Beslissing Hof van Justitie:

Hof van Justitie beslist:

Toestemming voor de opslag van informatie of het verkrijgen van toegang tot informatie door middel van cookies die zijn geïnstalleerd op de eindapparatuur van de gebruiker van een website, is niet rechtsgeldig verleend wanneer de toestemming wordt verleend door middel van een standaard aangevinkt selectievakje, ongeacht of de betrokken informatie al dan niet bestaat uit persoonsgegevens. Bovendien moet de aanbieder van diensten de gebruiker van een website erop wijzen hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben.

Casus

Planet49 organiseerde een loterij op haar website ‘dein-macbook.de’. Om deel te nemen aan de loterij moest een deelnemer zijn persoonlijke gegevens in een online-registratieformulier invoeren. Onder de invoervelden stonden twee selectievakjes.

  1. Een selectievakje voor het verkrijgen van toestemming voor e-mailmarketing die niet vooraf was aangevinkt. Voor deelname aan de loterij was het aanvinken van dit selectievakje verplicht.
  2. Een vooraf aangevinkt selectievakje voor het verkrijgen van toestemming voor cookies, waar gebruikers zich op elk moment voor konden afmelden.

Deelname aan de loterij was alleen mogelijk als de deelnemer toestemming gaf voor de benadering door sponsoren en partners via e-mail of sms. De deelnemer betaalde dus met diens persoonsgegevens voor het gebruik van de dienst, in dit geval het meespelen met de loterij. Volgens de Duitse Consumentenbond was er geen sprake van vrije en geïnformeerde toestemming. De zaak werd voorgelegd aan het Europese Hof van Justitie, dat hierover werd geadviseerd door de Advocaat Generaal (AG).

Vereisten AVG

Het plaatsen van marketing cookies is alleen toegestaan op voorwaarde dat een gebruiker daar toestemming voor heeft gegeven. Volgens artikel 4(11) van de AVG is toestemming rechtsgeldig als: de toestemming ondubbelzinnig (door middel van een actieve handeling) is, op informatie berust, vrij is gegeven en wordt gegeven ten aanzien van specifieke doeleinden.

Advies AG

Cookie toestemming

Er is geen sprake van actieve toestemming omdat het selectievakje voor cookies vooraf was aangevinkt en de deelnemer bezwaar moet maken tegen het gebruik van cookies door het selectievakje uit te schakelen.

Bundeling van toestemming

Daarnaast moet de toestemming niet alleen actief maar ook gescheiden zijn. In de zaak Planet49 was er door het aanvinken van het selectievakje een gebundelde toestemming in plaats van afzonderlijke toestemmingen voor deelname aan de loterij en voor het accepteren van cookies. Wanneer er met dezelfde knop akkoord wordt gegeven en voor deelname aan een loterij en het verwerken van persoonsgegevens, is van geldige toestemming geen sprake.

Het verbod om toestemming (artikel 7 lid 4 AVG) te bundelen is echter niet absoluut van aard: Bij elke beoordeling van het al dan niet verlenen van toestemming moet worden overwogen of de uitvoering van een contract afhankelijk is van toestemming om aanvullende persoonsgegevens te verwerken die niet noodzakelijk zijn voor de uitvoering van het contract.

De AG vindt dat het onder omstandigheden mogelijk is om toestemming afhankelijk te maken van het afnemen van een dienst en/of deelname. Er moet worden gekeken naar het onderliggende doel van de overeenkomst. De AG verwijst hierbij naar de situatie waarin gebruikers ‘betalen’ voor gratis diensten door hun persoonsgegevens te verstrekken. In de zaak Planet49 konden deelnemers meedoen aan de loterij in ruil voor persoonsgegevens, zodat Planet49 deze persoonsgegevens kon doorverkopen. De verwerking van persoonsgegevens is hiermee de tegenprestatie van de deelnemer en maakt dat de verwerking noodzakelijk is voor de deelname. Het achterliggende doel is immers het verkopen van persoonsgegevens aan sponsoren. In de zaak Planet49 aanvaardt de AG dat het verstrekken van persoonsgegevens noodzakelijk is voor de deelname aan de loterij.

Eerder dit jaar nam de Engelse toezichthouder ICO een alternatief standpunt in: De ICO vindt dat toestemming niet als vrij kan worden beschouwd als het accepteren van de cookies de enige manier is om zonder betaling toegang te krijgen tot de service. ICO publiceerde een handleiding voor het gebruik van cookies en verbood daarbij de cookiewall.

Informatieverplichtingen

Verder moet men de gebruiker duidelijk informeren of er ook third-party cookies via de website worden geplaats. Om te kunnen voldoen aan de informatieverplichtingen moet door de websitehouder informatie over de duur van inzet van de cookies en eventuele toegang door derden worden verstrekt, evenals de identiteit van die derden. De informatie moet glashelder zijn zonder dubbelzinnigheid, aangezien van de gemiddelde internetgebruiker niet wordt verwacht dat hij weet hoe cookies werken.

Conclusie

Het Europese Hof van Justitie geeft de Duitse consumentenorganisatie gelijk. Uit het arrest blijkt dat voor het plaatsen van cookies de actieve toestemming van de internetgebruiker is vereist. Een vooraf aangevinkt selectievakje staat niet gelijk aan het geven van toestemming voor het plaatsen van cookies. Door het uitvinken van het selectievakje moet de gebruiker een handeling uitvoeren om het plaatsen van cookies tegen te gaan en dit is niet toegestaan. Voor het plaatsen van cookies moet expliciet en ondubbelzinnig toestemming worden gevraagd en verkregen. Vooraf cookies aanvinken is dus ongeldig. Daarnaast moet een website aan de gebruiker duidelijk laten weten hoelang cookies worden opgeslagen en of de cookies worden gedeeld met derden.

Wat het arrest betekent voor het voortbestaan van de cookiewall is onduidelijk, het Hof heeft dit niet behandeld.