AVG-uitspraak over cookieplaatsing raakt alle bedrijven in de ads-keten
Na een Franse miljoenenboete begin vorig jaar is in Nederland een rechtszaak gevolgd over het plaatsen van cookies en het verwerken van data daarlangs door derden. Het aangeklaagde Franse reclametechbedrijf Criteo heeft die Nederlandse zaak verloren, is in hoger beroep gegaan en ziet dat nu afgewezen. Een kwestie met verstrekkende gevolgen: voor alle partijen in de ads-keten van advertentienetwerken, websitehouders en andere dataverwerkers.
Shutterstock, Crystal Eye Studio
De geldboete van 40 miljoen euro die de Franse toezichthouder CNIL in juni vorig jaar heeft opgelegd, vertegenwoordigt niet alleen een klap voor Criteo. Die adtech-aanbieder is namelijk beboet voor het opstellen en verkopen van gebruikersprofielen, wat al jaren een commerciële activiteit is waar heel veel bedrijven bij zijn betrokken. Ook in Nederland. Relatief nieuw probleem is echter de privacyrichtlijn AVG.
Expliciete toestemming
Volgens die Europese verordening voor gegevensbescherming moeten bedrijven expliciet permissie hebben van mensen om hun gegevens te mogen gebruiken. Dit omvat vergaren, verwerken, verkopen, verrijken, enzovoorts. Die uiteenlopende activiteiten met data worden in de praktijk uitgevoerd door uiteenlopende bedrijven, die met elkaar verbonden zijn in ketens van bijvoorbeeld ads-netwerken.
Criteo plaats cookies op computers, leest ze uit en stelt profielen op die op een online marktplaats worden verkocht aan adverteerders. Het probleem: volgens de toezichthouder gaf niet iedere gebruiker daar toestemming voor.
Praktisch probleem is ook het feit dat ooit gegeven toestemming niet eeuwig geldend is. Als een gebruiker een eenmaal verleende permissie intrekt, moeten vergaarde gegevens weer worden verwijderd. In de hele keten. Dit heeft privacy-jurist Floor Terra van Privacy Company begin vorig jaar al uitgelegd aan AG Connect.
De Franse toezichthouder heeft Criteo beboet omdat het niet kon aantonen dat het toestemming had om profieldata te verwerken van een groep online gebruikers. Deze zaak in Criteo's thuisland is aanhangig gemaakt nadat burgerrechtenorganisaties Privacy International en None of Your Business klachten hadden ingediend bij de toezichthouder.
Nederlandse zaak
Daarna is in Nederland een rechtszaak hierover aangespannen door een particulier. De voorzieningenrechter in Amsterdam heeft in kort geding bepaald dat Criteo niet meer zonder toestemming cookies mag plaatsen. Dat is immers in strijd met de AVG. De trackingcookies die Criteo op devices van consumenten zet, zijn dus onrechtmatig geplaatst.
In zijn verdediging heeft het adtech-bedrijf gesteld dat het verkrijgen van toestemming een zaak is voor de bedrijven en partijen die websites hebben waarop de bewuste cookies worden aangeboden. De permissiekwestie zou dus een verantwoordelijkheid zijn van website-exploitanten en Criteo eist dit ook contractueel van die klanten en derde partijen.
De voorzieningenrechter heeft dit verweer, met nog andere argumenten, echter afgewezen. Criteo probeert zich, via contractuele uitbesteding, te verschuilen achter zijn partners, maar is wel degelijk verwerkingsverantwoordelijke in de zin van de AVG. Het bedrijf blijft dus zelf verantwoordelijk voor het rechtmatig verkrijgen van toestemming. Criteo heeft de Nederlandse zaak dan ook verloren.
Hardleers?
De rechter heeft daarbij ook vastgesteld dat Criteo niet van plan lijkt te zijn om zijn huidige werkwijze te veranderen. "Dat betekent dat het onrechtmatig handelen van Criteo jegens [eiser] niet vanzelf zal stoppen. Dat wordt ook bevestigd doordat [eiser] zelfs na de brief van zijn advocaat van 8 augustus 2023 nog 39 gevallen van schending van het wettelijk toestemmingsvereiste heeft aangetoond. Het gaat hier om een - naar voorlopig oordeel - flagrante schending van de wet."
Criteo moet van de Nederlandse rechter de geplaatste cookies verwijderen. Daarnaast moet het de onrechtmatig vergaarde persoonsgegevens verwijderen én de ontvangers van deze gegevens informeren over dat verwijderen. Verder moet Criteo inzage bieden in de verwerkte persoonsgegevens en in welke partijen die gegevens hebben ontvangen. Dat reikt dus ver in de online keten van cookies, ads, datahandelaren en andere partijen.
Dit oordeel - met opgelegde dwangsommen - is in oktober door de rechter uitgesproken, waarna Criteo in hoger beroep is gegaan. Dat beroep is op de valreep van 2023 echter afgewezen, zo is nu naar buiten gekomen.
Gegevens verwijderen
Het Gerechtshof Amsterdam handhaaft dus het oordeel van de voorzieningenrechter. Daarbij moet Criteo onmiddellijk stoppen met zijn cookiepraktijken en moet het de gegevens van de aanklagende Nederlandse gebruiker verwijderen. In de hele keten van advertentie- en datapartners.
Het oordeel van het Gerechtshof vermeldt nog dat twee van Criteo's partners naar aanleiding van de aanmaning van Criteo de trackingcookies hebben verwijderd. Maar andere partners hebben dat niet gedaan.
Privacy-expert Terra, die de ontwikkelingen rondom cookiewetgeving en -handhaving nauwgezet volgt, wees er vorig jaar al op dat als gevolg van de CNIL-uitspraak ads-netwerken zelf moeten gaan handhaven bij websites, of die wel aan de regels voldoen. Dit om meer boetes te voorkomen.
Nederlandse websites
Het was toen voor hem de eerste keer dat er bij een handhavingsactie aan bod komt dat partijen in de advertentieketen elkaar moeten gaan aanspreken. Terra gaf daarbij al aan dat veel grote Nederlandse websites afhankelijk zijn van het advertentienetwerk van Criteo. De Nederlandse uitspraak, die dus gestand houdt door afwijzing van het hoger beroep, geeft nog meer gewicht aan de impact van deze cookiekwestie.
Reacties
Om een reactie achter te laten is een account vereist.
Inloggen Word abonnee