Begin februari legde de Belgische toezichthouder, de Gegevensbeschermingsautoriteit (GBA), een boete op van 250.000 euro aan een van de grootste spelers op de online advertentiemarkt, het Interactive Advertising Bureau Europe (IAB Europe) voor het door hem ontworpen en in de praktijk door meer dan 80% van alle Europe websites en apps gebruikte Transparency & Consent Framework (TCF). Het TCF biedt een manier om de voorkeuren van gebruikers vast te leggen met betrekking tot het gebruik van cookies (wel/geen toestemming, wel/geen bezwaar tegen verwerking op grond van gerechtvaardigd belang, et cetera) en deze voorkeuren te delen met de op het TCF aangesloten bedrijven die achter de schermen op advertentieruimte bieden op de website die de betrokkene wil bezoeken.
Volgens de Geschillenkamer van de GBA heeft IAB Europe echter nog behoorlijk wat werk te verrichten om het TCF in overeenstemming met de AVG te brengen. Het ontbreekt IAB Europe namelijk aan een grondslag voor de wijze waarop het deze voorkeuren verwerkt binnen het TCF, de door de gebruiker gemaakte keuzes worden onvoldoende beschermd waardoor de integriteit van die persoonsgegevens niet gegarandeerd kan worden, er wordt niet voldaan aan de transparantie- en informatieverplichtingen uit de AVG, IAB Europe heeft geen DPIA uitgevoerd en geen FG aangesteld en ook een register van verwerkingen ontbreekt.
Het meest in het oog springend is wellicht dat de GBA het beroep op de grondslag ‘gerechtvaardigd belang’ voor gedragsgerichte reclame (via profilering) aan banden lijkt te leggen door IAB Europe te sommeren om deze grondslag door organisaties die deelnemen aan het TCF in zijn huidige vorm te verbieden via de gebruiksvoorwaarden. Het gebruik van deze grondslag voor tracking cookies is al langer discutabel, en al eerder expliciet uitgesloten door andere Europese toezichthouders. Betekent dit het einde van tracking cookies ten faveure van bijvoorbeeld contextgerelateerde reclame waarbij de inhoud van de bezochte pagina in plaats van een profiel van de bezoeker als leidraad dient voor de aangeboden reclame? Dit was bijvoorbeeld wat de NPO deed naar aanleiding van het onderzoek van het College bescherming persoonsgegevens (de voorganger van de Autoriteit Persoonsgegevens) in 2014 naar het cookiegebruik van de NPO. Gaat IAB Europe ook die kant op, of betekent het enkel het einde van het tabblad ‘legitimate interest’ bij cookievensters waar de (veelal meer dan zeven) vinkjes al staan aangevinkt? We gaan het zien, want IAB Europe heeft van de GBA twee maanden gekregen om met een actieplan te komen om zijn werkwijze aan te passen. De AP is strenger en stelt dat websites per direct moeten stoppen met het gebruik van tracking cookies.
Niet alleen het gebruik van tracking cookies staat onder druk, recente uitspraken van de toezichthouder op persoonsgegevensgebruik door Europese Instellingen (EDPS), de Oostenrijkse en Franse toezichthouders lijken ook een streep te zetten door het gebruik van Google’s analytische cookies. Het euvel zit hem hier in het feit dat de Google Analytics cookies persoonsgegevens doorzenden aan de Verenigde Staten (VS), zonder dat er adequate bescherming voor deze doorgegeven persoonsgegevens in de VS aanwezig is. Dit is het zoveelste probleem dat is ontstaan na het ongeldig verklaren van het EU-US Privacy Shield door het Hof van Justitie in de Schrems II-zaak.
De AP buigt zich momenteel over twee klachten inzake het gebruik van Google Analytics en zal later dit jaar met een uitspraak komen, zo is de verwachting. Cookies blijven dus een onderwerp om te ‘tracken’…
