Affiliate cookies en toestemming: dit zijn de regels

Met een affiliate cookie is te zien via welke advertentie een (potentiële) klant op de website terecht is gekomen, en welke affiliate dus moet worden betaald voor deze succesvolle link. Mogen affiliate cookies in alle situaties gewoon worden gebruikt of moet je daarvoor toestemming vragen? En wordt dat anders onder de nieuwe cookieregels?

Veel partijen maken gebruik van affiliate samenwerkingen. Voor de affiliate is dit een verdienmodel, voor de adverteerder is het een manier om meer websitebezoekers naar zijn website te trekken. Om affiliate samenwerkingen als verdienmodel te laten werken, bieden affiliate cookies een uitkomst. Je moet immers kunnen achterhalen welke advertentie heeft geleid tot een bezoek aan de website.

Huidige cookieregels

Het gebruik van cookies valt in Nederland onder de cookieregels uit artikel 11.7a van de Telecommunicatiewet. Op basis van de Telecommunicatiewet is toestemming nodig voor het gebruik van cookies voor trackingdoeleinden of ter verkrijging van analytische inzichten. Er is echter geen toestemming nodig voor het gebruik van puur technische of functionele cookies, of wanneer het gebruik van analytische cookies geen of een geringe privacy-inbreuk teweegbrengt.

“Affiliate cookies vallen onder de uitzondering van de cookieregels”

In de wetsgeschiedenis van de Telecommunicatiewet is opgemerkt dat affiliate cookies onder de uitzondering van de cookieregels vallen, waardoor er geen toestemming hoeft te worden gevraagd voor het plaatsen hiervan. Voorwaarde hiervoor is dat de cookies alleen voor affiliate-doeleinden worden gebruikt (lees: om een seintje te geven over het feit of de affiliate moet worden betaald of niet), er geen (volg)profiel wordt aangemaakt van de websitebezoeker en de levensduur van de cookies gelijk staat aan hoe lang ze nodig zijn voor de affiliate-doeleinden. De privacy-inbreuk is dan namelijk gering.

In veel gevallen maken affiliate cookies echter wel een (volg)profiel aan. Dan vallen de cookies niet langer onder de uitzondering, waardoor er wel toestemming moet worden gevraagd aan de websitebezoeker voor het plaatsen hiervan. Let wel: ongeacht of er wel of geen toestemming is vereist, geldt de informatieplicht voor cookies altijd.

Nieuwe regelgeving op komst

Er zijn nieuwe cookieregels op komst in de vorm van de ePrivacyverordening (ePV). De ePV is echter nog niet definitief, dus voor onderstaande analyse zijn we uitgegaan van de laatste versie van de ePV van oktober 2018. Het gebruik van cookies is onder de ePV – net als onder de Telecommunicatiewet – verboden, tenzij één van de uitzonderingen van toepassing is. Onder de ePV wordt echter een nieuw regime qua uitzonderingen geïntroduceerd. De volgende drie uitzonderingen uit de ePV zijn relevant voor affiliate cookies:

• toestemming van de websitebezoeker
• de noodzakelijkheid voor het verstrekken van een door de bezoeker gevraagde online dienst
• de noodzakelijkheid van de cookies voor het meten van publiek, mits dit wordt gedaan door websiteaanbieder of een derde partij in opdracht van de websiteaanbieder

Meten van publiek

Hoe we de derde uitzondering moeten interpreteren (“noodzakelijkheid voor het meten van publiek”) wordt in de overwegingen van de ePV wat meer verduidelijkt. Hierin staat namelijk dat cookies een rechtmatige en bruikbare tool kunnen zijn voor het meten van de effectiviteit van een dienst, waaronder de effectiviteit van websitedesign en advertenties. Het gebruik van affiliate cookies lijkt dan ook onder deze uitzondering te kunnen vallen, mits de cookies enkel worden ingezet voor het meten van de effectiviteit van de advertenties. Dit kan worden uitgelezen aan de hand van het aantal kliks. Dit lijkt dus op de uitzondering voor affiliate cookies, zoals we die ook reeds onder de Telecommunicatiewet kennen.

Aan de derde uitzondering (“noodzakelijkheid voor het meten van publiek”) is echter in de laatste versie van de ePV toegevoegd dat dit meten enkel mag worden gedaan door de websiteaanbieder zelf, of door een derde in opdracht van de websiteaanbieder. De websiteaanbieder kan dit volgens de ePV alleen doen voor eigen doeleinden en met zelf aangewezen middelen. De partij die het meten uitvoert, handelt dus als verwerker.

Complicaties

Deze toevoeging zou weleens complicaties kunnen gaan opleveren voor de samenwerking tussen affiliates en adverteerders via een affiliate netwerk. Een affiliate netwerk functioneert namelijk als intermediair, en behartigt zowel de belangen van de affiliate als de websiteaanbieder. Als het netwerk enkel aantallen mag meten in opdracht van de adverteerder of qua inzage in de aantallen volledig afhankelijk is van de informatie verstrekt voor de adverteerder, is dit risicovol voor de affiliate.

“Mogelijk levert ePrivacyverordening complicaties op voor samenwerking tussen affiliates en adverteerder”

Qua uitbetaling is de affiliate dan afhankelijk van informatie die eenzijdig is verstrekt door de websiteaanbieder of verzameld door het affiliate netwerk in opdracht van de adverteerder. De adverteerder heeft dan ook veel macht over de informatie die wordt verzameld, en kan bijvoorbeeld de informatie beïnvloeden door het affiliate netwerk op te dragen om gegevens te wissen. De adverteerder bepaalt immers het doel en de middelen van de gegevensverwerking door de geplaatste cookies. Het is echter afwachten of dit ook de daadwerkelijke situatie zal gaan zijn, nu de ePV nog niet definitief is.

Toestemming vragen

Wanneer affiliate cookies door een affiliate netwerk worden geplaatst, en niet door de websiteaanbieder zelf of in opdracht van de websiteaanbieder, is alleen de uitzondering ‘toestemming’ nog over. Uit de overwegingen van de ePV blijkt al dat voor het monitoren van websitebezoekers, waaronder het tracken van online activiteiten en de locatie van een apparaat, altijd toestemming van de websitebezoeker vereist. Wanneer er dus sprake is van het opbouwen van een (volg)profiel of tracken van bezoekers middels de affiliate cookies, moet voor deze cookies, net als onder de huidige Telecommunicatiewet, ook gewoon toestemming worden gevraagd.

Je hoeft onder zowel de huidige als de toekomstige cookieregels geen toestemming te vragen voor het plaatsen van affiliate cookies, mits deze enkel worden ingezet voor affiliate-doeleinden (het meten van aantallen en het geven van een seintje of de affiliate moet worden uitbetaald of niet). Daarnaast is de voorwaarde hiervoor onder de toekomstige (nog niet definitieve) cookieregels dat dit meten enkel wordt gedaan door de websiteaanbieder of een derde in opdracht van de websiteaanbieder. Mocht er daarentegen een (volg)profiel worden opgebouwd van de websitebezoekers of de cookies worden ook voor andere doeleinden worden ingezet, dan is er altijd toestemming van de websitebezoeker nodig.