wijziging Telecomwet: de cookie opt-in

Update: zomer 2010 is er een tweede concepttekst naar de Kamer gestuurd. In deze versie wordt niet langer gesproken over een voorafgaande en ondubbelzinnige toestemming voor het plaatsen van cookies. 'Toestemming' zou volgens deze versie - in overeenstemming met de EU Richtlijn - voldoende zijn.

De Wet op Hoofdlijnen    
Presentaties DDMA/NUV voorlichtingsbijeenkomst   
De branchereactie



Wijziging Telecommunicatiewet: invoer van een opt-in regime voor cookies
Eind april 2010 presenteerde het ministerie van Economische Zaken haar voorstel tot wijziging van de Telcommunicatiewet in verband met het implementeren van verschillende EU-Richtlijnen. In de E-Privacy Richtlijn staat dat partijen voortaan toestemming dienen te krijgen van een gebruiker om cookies te plaatsen. Andere EU lidstaten stellen dat browserinstellingen van internetgebruikers voldoende geschikt zijn om die toestemming te krijgen. Internetters kunnen hier immers regelen of zij cookies accepteren. Het Nederlandse wetsvoorstel spreekt van ondubbelzinnige toestemming voor het plaatsen van een cookie. Een strengere interpretatie dan gangbaar in andere lidstaten. DDMA is door EZ uitgenodigd om op dit voorstel te reageren. Lees verder voor de uitleg, achtergronden en bezwaren.

De cookie-bepaling:
De voorgestelde wijziging van de Telecommunicatiewet voegt een nieuw artikel aan de Telecomwet toe (11.3a) dat aangeeft op welke manieren toegang kan worden verkregen tot ‘gegevens die zijn opgeslagen in de randapparatuur van de gebruiker’, dus: cookies, device ID’s, beacons, malware, spyware. (Hierna gebruiken we de verzamelterm ‘cookies’)

Op basis van het huidige wetsvoorstel mogen alleen nog cookies geplaatst worden als:

1. De gebruiker van tevoren duidelijk is geïnformeerd over het doel van het cookie én;
2. Als de gebruiker ondubbelzinnige toestemming heeft gegeven

NB: als iemand geen toestemming geeft voor het plaatsen van een cookie, dan mag de toegang tot een website geweigerd worden.

Het probleem:
Het is onduidelijk hoe de toestemming moet worden ingevuld. Zijn browserinstellingen voldoende? Moet er een pop-up komen iedere keer dat er een cookie wordt geplaatst? Economische Zaken vindt browserinstellingen niet voldoende en vraagt de branche om input.

De Europese context
November 2009 nam de EU het National Regulatory Framework aan. De herziening van een aantal Richtlijnen die twee zaken moeten bewerkstelligen:

a) betere consumentenbescherming
b) bevorderen interne EU-markt

Onderdeel van dit pakket maatregelen is de herziening van de E-privacy richtlijn. Art. 66 van deze Richtlijn behandelt cookies en stelt dat:

- het opslaan van informatie op randapparatuur van een gebruiker en
- toegang tot informatie op randapparatuur van een gebruiker

alleen mag als

- de gebruiker hierover helder geïnformeerd is
- en toestemming heeft gegeven (minder streng dan NL)

In het voorwoord van de richtlijn staat dat een gebruiker zijn toestemming kan uitdrukken door browsersettings. Het probleem is dat dit voorwoord geen juridische status heeft. Dit betekent dat lidstaten het naar eigen inzicht kunnen interpreteren.

Implementatie in EU
13 EU lidstaten hebben een verklaring aangeboden aan de Europese commissie waarin zij pleiten voor browserinstellingen als uitwerking van de toestemmingsvereiste. Ook Frankrijk implementeert de richtlijn één op één, hetgeen betekent dat ook hier browserinstellingen voldoende zijn voor toestemming.

Nederland heeft deze verklaring niet ondertekend.

Standpunt van de branche
DDMA is voor transparantie naar de consument. Hij moet weten dat websites cookies plaatsen en hij moet zich kunnen verzetten. DDMA pleit dan ook voor een gezamenlijke consumentenvoorlichting vanuit bedrijfsleven en overheid. Daarnaast moet iedere website duidelijk aangeven of en wat voor cookies er geplaatst worden. DDMA controleert haar leden hier al actief op sinds de invoering van haar Privacy Waarborg.

Het huidige opt-in voorstel schiet naar de mening van DDMA zijn doel volledig voorbij om de volgende redenen:

1. Consumentenirritatie neemt toe
De gebruikerservaring van de internetter zal indien het voorstel in zijn huidige vorm gehandhaafd blijft enorm verslechteren. Een gemiddelde nieuwssite plaatst tien cookies. Stel men bezoekt tijdens een internetsessie tien websites x tien cookies = 100 clicks.

Een toestemmingsvraag leidt daarom tot ‘schijnveiligheid’. Men gaat op de automatische piloot ‘wegklikken’ en leest de boodschap niet eens meer. Daardoor schiet de wetgeving zijn doel voorbij en wordt het tegengestelde bereikt.

2. Opt-in leidt tot vastleggen van meer gegevens van burgers
Het lijkt een contradictio in terminis, maar dat is het niet. Een cookie herkent een gebruiker door deze een uniek nummer toe te kennen. Zolang een gebruiker zijn persoonsgegevens niet invult, is dit nummer niet gekoppeld aan NAW-gegevens.

a. Om een cookie opt-in te registreren, moet men voor de bewijslast ook NAW registreren om een gebruiker adequaat te identificeren. Er moeten dus meer persoonsgegevens worden vastgelegd om adequaat een opt-in of opt-out te registreren.

b. Bij flexibele ip-adressen is het vrijwel onmogelijk om een opt-in adequaat te registreren.

c. Opt-out moet in BT worden geregistreerd met een cookie


3. Het voorstel is strijdig met het kabinetsvoornemen
Ons kabinet heeft aangeven Europese richtlijnen één op één te willen implementeren in de Nederlandse wetgeving. In de Richtlijn wordt gesproken over toestemming voor het plaatsen van cookies, niet over ondubbelzinnige toestemming. De preambule bij de Richtlijn stelt bovendien dat toestemming ook gegeven kan worden via browserinstellingen.

Veertien andere EU-landen hanteren browser settings als een uitdrukking van toestemming. Waarom Nederland niet?


4. Oneerlijke concurrentie/ ondermijning van het European Level Playing Field
Het National Regulatory Framework heeft als doel de interne Europese markt te bevorderen en handelsbarrières weg te nemen. Dit moet leiden tot een interne Europese markt. Dit is goed voor burgers omdat zij meer keuzevrijheid ervaren en grensoverschrijdend kunnen consumeren. De EU streeft in haar wetgeving dan ook naar harmonisatie van regels. Met het huidige voorstel gaat Nederland in haar regelgeving verder dan alle andere EU landen. Dit ondermijnt de concurrentiepositie van Nederlandse bedrijven ten opzicht van andere EU lidstaten en niet EU landen. Bedrijven in deze landen kunnen nog wel cookies plaatsen op pc’s van Nederlandse gebruikers.

Gevolg van een afwijkende implementatie in lidstaten van deze wetgeving is dat Nederlandse bedrijven naar het buitenland zullen uitwijken en vanuit daar Behavioral Targetting inzetten op de Nederlandse markt. Nederland kan er dan wel voor kiezen om een country of destination principe toe te passen in het toezicht, om zo buitenlandse aanbieders te kunnen handhaven. De praktijk wijst echter dat handhaving buiten de landsgrenzen kostbaar en tijdrovend is.


5. Afbreuk aan de pluriformiteit van de pers (werkgelegenheid)
Media hebben het zwaar. Advertentiemodellen komen verder onder druk te staan indien het wetsvoorstel in zijn huidige vorm gehandhaafd wordt. Dit betekent in veel gevallen dat informatie niet meer gratis beschikbaar zal zijn voor de burger. Een verschraling van het informatie-aanbod is dan een feit daarmee indirect een ondermijning van de democratie. 

Presentaties DDMA/NUV Voorlichtingsbijeenkomst
17 mei j.l. organiseerden DDMA samen met het Nederlands Uitgeversverbond (NUV) een druk bezochte voorlichtingsbijeenkomst over de cookiewetgeving. Tijdens deze bijeenkomst gaf Jeroen Terstegge (voorzitter Privacy Commissie VNO-NCW) een scherpe analyse van de juridische bezwaren die kleven aan de opt-in voor cookies. Jelmer Voogel van Sanoma Digital illustreerde vervolgens wat de voorgestelde wet voor gevolgen zou hebben voor de praktijk. Wist u bijvoorbeeld dat de opt-in voor cookies juist leidt tot de opslag van meer persoonsgegevens?

Presentatie Jeroen Terstegge

Presentatie Jelmer Voogel

 Branchereactie
De verschillende brancheorganisaties hebben de handen ineen geslagen om te reageren op het voorstel.
De DDMA, Bond van Adverteerders (BVA), Interactive Advertising Bureau (IAB), de Nederlandse Thuiswinkel Organisatie, het Platform Affiliate Netwerken (PAN), het Platform Internet Bureaus Nederland (PIBN), het Platform Media Adviesbureaus (PMA) en het Nederlands Uitgeversverbond (NUV) hebben een gezemaleijke brief opgetseld waarin zij hun bezwaren tegen het wetsvoorstel uitten en mogelijke alternatieve oplossingen aandragen. 

Oplossingen volgens de branche
De brancheverenigingen hebben een alternatief voorstel dat recht doet aan de consumentenbescherming en de belangen van het bedrijfsleven. Het voorstel bestaat uit drie elementen:
• Instellen van toestemming via de internetbrowser zodat de gebruiker zelf kan kiezen voor de mate van beveiliging. Dit wordt al gehanteerd in veertien andere Europese lidstaten.
• De branche zal een voorlichtingscampagne starten en de gebruiker uitgebreider voorlichten over de mogelijkheden om cookies uit te schakelen.
• De branche stelt een ‘cookiezegel’ voor, dat aangeeft dat de website cookies plaatst. Als de gebruikers op de zegel klikken worden zij geïnformeerd over de cookies en hebben ze de mogelijkheid zich hiertegen te verzetten. In de Verenigde Staten is hiermee veel ervaring opgedaan.

De Brancheorganisaties hopen dat de minister rekening zal houden met praktische bezwaren die invoering van het wetsvoorstel zal opleveren en dat de alternatieven uit de branche worden overgenomen.

BRIEF AAN MINISTER VAN DER HOEVEN