wordt gehouden met de vraag of voor het verlenen van de dienst (in dit geval toegang tot een app) toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk voor het gebruik van de dienst.
2017 – NPO Start
Gebruikers die niet akkoord gaan met de voorwaarden, krijgen geen toegang tot de app. De ophef is ontstaan omdat er vooralsnog geen optie is om bepaalde cookies niet toe te staan. In de melding die je op je smartphone of tablet krijgt is via de knop ‘ meer informatie’ wel te zien dat de mogelijkheid bestaat om de cookie-instellingen aan te passen. Gebruikers lijken dus in eerste instantie het plaatsen van de beruchte advertentiecookies uit te kunnen schakelen, maar na het opslaan van de gewijzigde instellingen wordt een foutmelding getoond. In ieder geval lijkt de NPO wel in te zien dat een cookiemuur in dit geval niet door de beugel kan en meldt de NPO bezig te zijn om wel een keuzemogelijk te geven over advertenties.
