Van expliciete naar impliciete toestemming: kan de cookiemuur al weg?

Twee weken geleden stemde de Tweede Kamer over moties voor de zo omstreden cookiewetgeving. Deze moties waren ingediend n.a.v. minister Kamps eerdere opmerkingen over de onwenselijkheid van cookiemuren en zijn voornemen genoegen te nemen met impliciete i.p.v. de huidige expliciete toestemming. De teneur lijkt daarmee positiever te worden, want het de regelgeving wordt enigszins versoepeld. Maar tegelijkertijd roept de uitslag van de stemming rond deze moties ook weer nieuwe vragen op. Want mogen bijv. de cookiemuren nu eigenlijk al worden afgebroken?

Tijdens de stemming keurde de Tweede Kamer de motie af van SP en D66 om expliciete goedkeuring te vereisen. Wel was er een kamermeerderheid voor een voorstel van PvdA en VVD dat stelt dat er een “actieve handeling” van de gebruiker nodig is bij het akkoord op de cookies. Dat lijkt dus een stap in de goede richting, maar helemaal helder is het nog niet. Het is nl. momenteel nog onduidelijke wat die actieve handeling concreet inhoudt. Daar komt ook nog eens bij, dat het in de lijn van verwachting ligt dat het College bescherming persoonsgegevens (CBP) een negatief advies zal geven t.a.v. de wetswijziging.

Dit alles roept vragen op: Wat is bijv. het verschil tussen de expliciete goedkeuring die SP en D66 voorstelden (deze motie werd verworpen) en deze actieve handeling? Hoe waarschijnlijk is het dat de wetswijziging daadwerkelijk wordt doorgevoerd?

Maar waarschijnlijk de belangrijkste vraag waar bedrijven mee spelen is: wat nu? Is het een logische stap om nu al vooruit te lopen op het (voorgenomen) beleid en de cookiemuren te slopen, of is het raadzaam te wachten tot de wetswijziging daarwerkelijk is doorgevoerd? Zo schrijft de DDMA op haar website: “Dit houdt bijvoorbeeld in dat de noodzaak om zogeheten ‘cookiemuren’ te plaatsen grotendeels weg valt. Dit omdat tot voor kort expliciete toestemming voor het plaatsen van deze trackingcookies vereist was.” Opvallend, want die vereiste lijkt pas weg te vallen zodra de wetswijziging daadwerkelijk is doorgevoerd.

We vroegen enkele experts – waarvan een deel al eerder hun licht lieten schijnen op de ontwikkelingen rond de privacywetgeving – naar hun visie op de recente ontwikkelingen.

Arnoud Engelfriet

Arnoud Engelfriet is Marketingfacts-blogger en partner van ICTRecht, een juridisch adviesbureau dat o.a. publiceert over de cookiewetgeving via Cookierecht.nl.

Twee weken terug is bedacht dat de cookiewet aangepast moet worden om impliciete toestemming toe te staan. Dat moest ook wel, want de wet zoals wij die hebben eist gewoon nu een expliciete handeling. En gedoogbeleid is dan een halfslachtige oplossing.

Ik vraag me wel af hóe de wet aangepast moet worden, want de wet is nu letterlijk zoals Europa die gedicteerd heeft en daar kunnen wij dan niet zomaar eenzijdig van afwijken. Ook niet ten gunste van de economie. Maar het is pragmatisch gezien denk ik wel een goede oplossing, want zoals het nu gaat, werkt het gewoon niet.

Die wet zal zeker nog wel een jaar duren en mogelijk dat men halverwege besluit dat het tóch niet kan binnen de Europese kaders. Ik vind het dus te vroeg om nu de cookiemuren al te slopen.

Jitty van Doodewaerd

Jitty van Doodewaerd is compliance officer bij DDMA en licht DDMA-leden voor over de toepassing van de cookiewetgeving.

Onder het mom 'beter ten halve gekeerd dan ten hele gedwaald' is het bedrijfsleven echt beter af met een gewijzigde cookiewet. Als ik alleen al naar onze leden kijk, is het natuurlijk fijn voor zowel kleine MKB 'ers als consultancybureaus dat zij hun sitebezoek weer gewoon kunnen meten, omdat geen toestemming meer nodig is voor analytics. DDMA is ook nauw betrokken bij de lobby voor implied consent, net zoals Engeland en Frankrijk hebben. Een internationaal fenomeen als internet vraagt om internationale regels, een mogelijkheid waarvoor minister Kamp straks met een voorstel komt.

Je ziet dat bedrijven daar nu op inspelen en de cookiewalls naar beneden halen en implied consent implementeren. Dat lijkt me een afweging die bedrijven zelf moeten maken. Ik begrijp dat Sundio Group juist heel tevreden is over de werking van hun cookiewall. Ik ben ook gecharmeerd van het implied consent-model van NU.nl, het hangt af van je business en je bezoekers. Ik denk niet dat OPTA torenhoge boetes oplegt op een wetsartikel dat gewijzigd wordt en waar zoveel discussie over is. Maar het blijft nog even gissen wat Kamp uiteindelijk definieert als wel of geen 'legale' toestemming.

Remi van Beekum

Remi van Beekum is chief operations officer bij StormMC en Marketingfacts-blogger. Remi volgt de discussie omtrent de cookie- en privacywetgeving op de voet.

Door mijn wintersport heb ik het laatste debat zelf helaas gemist en moest ik het doen met informatie uit de verschillende blogs, dus mis ik wellicht wat achtergrond bij de verschillende voorstellen en moties.

Om eerlijk te zijn ben ik het spoor een beetje bijster. De hele discussie zit inmiddels vol tegenstrijdigheden en onmogelijkheden en de politiek is minder geloofwaardig dan ooit. Enkele voorbeelden:

• De politiek wil dus nu af van een expliciete toestemming (ze verwierpen de motie van D66 en SP), maar wil wel een ‘actieve handeling’ van de gebruiker (die motie is aangenomen). Volgens mij zijn die twee in strijd met elkaar en zijn ze onmogelijk beide uit te voeren.

• De aanleiding voor de verontwaardiging bij de politiek was de wildgroei aan cookiewalls, daar willen ze van af. Als voorbeeld namen ze steeds NU.nl en andere publishers. Ze willen dus zowel de privacy van de burgers beschermen, als geen pup-ups. Maar het ironische is: de politiek kan alleen bepalen óf we toestemming moeten verkrijgen, niet hóe. En als ze wel een expliciete toestemming blijven eisen voor advertentie-cookies, dan zijn het juist de publishers (ook Sanoma) die met pop-ups zullen blijven werken.

• In de brief die de minister op 20 december 2012 stuurde, schreef hij dat hij serieus ging onderzoeken “[…] cookies waarmee uitsluitend gegevens over het gebruik van de eigen website worden verzameld ten behoeve van het verbeteren van de werking van die website, niet te laten vallen onder het toestemmingsvereiste”. Volgens de OPTA gaat dat alleen om analytics, maar neem nu eens A/B-testingsoftware in gedachten en lees dan die quote nog eens… Juist: er is geen enkele reden om analytics als uitzondering te bestempelen en testing niet.

Al met al zeggen deze politici het beste voor te hebben met privacy, maar hebben ze werkelijk geen enkel benul hoe ze dat moeten doen. En dat in een periode waarin onze overheid wel heeft geprobeerd het EPD in te voeren (waar zowel de IT'ers als de medici massaal tegen zijn, omdat het de privacy schendt en onveilig is) en heeft de Amerikaanse overheid volledig inzicht in bijna alle gegevens die ze van ons willen hebben als ze daar om vragen. De geloofwaardigheid van de betrokken politici, van links tot rechts, is daarom tot een nieuw dieptepunt gedaald.

In de markt zijn de verbijstering en verontwaardiging van enkele maanden geleden inmiddels omgeslagen naar volslagen apathie. De meesten gaan er nu van uit dat analytics weer mag en hebben die scripts dus al lang weer op hun site staan. Projecten om aan de cookiewet te voldoen staan bijna overal op pauze in afwachting van duidelijkheid. Partijen die vroeg waren met implementeren voelen zich bedonderd, want ze hebben waarschijnlijk voor niets geïnvesteerd, terwijl hun concurrenten betere data hebben. En partijen die nog niet hebben geïmplementeerd gaan dat voorlopig ook niet doen, omdat iedereen snapt dat de OPTA nu niet kan handhaven als het zo’n onduidelijk zooitje is.

Credits afbeelding: viZZZual.com (CC)