Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2013–2014

33 902

Wijziging van de Telecommunicatiewet
(wijziging artikel 11.7a)

Nr. 3

MEMORIE VAN TOELICHTING
1. Inleiding
In juni 2012 is artikel 11.7a van de Telecommunicatiewet (hierna: Tw)
geïntroduceerd. Dit artikel schrijft voor dat degene die via een elektronisch
communicatienetwerk gegevens wenst op te slaan in de randapparatuur
van een gebruiker of toegang wenst te verkrijgen tot opgeslagen
gegevens in de randapparatuur, daarvoor vooraf toestemming van de
gebruiker moet hebben verkregen, na de gebruiker duidelijk en volledig
over de doeleinden te hebben geïnformeerd.
1.1 Achtergrond
Artikel 11.7a vormt de implementatie van artikel 5, derde lid, van richtlijn
2002/58/EG (hierna: de Bijzondere privacyrichtlijn). Deze richtlijnbepaling
beoogt de persoonlijke levenssfeer (ook wel: privacy) van de gebruiker
van elektronische communicatienetwerken te beschermen. De gedachte
hierachter1 is dat de gegevens op een randapparaat zoals een computer of
smartphone deel uitmaken van de persoonlijke levenssfeer van de
gebruiker. Als iemand zonder medeweten van de gebruiker toegang krijgt
tot persoonlijke informatie op de computer of smartphone van een
gebruiker kan dit een ernstige inbreuk maken op diens privacy.
Artikel 11.7a zorgt er dan ook in de eerste plaats voor dat het niet is
toegestaan om zonder medeweten en geïnformeerde toestemming van de
gebruiker persoonlijke informatie (zoals tekstbestanden, foto’s, video’s,
e-mails, adressenlijsten) op de computer of smartphone van een
gebruiker te lezen of te kopiëren.
Daarnaast verbiedt het artikel het plaatsen, verspreiden of gebruiken van
malware, spyware, virussen, botnets en andere vormen van schadelijke
software. Gelet op de aard van dergelijke software wordt immers iets op
het randapparaat geplaatst zonder de toestemming van de gebruiker.
Artikel 11.7a heeft volgens het eerste lid betrekking op de opslag of
toegang tot informatie op een randapparaat «via een elektronisch
1

kst-33902-3
ISSN 0921 - 7371
’s-Gravenhage 2014

Overweging 24 en 25 van de Bijzondere privacyrichtlijn, PBEG L 201/39.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

1

communicatienetwerk». Daarnaast bepaalt het tweede lid dat de informatieplicht en het toestemmingsvereiste ook gelden als op een andere
manier, bijvoorbeeld via fysieke media (zoals usb-sticks, cd-roms of
externe harde schijven) of draadloze transmissiesystemen (zoals
Bluetooth en NFC), iets op het randapparaat van een gebruiker wordt
geplaatst dat bewerkstelligt dat er informatie wordt opgeslagen of gelezen
via een elektronisch communicatienetwerk. Het is op grond van dit artikel
dus niet alleen verboden via een elektronisch communicatienetwerk, zoals
internet, een virus op een computer te plaatsen. Het is ook verboden om
een geïnfecteerde usb-stick uit te delen zodat die, zodra deze gebruikt
wordt, de computer via internet een virus laat verspreiden.
De meest voorkomende situatie waarin informatie wordt opgeslagen op
en gelezen van een randapparaat van een gebruiker, is het gebruik van
cookies. Cookies zijn kleine tekstbestanden die worden geplaatst en
gelezen als een gebruiker een internetpagina bezoekt. Cookies kunnen een
legitiem en nuttig hulpmiddel zijn om ervoor te zorgen dat de dienstverlening via internet naar behoren functioneert. Cookies kunnen echter ook
worden gebruikt op een manier die de privacy van de gebruiker en de
vertrouwelijkheid van diens communicatie raakt. Met behulp van tracking
cookies bijvoorbeeld wordt het surfgedrag van een gebruiker gevolgd. De
gegevens die daarmee worden verkregen kunnen worden gebruikt om
een profiel op te stellen waarin een beeld wordt geschetst van de
interesses van de gebruiker. Adverteerders kunnen gebruikers daarop
indelen aan de hand van sociaaleconomische, psychologische, filosofische of andere criteria en hen op basis daarvan verschillende reclames
tonen of kortingen aanbieden. Zoekmachines kunnen bezoekers aan de
hand van dergelijke indelingen verschillende zoekresultaten aanbieden.
Artikel 11.7a bepaalt daarom dat cookies alleen mogen worden geplaatst
en gelezen als de gebruiker hiervoor toestemming heeft verleend nadat hij
duidelijk en volledig is geïnformeerd, onder meer over het doel waarvoor
de cookies worden gebruikt.
De bepaling is zoals gezegd uitdrukkelijk niet beperkt tot het gebruik van
cookies: de reikwijdte is breder en de formulering is techniekneutraal.
Maar omdat in de praktijk artikel 11.7a vooral in verband met cookies
wordt besproken (het artikel wordt ook wel de cookiewet of cookiebepaling genoemd), vormt dit het centrale onderwerp van de verdere
toelichting.
1.2 Ontstaansgeschiedenis
De vernieuwde tekst van artikel 5, derde lid, van de Bijzondere privacyrichtlijn maakt deel uit van een bredere herziening van de telecommunicatierichtlijnen (het Nieuw Regulerend Kader of New Regulatory Framework,
bestaand uit de Richtlijn burgerrechten en de Richtlijn betere regelgeving).
In het oorspronkelijke voorstel van de Commissie en het Gemeenschappelijk Standpunt van de Raad werd dit artikel maar beperkt (redactioneel)
gewijzigd. In deze stukken werd op deze redactionele wijzigingen na,
vastgehouden aan het oude systeem waarin naast de informatieplicht
voor het plaatsen en lezen van cookies geen toestemming vereist was,
maar volstaan kon worden met het aanbieden van een mogelijkheid om
de cookies te weigeren. Het Europees Parlement introduceerde bij
amendement het toestemmingsvereiste.
Bij de stemming over de geamendeerde richtlijntekst in de Raad werd
door verschillende landen (België, Duitsland, Estland, Finland, Ierland,
Letland, Malta, Oostenrijk, Roemenië, Slowakije, Spanje en het Verenigd
Koninkrijk) een gezamenlijke stemverklaring afgegeven. Hierin
verklaarden deze landen dat zij, gelet op de ongewijzigde overweging 66

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

2

bij de richtlijn, ook aan het gewijzigde artikel 5, derde lid van de
Bijzondere privacyrichtlijn konden voldoen door vast te houden aan het
voorschrift dat de bezoeker het recht moet hebben om het gebruik van
cookies te weigeren. Nederland heeft zich niet aangesloten bij deze
stemverklaring omdat een dergelijke invulling ons inziens niet voldoet aan
de tekst van artikel 5, derde lid, van de Bijzondere privacyrichtlijn, die nu
juist op dit onderdeel bij amendement van het Europees Parlement was
veranderd van «recht op weigering» naar «toestemming».
Ten tijde van de totstandkoming van het Nederlandse implementatiewetsvoorstel was er in de lidstaten veel onduidelijkheid over de manier
waarop aan de cookiebepaling kon worden voldaan op een gebruiksvriendelijke manier. Ook was er door de stemverklaring onduidelijkheid
ontstaan over hoe strikt de bepaling moest worden geïmplementeerd. De
Europese Commissie heeft geprobeerd om samen met het bedrijfsleven
(W3C onder andere) een gebruiksvriendelijke oplossing te zoeken om aan
de toestemmingsverplichting te kunnen voldoen. Die onderhandelingen
hebben tot op heden geen resultaat opgeleverd. Ook de Artikel 29werkgroep, het advies- en overlegorgaan waarin de nationale privacytoezichthouders van alle lidstaten zijn verenigd, was bij die onderhandelingen betrokken. Er zijn wel initiatieven tot stand gekomen zoals
youronlinechoices.com, maar de daarbij gebruikte technieken voldoen
niet aan de eisen van de richtlijn, omdat zij neerkomen op een
opt-outsysteem in plaats van toestemming vooraf.
In de versie van het concept van het oorspronkelijke wetsvoorstel dat via
internet werd geconsulteerd, sprak het wetsvoorstel nog van «ondubbelzinnige» toestemming. In de consultatie wezen meerdere partijen op het
feit dat artikel 5, derde lid, van de Bijzondere privacyrichtlijn
«toestemming» voorschrijft, niet «ondubbelzinnige» toestemming. De
term «ondubbelzinnige» toestemming wordt alleen in richtlijn 96/46/EG
(hierna: de Algemene privacyrichtlijn) gebruikt. Omdat de regering het
met deze constatering eens was, en niet verder wilde gaan dan de
Bijzondere privacyrichtlijn voorschrijft, werd in het voorstel dat in de
Tweede Kamer werd ingediend het woord «ondubbelzinnig» geschrapt.
Tijdens de behandeling van het wetsvoorstel ter implementatie van onder
andere de gewijzigde cookiebepaling in de richtlijn stuurde het College
bescherming persoonsgegevens (CBP) een brief aan de Tweede Kamer,
waarin het betoogde dat het wetsvoorstel toch zou moeten spreken van
«ondubbelzinnige toestemming», in plaats van «toestemming». Er werd
daarop een amendement (nr. 14) ingediend, waarin werd voorgesteld om
«toestemming» alsnog te vervangen door «ondubbelzinnige
toestemming».
Hier zijn de indieners van dit amendement vervolgens op teruggekomen.
Amendement nr. 14 is gewijzigd bij amendement nr. 392, dat niet langer
spreekt van «ondubbelzinnige» toestemming voor alle cookies.
Amendement nr. 39 verduidelijkt ten eerste dat de cookiebepaling niet
afdoet aan de Wet bescherming persoonsgegevens (Wbp). Daarnaast
introduceert het amendement een rechtsvermoeden dat bij het gebruik
van tracking cookies persoonsgegevens worden verwerkt. Het rechtsvermoeden heeft tot gevolg dat tenzij de plaatser van trackingcookies
aannemelijk maakt dat hij géén persoonsgegevens verwerkt, hij aan de
eisen van de Wbp moet voldoen. Artikel 8 van de Wbp bepaalt dat alleen
persoonsgegevens mogen worden verwerkt indien sprake is van een van
de in dat artikel genoemde rechtvaardigingsgronden, waaronder (maar
niet uitsluitend) ondubbelzinnige toestemming van degene wiens
2

Tweede Kamer, vergaderjaar 2010–2011, 32 549, nr. 39.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

3

persoonsgegevens het betreft. Dit amendement nr. 39 is vervolgens
aangenomen, waardoor het rechtsvermoeden voor tracking cookies (in
wezen een omkering van de bewijslast voor de vraag of er sprake is van
verwerking van persoonsgegevens, en dus aan de Wbp moet worden
voldaan) is opgenomen in artikel 11.7a, eerste lid, van de Tw. Tegen dit
rechtsvermoeden staat tegenbewijs open.
De Eerste Kamer was kritisch ten aanzien van het door het amendement
geïntroduceerde rechtsvermoeden. De vrees was dat Nederland met deze
aanvulling op de cookiebepaling verder ging dan nodig zou zijn op grond
van de Bijzondere privacyrichtlijn. Het rechtsvermoeden houdt echter
slechts een omkering van de bewijslast in, en brengt geen materiële
wijzigingen aan in de normen die worden voorgeschreven in de
Algemene privacyrichtlijn en de Bijzondere privacyrichtlijn. Het rechtsvermoeden maakt de Nederlandse wet materieel dan ook niet strenger, het
legt alleen de bewijslast bij degene die tracking cookies plaatst en leest.
De wet inclusief de cookiebepaling is in mei 2012 aangenomen. Omdat de
vaste verandermomenten niet gelden bij implementatie, en Nederland de
implementatiedeadline van 25 mei 2011 al ruim had overschreden, trad de
wet direct na publicatie in werking, op 5 juni 2012. Het bij amendement
geïntroduceerde onderdeel van de cookiebepaling, dat geen implementatie betrof, trad op het eerstvolgende vaste verandermoment, 1 januari
2013, in werking.
2. Ervaringen met de cookiebepaling
Nu in de praktijk enige tijd ervaring is opgedaan met artikel 11.7a, zijn
internetgebruikers bewuster geworden van het feit dat veel websites
cookies plaatsen op hun computers. In dat opzicht heeft artikel 11.7a een
positief effect. Maar er is ook veel ergernis over de effecten van de
bepaling.
Deze ergernis ziet enerzijds op het feit dat nu voor alle cookies, behalve
technisch noodzakelijke3 cookies, toestemming wordt gevraagd. Hierbij
kan op grond van de huidige wet geen onderscheid worden gemaakt
tussen privacygevoelige cookies en cookies waarbij de privacygevolgen
gering zijn, zoals sommige analytic cookies. Analytic cookies worden door
veel websitehouders gebruikt om informatie te verkrijgen over de kwaliteit
en effectiviteit van hun website (ook wel: «dienst van de informatiemaatschappij»). Met deze informatie4 kan de kwaliteit van de website waar
nodig worden verbeterd. Analytic cookies zijn dan ook zeer nuttig, maar ze
zijn niet technisch noodzakelijk: het niet kunnen gebruiken van analytic
cookies zorgt niet voor technische problemen bij het leveren van de
opgevraagde website. Daarom vallen deze cookies niet onder de
uitzondering in het huidige derde lid. Voor het plaatsen en lezen van
analytic cookies moet momenteel dan ook toestemming worden
verkregen, terwijl het gebruik van cookies uitsluitend om de werking van
de website in kaart te brengen, over het algemeen weinig impact op de
privacy heeft. Zoals hierna wordt toegelicht brengt het wetsvoorstel hier
verandering in.

3

Met «technisch noodzakelijke cookies» worden hier bedoeld: cookies die het uitsluitend doel
hebben de communicatie over een elektronisch communicatienetwerk uit te voeren of strikt
noodzakelijk zijn om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren (artikel 11.7a, derde lid, onder a en b).
4
Met analytic cookies kan de websitehouder bijvoorbeeld bijhouden hoeveel unieke bezoekers
de website bezoeken, welke onderdelen van de site zij bezoeken en wanneer.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

4

Anderzijds hebben gebruikers vaak het gevoel dat zij niet echt een vrije
keuze hebben als hen om toestemming wordt gevraagd, bijvoorbeeld bij
het gebruik van zogenoemde cookiemuren, waarbij er zonder
toestemming geen gebruik kan worden gemaakt van de website. Ook
wordt bij het verzoek om toestemming meestal niet de mogelijkheid
gegeven voor gedifferentieerde toestemming voor het geval de bezoeker
bijvoorbeeld wel toestemming wil geven voor analytic cookies en cookies
voor sociale media, maar geen toestemming wil geven voor tracking
cookies voor gepersonaliseerde reclame. Omdat de huidige cookiebepaling al de nodige ruimte biedt om aan deze bezwaren tegemoet te
komen, geeft dit mij geen aanleiding om de wet op dit punt aan te passen.
Wel maak ik graag gebruik van de gelegenheid om in hoofdstuk 4 (in het
bijzonder paragraaf 4.2.4) van de toelichting bij dit wetsvoorstel meer
duidelijkheid te geven over de wijze waarop de cookiebepaling gebruiksvriendelijker kan worden toegepast.
2.1 Uitzondering voor analytic cookies
Door de verplichting om bezoekers te informeren over het gebruik van
cookies realiseren wij ons eigenlijk nu pas hoe vaak er gebruik wordt
gemaakt van cookies. Dat was deels ook het doel van deze verplichting.
Maar door de huidige opzet van de cookiebepaling, waarbij toestemming
vereist is voor alle soorten cookies behalve technisch noodzakelijke
cookies, is het voor de bezoeker moeilijk om de privacygevoelige cookies
te onderscheiden van de cookies die nauwelijks gevolgen hebben voor de
persoonlijke levenssfeer van de bezoeker, zoals sommige analytic cookies.
Dat voor deze cookies ook toestemming moet worden verkregen is
eigenlijk niet in het belang van de privacybescherming van internetgebruikers. Integendeel, het kan juist verwarrend werken en er voor zorgen
dat de internetgebruiker automatisch toestemming verleent voor alle
typen cookies zonder erbij stil te staan of dit gevolgen heeft voor zijn
privacy.
Dat het voor de privacy van de internetgebruiker overbodig is om
toestemming te vragen voor het gebruik van analytic cookies, en dat
hierdoor de cookiebepaling juist zijn doel voorbij schiet, werd ook
opgemerkt tijdens het Algemeen Overleg met de Vaste commissie voor
Economische Zaken van de Tweede Kamer van 21 november 2012. Tijdens
dit overleg deed het lid Verhoeven (D66) het voorstel om «first party
analytic cookies» niet langer onder het toestemmingsvereiste te laten
vallen. Aangezien dit type cookies doorgaans inderdaad niet privacygevoelig is, kon ik mij in een dergelijke benadering vinden.
Naar aanleiding van dit voorstel heb ik dan ook in overleg met de
voorganger van de Autoriteit Consument & Markt (ACM), de Onafhankelijke Post en Telecommunicatie Autoriteit (OPTA), de mogelijkheden
onderzocht om dit te bewerkstelligen. Daarbij kwamen wij tot de conclusie
dat de huidige tekst van het derde lid geen ruimte biedt om first party
analytic cookies onder de uitzondering te brengen. De enige mogelijkheid
binnen de huidige wet was dat OPTA het gebruik van dit type cookies zou
gedogen. Websitehouders en internetgebruikers zijn echter beter
geholpen met een meer structurele, rechtszekere en toekomstbestendige
oplossing, en daarvoor is het dan ook nodig om de wet te wijzigen. Dit
heeft geleid tot het voorstel om artikel 11.7a, derde lid, van de Tw te
wijzigen. Dit wordt nader toegelicht in hoofdstuk 3.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

5

3. Uitzondering voor cookies met geringe privacygevolgen
Onder de huidige cookiebepaling moet voor alle typen cookies
toestemming worden verkregen, alleen voor cookies die technisch
noodzakelijk zijn om de communicatie uit te voeren of de door de
internetbezoeker gevraagde dienst van de informatiemaatschappij te
leveren is een uitzondering gemaakt. De achtergrond van deze uitzondering is dat bij het gebruik van cookies voor deze doelen er weinig
gevolgen zullen zijn voor de privacy van de gebruiker. Er zijn echter ook
cookies die, alhoewel niet technisch noodzakelijk, wel heel nuttig zijn en
die ook nauwelijks nadelige gevolgen hebben voor de privacy van de
gebruiker. Het gaat hierbij om cookies die uitsluitend worden gebruikt om
informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst van
de informatiemaatschappij. Zoals gezegd wordt met dit wetsvoorstel
beoogd om ook dit type cookies onder de uitzondering in het derde lid te
brengen, mits het gebruik van dit type cookies geen of slechts geringe
gevolgen heeft voor de persoonlijke levenssfeer van de internetgebruiker.
Voorop staat dat ik het van belang vind dat met een aanpassing van de
cookiebepaling geen afbreuk wordt gedaan aan het doel van de cookiebepaling, bescherming van de persoonlijke levenssfeer van de internetgebruiker, en dat de nieuwe cookiebepaling binnen de grenzen van de
Bijzondere privacyrichtlijn blijft. De Bijzondere privacyrichtlijn voorziet
volgens artikel 1 van deze richtlijn in de «... harmonisering van de
regelgeving van de lidstaten die nodig is om een gelijk niveau van
bescherming van fundamentele rechten en vrijheden – met name het
recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de
verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen ...». De cookiebepaling (artikel 5, derde lid, van deze
richtlijn) moet dan ook in dit licht worden gezien: de bepaling dient ter
bescherming van de persoonlijke levenssfeer (de privacy) van de
internetgebruiker bij de verwerking van diens persoonsgegevens. Ik ben
er van overtuigd dat internetgebruikers beter in staat worden gesteld om
hun privacy te beschermen als zij alleen in gevallen waarin dit hun
persoonlijke levenssfeer raakt, om toestemming wordt verzocht. Als ook
toestemming wordt verzocht voor cookies die de privacy niet schenden,
zoals analytic cookies die niet voor andere doeleinden worden gebruikt,
verliest het verzoek om toestemming aan betekenis. Dit sluit ook niet aan
bij het uitgangspunt in overweging 66 van richtlijn 2009/136/EG dat op een
zo gebruiksvriendelijk mogelijke manier toepassing moet worden gegeven
aan de informatieplicht en het toestemmingsvereiste in artikel 5, derde lid,
van de Bijzondere Privacyrichtlijn, en het kan zelfs een averechtse werking
hebben op de bescherming van de privacy. In de bestrijding van dit
averechtse effect en het daarmee beter verwezenlijken van de doelstelling
van artikel 5, derde lid, ziet de regering een rechtvaardiging om een extra
uitzondering op de informatieplicht en het toestemmingsvereiste in te
voeren, naast de twee in de richtlijn genoemde situaties.
Voorop staat wel dat waar het plaatsen en lezen van cookies belangrijke
gevolgen kan hebben op de persoonlijke levenssfeer, zoals bij het gebruik
van tracking cookies, het evident is dat dit niet is toegestaan zonder
toestemming van de bezoeker. Dit blijft in het gewijzigde artikel 11.7a
gewaarborgd.
Ik heb gezocht naar een techniekneutrale formulering van de uitzondering
voor cookies waarvoor gelet op het gerechtvaardigde doel en de geringe
gevolgen voor de privacy geen toestemming nodig zou moeten zijn.
Tijdens het VAO van 10 maart 2013 gaf het lid Verhoeven in overweging

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

6

om bij de uitzondering op de cookiebepaling aan te sluiten bij artikel 8,
onderdeel f, van de Wbp.5
In artikel 8 van de Wbp wordt bepaald onder welke omstandigheden
persoonsgegevens mogen worden verwerkt. In onderdeel f staat dat
persoonsgegevens mogen worden verwerkt als dat «noodzakelijk is
voor de behartiging van het gerechtvaardigde belang van de
verantwoordelijke of van een derde aan wie de gegevens worden
verstrekt, tenzij het belang of de fundamentele rechten en vrijheden
van de betrokkene, in het bijzonder het recht op bescherming van de
persoonlijke levenssfeer, prevaleert».
Artikel 8, onder f, van de Wbp kijkt ten eerste naar het belang van degene
die persoonsgegevens verwerkt: de gegevensverwerking moet noodzakelijk zijn voor de behartiging van een gerechtvaardigd belang. Ten
tweede vereist artikel 8, onder f, van de Wbp dat het belang bij de
verwerking van persoonsgegevens opweegt tegen de belangen van de
betrokkene bij de bescherming van diens persoonlijke levenssfeer. Deze
twee in de Wbp genoemde belangen zijn open geformuleerd omdat de
Wbp op alle vormen van verwerking van persoonsgegevens van
toepassing is.
De Wbp is gebaseerd op de Algemene privacyrichtlijn, en is van
toepassing op alle vormen van verwerking van persoonsgegevens.
Artikel 11.7a van de Tw vloeit voort uit de Bijzondere privacyrichtlijn, en
ziet specifiek op de privacyaspecten bij het plaatsen en lezen van
informatie op het randapparaat van een gebruiker. Om recht te doen aan
dit verschil tussen beide richtlijnen heb ik de algemene norm niet
een-op-een overgenomen in de specifieke regeling van artikel 11.7a Tw.
Wel heb ik bij het formuleren van de uitbreiding van het derde lid,
onderdeel b, de twee belangen genoemd in artikel 8, onder f, van de Wbp
als basis gebruikt en deze vertaald naar de specifieke situatie die in
artikel 11.7a Tw geregeld wordt.
Dit heeft geresulteerd in de uitbreiding van de uitzondering genoemd in
onderdeel b van het derde lid, waarin wordt gekeken naar zowel het
gerechtvaardigde belang bij het gebruik van cookies om informatie te
verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de
informatiemaatschappij als het belang van de internetgebruiker bij
bescherming van diens privacy. Als cookies worden gebruikt om
informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde
dienst van de informatiemaatschappij, vallen deze cookies onder de
uitzondering op de cookiebepaling, mits dit geen of geringe gevolgen
heeft voor de persoonlijke levenssfeer van de betrokken abonnee of
gebruiker.
Ik heb daarmee een formulering gekozen die aansluit bij de doelstelling
van de Bijzondere privacyrichtlijn, en die techniekneutraler (en daarmee
toekomstbestendiger) is dan het uitzonderen van «first party analytic
cookies».
Hierna worden enkele voorbeelden gegeven van cookies die worden
gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van
een dienst van de informatiemaatschappij. Deze opsomming is echter niet
5

«Ik heb ook nog een vraag aan de Minister. In zijn beantwoording heeft hij gezegd dat voor het
creëren van ruimte voor analytische cookies misschien een wetswijziging nodig is, het voorstel
dat wij hebben gedaan. Ik geef hem in overweging om dit te regelen via artikel 8f van de Wet
bescherming persoonsgegevens. Graag krijg ik hierop een reactie.» Verslag Tweede Kamer, 56e
vergadering, 28 februari 2013, http://www.tweedekamer.nl/kamerstukken/verslagen/
verslag.jsp?vj=2012–2013&nr=56.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

7

limitatief. Om onder de uitzondering voor deze categorie cookies te vallen
is het daarnaast altijd vereist dat er geen of slechts geringe gevolgen zijn
voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker.
Dit is bij het gebruik van tracking cookies, waarmee het surfgedrag wordt
gevolgd zodat interesseprofielen van de gebruiker kunnen worden
opgesteld, hoe dan ook niet het geval (nog los van de vraag of tracking
cookies informatie verzamelen over de kwaliteit of effectiviteit van een
dienst van de informatiemaatschappij). Hiervoor zal de uitzondering dus
niet gelden, wat betekent dat tracking cookies niet kunnen worden
gebruikt zonder duidelijke en volledige informatie en voorafgaande
toestemming van de gebruiker.
3.1 Analytic cookies
Analytic cookies worden gebruikt om het gebruik van een bepaalde
website in kaart te brengen en te analyseren, zodat de kwaliteit van de
website verbeterd kan worden. Dit is een duidelijk voorbeeld van cookies
die worden gebruikt om informatie te verkrijgen over de kwaliteit of
effectiviteit van een dienst van de informatiemaatschappij. Om onder de
uitzondering te vallen, mag het gebruik van deze cookies geen of slechts
geringe gevolgen hebben voor de persoonlijke levenssfeer van de
internetgebruiker. Ook eventueel verder gebruik van de met deze cookies
gegenereerde gegevens mag niet meer dan geringe gevolgen hebben
voor de privacy. Als de privacygevolgen voor de internetgebruiker gering
zijn, valt het gebruik van analytic cookies onder de uitzondering op de
cookiebepaling. Dit geldt voor zowel first party analytic cookies, als third
party analytic cookies: beiden kunnen onder de uitzondering vallen.
Om te voorkomen dat het gebruik van analytic cookies meer dan geringe
gevolgen heeft voor de privacy van de internetgebruiker, is het vereist dat
deze cookies of de daarmee gegeneerde gegevens niet worden gebruikt
om bijvoorbeeld een profiel van de internetgebruiker op te stellen, ook
niet door een eventuele derde waarmee de websitehouder de gebruiksgegevens van een door hemzelf geplaatste analytic cookie deelt. Daarvan is
ook sprake als een door de websitehouder geplaatste (en dus «first
party») analytic cookie kan worden uitgelezen door een derde partij.6 De
websitehouder die zijn gebruiksgegevens uit analytic cookies deelt met
een derde moet – om onder de uitzondering te vallen – waarborgen
treffen om de privacy-impact zo veel mogelijk te beperken. Hij moet in een
(bewerkers)overeenkomst duidelijk afspreken met de derde dat ook hij de
informatie niet zal gebruiken op een manier die meer dan geringe
gevolgen heeft voor de privacy van de internetgebruiker wiens gegevens
het betreft. In deze (bewerkers)overeenkomst moet worden afgesproken
dat de derde de gegevens niet voor eigen doeleinden gebruikt, of alleen
voor afgebakende, in de overeenkomst opgenomen doeleinden die geen
of slechts geringe gevolgen hebben voor de persoonlijke levenssfeer van
de betrokken abonnees en gebruikers.
Indien een derde partij via de bezochte website analytic cookies plaatst,
om de websitehouder van informatie over het gebruik van de site te
kunnen voorzien, kan ook deze third party analytic cookie onder de
uitzondering vallen, mits het gebruik van deze cookies en de daarmee
gegenereerde gegevens geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de gebruiker. Gebruikt de derde partij de via deze
6

Aangezien in dit voorbeeld de derde informatie van het randapparaat van een gebruiker leest,
valt de derde (naast de websitehouder, die de cookie plaatst) zelfstandig onder de norm in
artikel 11.7a, eerste lid. Op hem rust dan ook een opzichzelfstaande verplichting om te
informeren en de cookies niet te lezen voordat daarvoor toestemming van de gebruiker is
verkregen, tenzij deze cookie onder de uitzondering valt.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

8

cookies gegenereerde gegevens ook voor andere doeleinden die wel meer
dan geringe gevolgen hebben voor de privacy, zoals bijvoorbeeld het
opstellen van profielen van gebruikers, dan moet de derde hiervoor
vooraf toestemming verkrijgen.
Deze verplichting rust op degene die de cookies daadwerkelijk plaatst en
leest, in dit geval de derde partij die de analytic cookies plaatst. Indien
deze zich niet aan deze verplichting houdt is hij in overtreding.
Voorbeeld: De houder van een website schakelt de diensten van een
statistiekenleverancier in om het gebruik van zijn website in kaart te
kunnen brengen. De statistiekenleverancier plaatst daartoe analytic
cookies bij de bezoeker van deze website. Dit zijn zogeheten third
party cookies als deze worden geplaatst vanuit een ander domein
dan dat van de door de internetgebruiker bezochte website. Als de
statistiekenleverancier de gegevens uit deze analytic cookies niet
voor andere doeleinden gebruikt dan het in kaart brengen van het
gebruik van deze website zijn er geen of geringe gevolgen voor de
persoonlijke levenssfeer en geldt hiervoor geen informatieplicht of
toestemmingsvereiste.
Als de statistiekenleverancier de gegevens uit deze analytic cookies
echter ook voor andere, privacygevoelige doeleinden gebruikt (zoals
het combineren met andere gebruiksgegevens en daarmee opstellen
van profielen ten behoeve van gerichte reclame), dan zijn de
gevolgen voor de privacy van de internetgebruiker meer dan gering
en valt dit niet onder de uitzondering op de cookiebepaling. Dan
moet de bezoeker hierover duidelijk en volledig worden geïnformeerd worden en is voor het plaatsen en lezen van deze cookies
toestemming van de bezoeker vereist. De informatieplicht en het
toestemmingsvereiste zijn gericht tot degene die de cookies
daadwerkelijk plaatst en leest, in dit geval de statistiekenleverancier.
Indien de statistiekenleverancier zich niet aan deze verplichtingen
houdt is hij in overtreding.
Als de websitehouder of een derde die analytic cookies gebruikt deze
cookies of de daarmee gegenereerde gegevens niet voor andere doelen
gebruikt, zullen de gevolgen voor de persoonlijke levenssfeer van de
internetgebruiker gering zijn. Hiermee valt dit onder de uitzondering. Er
hoeft dan op grond van artikel 11.7a7 niet over het gebruik van deze
analytic cookies te worden geïnformeerd en er is geen toestemming van
de gebruiker voor nodig.
Een organisatie die meerdere websites beheert, zou voor het analyseren
van het gebruik van verschillende websites eenmalig een analytic cookie
kunnen plaatsen en die via de verschillende websites kunnen uitlezen. Met
een dergelijke unieke identifier kan dan inzicht worden verkregen in het
surfgedrag van een bezoeker over meerdere websites. Of het gebruik van
een analytic cookie over meerdere websites onder de uitzondering op de
informatieplicht en toestemmingsvereiste valt, hangt af van de manier
waarop de daarmee vergaarde informatie wordt gebruikt. Alleen het
gebruik van «zuivere» analytic cookies valt onder de uitzondering. Als een
analytic cookie daarnaast ook wordt gebruikt om interesseprofielen van
unieke gebruikers mee op te stellen zijn er wel degelijk meer dan geringe
gevolgen voor de persoonlijke levenssfeer van deze gebruikers en valt dit
niet onder de uitzondering. Om onder de uitzondering voor cookies die
geen of geringe gevolgen voor de privacy hebben te kunnen vallen moet
degene die een analytic cookie wil gebruiken om het gebruik van
7

Dit laat onverlet dat als hierbij persoonsgegevens worden verwerkt, ook aan de Wbp moet
worden voldaan. Op grond van de Wbp moet de betrokkene altijd geïnformeerd worden als er
persoonsgegevens worden verwerkt.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

9

meerdere eigen websites te analyseren maatregelen nemen om te
voorkomen dat de daarmee verkregen informatie wordt gebruikt om
interesseprofielen mee op te stellen van unieke gebruikers. Hierover
zullen binnen de organisatie afspraken moeten worden gemaakt. Als de
gegevens worden gedeeld met een derde moet met deze derde worden
afgesproken dat ook hij de gegevens niet voor dergelijke doeleinden
gebruikt.
Als deze analytic cookies die het gebruik van meerdere websites in kaart
brengen niet alleen worden gebruikt om de kwaliteit van de website te
kunnen verbeteren, maar daarnaast ook worden gebruikt om interesseprofielen van unieke gebruikers op te kunnen stellen, zijn de gevolgen
voor de privacy van de gebruikers meer dan gering. In dat geval zijn deze
«analytic» cookies tevens tracking cookies. Deze cookies vallen niet onder
de uitzondering. De uitzondering voor analytic cookies geldt alleen als de
cookies en de gegevens die daarmee worden verzameld, uitsluitend
worden gebruikt om informatie te verkrijgen over de kwaliteit of effectiviteit van de betreffende website.
3.2 Affiliate cookies (of: performance cookies)
Affiliate cookies, ook wel performance cookies genoemd, worden gebruikt
om bij te houden welke advertentie leidt tot een aankoop, zodat degene
die deze advertentie heeft getoond (de affiliate), hiervoor een beloning
kan ontvangen. Dit type cookies kan worden geplaatst bij vertoning van
een advertentie voor een bepaald product. Op het moment dat een
bezoeker via een webwinkel dit product heeft aangeschaft, worden één of
meer cookies uitgelezen door de affiliatenetwerken waarvan de adverteerder gebruik maakt. Door middel van de cookies wordt nagegaan of de
bezoeker tot deze aankoop is overgegaan na het zien van de advertentie
waarbij de affiliate cookie is geplaatst, en zo ja, door welke affiliate. Indien
dit het geval is, ontvangt de affiliate die de advertentie heeft vertoond een
commissie van de verkoper van het product.
Affiliate cookies verschaffen informatie over de effectiviteit van een
getoonde advertentie (een geleverde dienst van de informatiemaatschappij) in die zin dat de cookie bijhoudt of de advertentie geleid heeft
tot een aankoop. Met deze informatie wordt bepaald welke affiliate recht
heeft op de beloning omdat zijn advertentie heeft geleid tot een verkoop.
Indien de cookies en de daarmee verkregen gegevens uitsluitend met dit
doel worden gebruikt, zal dit geen of nauwelijks gevolgen hebben voor de
privacy van de internetgebruiker. De cookie is ook niet bedoeld om
informatie te verzamelen over de gebruiker.
Hiermee valt het gebruik van dit type cookies – mits uitsluitend met dit
doel – onder de uitzondering op de cookiebepaling. Of de cookies alleen
voor dit doel worden gebruikt kan onder meer blijken uit de omstandigheid dat de levensduur van de cookies niet langer is dan nodig voor dit
doel.
3.3 A/b-testing
Bij a/b-testing worden twee verschillende versies (versie a en versie b) van
bijvoorbeeld een reclamebanner of een website getoond, en wordt met
behulp van een cookie bijgehouden welke van de twee varianten het
meest effectief is. Voor reclamebanners kan die effectiviteit bijvoorbeeld
worden gemeten in de hoeveelheid bezoekers die op de reclamebanner
klikt. Om te meten op welke van de twee versies relatief het vaakst wordt
geklikt, kan gebruik worden gemaakt van cookies.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

10

Ook deze cookies worden met andere woorden gebruikt om informatie te
verkrijgen over de effectiviteit van een dienst van de informatiemaatschappij. De gevolgen voor de persoonlijke levenssfeer zullen daarbij
gering zijn, mits de cookies uitsluitend voor dit doel worden gebruikt
(hetgeen kan blijken uit een levensduur die niet langer is dan noodzakelijk
voor dit doel). Het is degene die gebruik maakt van dit type cookie ook
hier niet te doen om informatie over de bezoeker, maar om informatie
over de getoonde versies. Om die reden valt het gebruik van cookies met
uitsluitend het doel het verschil in effectiviteit van twee verschillende
versies van een website of reclame te testen, onder de uitzondering en
hoeft er bij dit type cookies op grond van artikel 11.7a niet te worden
geïnformeerd of toestemming te worden verkregen.
3.4 Overige situaties
In dit hoofdstuk zijn enkele voorbeelden besproken van cookies die onder
de ruimere uitzondering op de cookiebepaling kunnen vallen. Het is
verder aan de toezichthouder om per geval de ernst en omvang van de
gevolgen voor de persoonlijke levenssfeer van de betrokken abonnee of
gebruiker te beoordelen. Daarnaast zijn de in dit hoofdstuk besproken
voorbeelden niet uitputtend. Indien toekomstige ontwikkelingen daar
aanleiding toe geven kan de ACM in overleg met het CBP8 in een
beleidsregel duidelijk maken of andere dan de in dit hoofdstuk besproken
categorieën cookies beschouwd worden als cookies die noodzakelijk zijn
om informatie te verkrijgen over de kwaliteit of effectiviteit van een dienst
van de informatiemaatschappij, en welke omstandigheden relevant zijn bij
de beoordeling of voldaan wordt aan de voorwaarde dat er geen of
slechts geringe gevolgen zijn voor de persoonlijke levenssfeer van de
betrokken abonnee of gebruiker. Indien nodig kunnen hierover nadere
regels worden gesteld bij of krachtens algemene maatregel van bestuur.
4. Op informatie berustende toestemming
Het plaatsen of lezen van informatie (zoals cookies) op een randapparaat
is op grond van artikel 11.7a, eerste lid, uitsluitend toegestaan op
voorwaarde dat de internetgebruiker is voorzien van duidelijke en
volledige informatie, en daarvoor toestemming heeft verleend. De
cookiebepaling bevat met andere woorden een informatieplicht en een
toestemmingsvereiste. Deze voorschriften worden hier nader besproken.
4.1 Informatieplicht
De cookiebepaling schrijft voor dat voorafgaand aan het verkrijgen van
toestemming voor het plaatsen of lezen van cookies, de gebruiker
duidelijk en volledig wordt geïnformeerd overeenkomstig de Wbp, in
ieder geval over de doeleinden waarvoor deze informatie wordt gebruikt.
De Artikel 29-werkgroep heeft in een Opinie9 van 22 juni 2010 enkele
voorbeelden genoemd van informatie die in het geval van het gebruik van
cookies voor gepersonaliseerde reclame ten minste moet worden
8

ACM is op grond van artikel 15.1, derde lid, van de Tw belast met het toezicht op de naleving
van artikel 11.7a Tw. Daarnaast heeft het College bescherming persoonsgegevens op grond van
artikel 51, eerste lid, van de Wet bescherming persoonsgegevens in zijn algemeenheid tot taak
toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de
wet bepaalde. Voorzover met het plaatsen en lezen van informatie op en van een randapparaat
van een gebruiker persoonsgegevens worden verwerkt, ziet het CBP er op toe dat dit overeenkomstig artikel 11.7a Tw en de Wbp gebeurt. ACM en CBP werken bij het toezicht op de
naleveing van artikel 11.7a Tw nauw samen. ACM en CBP hebben werkafspraken over dubbel
toezicht en een consistente uitleg van specifieke privacybegrippen vastgelegd in het Samenwerkingsprotocol CBP-OPTA van 12 juli 2005 (Stcrt. 2005, 133).
9
Opinion 2/2010 on Online Behavioural Advertising.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

11

verstrekt. De internetgebruiker moet duidelijk worden gemeld wie cookies
plaatst en leest en wie de beschikking krijgt over en verantwoordelijk is
voor de daarmee verkregen gegevens. Ook moet duidelijk worden
gemaakt of cookies gebruikt worden om profielen op te stellen, welk type
informatie wordt verzameld om dergelijke profielen mee op te stellen, of
deze profielen worden gebruikt om gerichte reclame aan te bieden en of
het surfgedrag van de gebruiker wordt gevolgd doordat de gebruiker aan
de cookie op zijn computer kan worden herkend op meerdere websites10.
Naast de zelfstandige informatieplicht, is voorafgaande informatie ook
een vereiste voor geldige toestemming (zie de definitie van toestemming
in de volgende paragraaf). De Artikel 29-werkgroep heeft op 13 juli 2011
een Opinie uitgebracht over de definitie van toestemming (Opinion
15/2011 on the definition of consent). Over het vereiste dat de
toestemming «op informatie berust» moet zijn, zegt de Artikel 29werkgroep dat de gebruiker wiens toestemming wordt verkregen, moet
begrijpen waar hij al dan niet mee instemt. De informatie moet duidelijk
zichtbaar en inhoudelijk begrijpelijk zijn voor de gemiddelde gebruiker. De
uitleg over de cookies waarvoor toestemming wordt verkregen mag niet
misleidend zijn (bijvoorbeeld «voor het goed functioneren zijn cookies
vereist» kan misleidende informatie zijn als het gaat om het gebruik van
tracking cookies). Een misleidende tekst kan ertoe leiden dat de verkregen
toestemming niet voldoet aan de hieronder nader besproken eis dat deze
«op informatie berust» en voldoende «specifiek» is.
4.2 Toestemmingsvereiste
Voor de definitie van «toestemming» in de zin van artikel 11.7a Tw wordt
verwezen naar de definitie in artikel 1, onderdeel i, van de Wbp. Dit is ook
het geval op richtlijnniveau: voor de definitie van «toestemming» in de zin
van artikel 5, derde lid, van de Bijzondere privacyrichtlijn wordt ook
verwezen naar de definitie in artikel 2 van de Algemene privacyrichtlijn.
Definitie van toestemming: elke vrije, specifieke en op informatie
berustende wilsuiting waarmee de betrokkene aanvaardt dat hem
betreffende persoonsgegevens worden verwerkt.
4.2.1 Voorafgaand aan de handeling
De Artikel 29-werkgroep heeft zoals gezegd op 13 juli 2011 een Opinie
uitgebracht over de definitie van toestemming (Opinion 15/2011 on the
definition of consent). Hierin bevestigt de Artikel 29-werkgroep dat
toestemming niet hetzelfde is als het recht om te weigeren, zoals dat in de
vorige versie van de Bijzondere privacyrichtlijn stond. Het verschil bestaat
er met name in dat toestemming moet worden verkregen voordat de
handeling (in casu het plaatsen en lezen van cookies) plaats mag vinden,
terwijl het recht om te weigeren ook achteraf kon worden ingeroepen11.
Ook onder het nieuwe artikel 11.7a van de Tw blijft het noodzakelijk om
voorafgaand aan het plaatsen en lezen van cookies, toestemming te
hebben verkregen van de internetgebruiker.
4.2.2 Wilsuiting
Onder toestemming wordt «elke ... wilsuiting» verstaan waarmee de
internetgebruiker aanvaardt dat bepaalde cookies worden geplaatst en
gelezen. Volgens de Artikel 29-werkgroep moet uit het woord «uiting
waarmee de betrokkene aanvaardt» (in het Engels: indication by which the
10
11

Opinion 2/2010, p. 24.
Opinion 15/2011, pagina 9 en 10.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

12

data subject signifies his agreement) worden afgeleid dat het moet gaan
om een handeling, en kan toestemming niet worden afgeleid uit het
uitblijven van een handeling. Binnen de definitie van «toestemming»
(zonder de toevoeging ondubbelzinnig of uitdrukkelijk, die in de Wbp
worden gebruikt) is het niet noodzakelijk dat deze handeling expliciet
uiting geeft aan de wens om het gebruik van cookies te aanvaarden. Dit
kan ook blijken uit minder expliciete handelingen dan het klikken op een
button «ik geef toestemming» in een pop-up. De Artikel 29-werkgroep
noemt in haar Opinie12 het voorbeeld van een weersinformatiedienst die
gebruik maakt van locatiegegevens van de beller. Indien de beller vooraf
volledige informatie heeft verkregen over de verwerking van locatiegegevens door de weersinformatiedienst, kan de handeling bestaand uit het
bellen van het nummer van die dienst worden opgevat als toestemming
voor het verwerken van de betreffende locatiegegevens. Naar analogie
van dit voorbeeld van de Artikel 29-werkgroep, zou het volgens de
regering dan ook mogelijk zijn om toestemming voor het plaatsen en
lezen van cookies af te leiden uit het aanklikken van overige onderdelen
van de website13, als bij aanvang van het bezoek aan de website duidelijk
is aangegeven dat bijvoorbeeld het aanklikken van een link om gebruik te
maken van overige delen van de website, wordt beschouwd als
toestemming voor het gebruik van cookies. Om uit een dergelijke
handeling toestemming te kunnen afleiden is wel van belang dat de
bezoeker op het moment dat hij doorsurft duidelijk en volledig moet zijn
geïnformeerd. Daarnaast is het van belang dat pas na een dergelijke
actieve handeling sprake kan zijn van toestemming. Bij het eerste bezoek,
voordat de bezoeker door middel van het doorsurfen uiting kan hebben
gegeven van zijn aanvaarding van het gebruik van cookies, is er nog geen
sprake van toestemming en mogen dus nog geen cookies die onder de
toestemmingsplicht vallen worden geplaatst.
Toestemming moet dus altijd gebaseerd zijn op een geïnformeerde, en
dus bewuste keuze van de bezoeker en blijken uit een actieve handeling.
Het niet hebben aangepast van standaardinstellingen van de browser dat
cookies worden geaccepteerd, kan over het algemeen niet worden gezien
als een uiting van een geïnformeerde, bewuste keuze van de internetgebruiker en zal dus niet snel kunnen worden gezien als toestemming in de
zin van de cookiebepaling.
4.2.3 Geen «ondubbelzinnige» toestemming vereist op grond van de Tw
Zoals toegelicht in paragraaf 2 over de ontstaansgeschiedenis van de
cookiebepaling, hoeft de toestemming, bedoeld in artikel 11.7a van de Tw,
niet «ondubbelzinnig» te zijn.
Alleen op grond van de Wbp kan «ondubbelzinnige» toestemming een
vereiste zijn. De Wbp is van toepassing op de verwerking van persoonsgegevens. Volgens het vierde lid, waarin het amendement van de Tweede
Kamer is opgenomen, wordt er bij het gebruik van tracking cookies
vermoed sprake te zijn van de verwerking van persoonsgegevens. Dit
rechtsvermoeden zorgt ervoor dat de gebruiker van tracking cookies naast
de regels in artikel 11.7a, ook de regels van de Wbp moet naleven, tenzij
hij kan bewijzen dat hij bij het gebruik van tracking cookies geen
persoonsgegevens verwerkt14. De Wbp bepaalt dat persoonsgegevens
alleen mogen worden verwerkt als aan een van de in artikel 8 opgenomen

12

Opinion 15/2011, pagina 12.
Toestemming kan in een dergelijk geval uiteraard niet worden afgeleid uit het aanklikken van
een button voor meer informatie over cookies.
14
Hier wordt nader op ingegaan in de toelichting op het vierde lid (paragraaf 6).
13

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

13

gronden voor verwerking is voldaan. Een15 van deze gronden voor
verwerking van persoonsgegevens is de «ondubbelzinnige toestemming»
van de betrokkene.
De Opinie over de definitie van toestemming van de Artikel 29-werkgroep
gaat ook in op de eis van «ondubbelzinnige» toestemming in de zin van
de Wbp. In de paragraaf hierover geeft de Artikel 29-werkgroep een
voorbeeld waaruit blijkt dat ook ondubbelzinnige toestemming kan blijken
uit handelingen. Het voorbeeld dat de Artikel 29-werkgroep op pagina 23
van de Opinie schetst gaat over de vereiste ondubbelzinnige toestemming
voor de verwerking van persoonsgegevens in de vorm van het nemen van
foto’s van hotelgasten voor een reclamebrochure voor het hotel. In het
voorbeeld worden hotelgasten bij het inchecken door de receptionist er
op gewezen dat er die middag foto’s worden gemaakt in een van de
restaurants van het hotel. Een deel van de foto’s zal worden gebruikt voor
marketingdoeleinden, in het bijzonder voor een brochure van het hotel.
De hotelgasten die gefotografeerd willen worden zijn gedurende de
periode waarin de foto’s worden gemaakt van harte welkom in het
restaurant. Voor hotelgasten die niet gefotografeerd willen worden is een
ander restaurant beschikbaar.
Met betrekking tot de hotelgasten die -na te zijn geïnformeerd- besluiten
naar het restaurant te gaan waar de foto’s genomen worden mag, aldus
de Artikel 29-werkgroep, worden aangenomen dat zij ondubbelzinnig
hebben ingestemd met het maken van de foto’s. Naar de opvatting van
regering kan naar analogie van het voorbeeld van de Artikel 29-werkgroep
worden aangenomen dat een internetgebruiker ondubbelzinnige
toestemming voor de plaatsing van cookies waarbij persoonsgegevens
worden verwerkt heeft gegeven indien hij verder surft nadat hij op de
juiste wijze is geïnformeerd over het feit dat bij verder surfen cookies
zullen worden geplaatst op zijn computer en dat daarmee persoonsgegevens worden verwerkt. Wil er sprake zijn van ondubbelzinnige
toestemming, dan is van belang dat er geen twijfel bestaat over de vraag
of de internetter toestemming heeft gegeven. Dat betekent dat het
duidelijk moet zijn dat de internetter een keuze heeft gehad om in te
stemmen of te weigeren. Die keuze kan bijvoorbeeld duidelijk worden
geboden door naast de mogelijkheid om in te stemmen met het gebruik
van cookies (zoals verder surfen op de website of het aanklikken van een
«ja-knop») ook de mogelijkheid te bieden om duidelijk te maken dat geen
toestemming wordt gegeven met een «nee-knop». Benadrukt wordt
nogmaals dat in het geval dat er een nee-knop wordt aangeboden, het
niet aanklikken van deze knop nooit genoeg is om aan te nemen dat de
bezoeker toestemming geeft. Daarvoor is altijd een instemmende
handeling vereist (zoals het aanklikken van een ja-knop of een andere link
binnen de website).
4.2.4 Vrij
De definitie van toestemming schrijft voor dat sprake moet zijn van een
«vrije» wilsuiting. De internetgebruiker moet met andere woorden
keuzevrijheid hebben. De gevolgen van geen toestemming geven mogen
niet zo zwaar zijn dat deze de keuzevrijheid ondermijnen. Terecht merkt de
Artikel 29-werkgroep op dat het moeilijk kan zijn om vooraf duidelijk aan
te geven onder welke omstandigheden een bepaalde beïnvloeding van de
keuzevrijheid zo zwaar is dat niet langer in vrijheid een keuze kan worden
gemaakt.
15

Anders dan lijkt te worden geïmpliceerd in de toelichting op het amendement waarmee dit
rechtsvermoeden werd geïntroduceerd, zijn er naast ondubbelzinnige toestemming van de
betrokkene nog vijf andere rechtvaardigingsgronden voor de verwerking van persoonsgegevens.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

14

Het niet, of alleen tegen betaling, kunnen gebruiken van de website die de
bezoeker opvraagt is op zichzelf nog niet voldoende om aan te nemen dat
de bezoeker geen vrije keuze kan maken om al dan niet met het gebruik
van cookies in te stemmen. Zo zijn er aanbieders die, om te voldoen aan
de cookiebepaling, gebruik maken van wat ook wel een cookiemuur is
gaan heten: in een pop-up wordt om toestemming gevraagd voor het
plaatsen en lezen van cookies, maar als er geen toestemming wordt
gegeven kan de bezoeker de site niet bezoeken. Zoals in hoofdstuk 2 al
werd opgemerkt is er veel onvrede over het gebruik van cookiemuren.
Sites die voor hun inkomsten afhankelijk zijn van het gebruik van tracking
cookies om gerichte reclame te kunnen tonen, kiezen er soms voor om
bezoekers die geen toestemming geven voor het gebruik van cookies de
toegang tot de site te weigeren. De cookiebepaling dwingt geenszins tot
een dergelijke keuze. Sowieso zijn alle cookies die technisch nodig zijn om
de bezochte website te laten werken uitgezonderd van de toestemmingseis. Het is dus nooit zo dat toestemming nodig is om de site
technisch te laten werken, zoals wel eens wordt gesuggereerd.
Wel kan het zo zijn dat het verdienmodel van een gratis website is
gebaseerd op de inkomsten die de websitehouder genereert met reclame
op zijn site. Zonder tracking cookies ontvangt de websitehouder lagere
reclame-inkomsten, omdat hij dan geen (op de uit het surfgedrag
gebleken interesses van de bezoeker) gerichte reclames kan aanbieden,
maar moet volstaan met minder gerichte advertenties. Dit kan voor hem
aanleiding geven om bezoekers die geen toestemming geven voor het
gebruik van tracking cookies geen gebruik te laten maken van zijn site. De
cookiebepaling schrijft alleen voor dat hij zonder toestemming geen
cookies mag plaatsen. Een cookiemuur is over het algemeen dan ook een
rechtmatige manier om aan het toestemmingsvereiste in de cookiebepaling te voldoen. Ook al is dit niet de meest gebruiksvriendelijke manier
en is het technisch ook nooit noodzakelijk, het staat de websitehouder in
beginsel wel vrij om te bepalen of hij een bezoeker die geen toestemming
geeft voor het gebruik van cookies, al dan niet toegang geeft tot zijn
website16. Dit kan anders zijn als de bezoeker zo afhankelijk is van de via
een bepaalde website aangeboden diensten en informatie, dat er door het
gebruik van de cookiemuur geen sprake meer kan zijn van een «vrije»
wilsuiting wanneer de bezoeker vervolgens het vakje «ik geef
toestemming» aanklikt.
Zoals gezegd is het niet mogelijk om vooraf een limitatieve opsomming te
geven van omstandigheden waarin de consequentie die aan het
niet-geven van toestemming wordt verbonden zo zwaar is dat dit de
keuzevrijheid ondermijnt. Daar is in ieder geval sprake van als aan het
niet-toestemming geven voor het gebruik van cookies, de consequentie
wordt verbonden dat de internetgebruiker een wettelijk recht (bijvoorbeeld nummerbehoud bij het overstappen naar een andere telefonieaanbieder of het inzagerecht als bedoeld in artikel 35 van de Wbp) niet kan
uitoefenen, een wettelijke plicht (bijvoorbeeld belastingaangifte) niet kan
naleven, of minder goede medische zorg krijgt. Dat de via de bezochte
website aangeboden informatie en diensten onderdeel uitmaken van een
publieke taak zal er over het algemeen ook toe leiden dat deze ook moet
worden aangeboden als de bezoeker geen toestemming geeft voor
privacygevoelige cookies.

16

Overweging 25 van de Bijzondere privacyrichtlijn zegt hierover het volgende: «Aan toegang
tot specifieke inhoud van een website kan nog altijd de voorwaarde worden verbonden dat
een cookie of soortgelijke voorziening, indien gebruikt voor een legitiem doel, bewust wordt
aanvaard.»

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

15

4.2.5 Toestemming via browserinstellingen
Anders dan wel eens wordt gesuggereerd, hebben ook andere landen het
vereiste van voorafgaande toestemming (opt-in) in hun wet opgenomen.
Wel is er een aantal landen dat in de wetgeving heeft opgenomen dat de
toestemming voor het plaatsen van cookies – onder bepaalde omstandigheden – kan worden afgeleid uit de browserinstellingen. Deze verwijzing
naar de instellingen van de browser is afgeleid van overweging 66 bij
richtlijn 2009/136/EG (de richtlijn Burgerrechten, die de oorspronkelijke
Bijzondere privacyrichtlijn wijzigt). Letterlijk stelt overweging 66:
«Wanneer dit technisch mogelijk of doeltreffend is, kan, overeenkomstig
richtlijn 95/46/EG, de toestemming van de gebruiker met verwerking
worden uitgedrukt door gebruik te maken van de desbetreffende
instellingen van een browser of een andere toepassing».
Ondanks dat er in de Nederlandse wettekst zelf niets wordt gezegd over
de mogelijkheid om de toestemming uit de browserinstellingen af te
leiden, staat die mogelijkheid in Nederland net zo goed open als in de
overige landen, mits (net als in de overige landen) aan de voorwaarden
voor «toestemming» is voldaan17. Dat staat ook in overweging 66 van de
richtlijn: wanneer dit technisch mogelijk of doeltreffend is, kan, overeenkomstig richtlijn 95/46/EG, toestemming worden uitgedrukt in de
browserinstellingen. Het is aan de ACM als toezichthouder om te
beoordelen of een bepaald type browser geschikt is om uit de instellingen
toestemming af te leiden die aan de definitie voldoet.
Bij toestemming gaat het, zoals gezegd, om een vrij gegeven
toestemming, die voldoende specifiek moet zijn en gebaseerd moet zijn
op informatie. De gebruiker moet de toestemming bewust hebben
gegeven door middel van een actieve handeling. In een omgeving waarin
de beschikbare browsers standaard zijn ingesteld op het accepteren van
cookies, kan uit niet-aangepaste standaardinstellingen geen toestemming
worden afgeleid die aan deze eisen voldoet. Het merendeel van de
gebruikers zou dan immers zonder het zich te realiseren akkoord gaan met
de plaatsing van cookies. Daarmee is er dus geen sprake van een
handeling, een «wilsuiting» waarmee de betrokkene het gebruik van
cookies aanvaardt. Het zou ook niet wenselijk zijn om de standaardinstellingen van een browser als toestemming te beschouwen. Van
bescherming van de persoonlijke levenssfeer van de gebruiker zou dan in
de praktijk niets terecht komen.
Als een browser internetgebruikers in staat stelt via een actieve
aanpassing van de instellingen van de browser aan te geven dat hij
toestemming geeft voor bepaalde typen cookies van bepaalde partijen,
dan staat de Nederlandse wet toestemming in de vorm van deze
aanpassing van de browserinstellingen even goed toe als de wetgeving in
andere lidstaten.
4.2.6 Specifiek versus gebundelde toestemming
Volgens de definitie van toestemming moet deze voldoende «specifiek»
zijn. Dit voorschrift houdt verband met de eis dat de toestemming moet
zijn gebaseerd op duidelijke en volledige informatie over het doel
waarmee de cookies worden gebruikt. Het moet voor de internetgebruiker
duidelijk zijn welk soort cookies wordt gebruikt, voor welke doeleinden
17

Dit is in de wetsgeschiedenis van artikel 11.7a eerder op deze manier besproken in de nota
naar aanleiding van het verslag (Tweede Kamer, vergaderjaar 2010–2011, 32 549, nr. 7,
pagina’s 27, 28, 32) en de nadere memorie van antwoord (Eerste Kamer, vergaderjaar
2011–2012, 32 549, nr. G, pagina’s 2 en 3).

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

16

deze cookies en de daarmee gegenereerde gegevens worden gebruikt en
door wie, zodat de gebruiker begrijpt waar hij mee instemt (zie hierover
ook de paragraaf over de informatieplicht).
Dit voorschrift staat er niet aan in de weg dat de aanbieder van een
website toestemming verkrijgt voor meerdere cookiehandelingen tegelijk,
als het voor de internetgebruiker maar duidelijk is waar de toestemming
op ziet. Zo kan de toestemming gelden voor het binnen een langere
periode meerdere malen lezen van een cookie, en zien op het opslaan en
lezen van meerdere cookies. Ook kan het zien op het plaatsen van een
cookie en het lezen daarvan bij bezoeken aan verschillende sites, zoals dat
gebeurt bij tracking cookies. Als dit maar duidelijk is voor de internetgebruiker op het moment dat hij toestemming verleent.
Zoals in hoofdstuk 2 werd opgemerkt hebben gebruikers vaak het gevoel
dat zij niet echt een keuze hebben als hen om toestemming wordt
gevraagd. Er wordt vaak in één keer gevraagd om toestemming voor alle
typen cookies die via de website worden geplaatst: zowel privacyneutrale
cookies als tracking cookies. De bezoeker heeft daarbij alleen de keuze om
toestemming voor al deze cookies te weigeren dan wel te verlenen,
zonder de mogelijkheid hierin te differentiëren. Dit is niet de meest
gebruiksvriendelijke manier om aan de cookiebepaling te voldoen. Er zijn
gebruiksvriendelijkere manieren, waarmee de bezoeker wel gedifferentieerd toestemming kan verlenen. Zo zijn er al websites die hierin het
goede voorbeeld geven, en de bezoeker onder de «cookie-instellingen» de
mogelijkheid bieden om voor verschillende typen cookies (analytic
cookies, cookies voor sociale media, cookies voor gerichte reclame) de
toestemming afzonderlijk in en uit te schakelen. Deze oplossing geeft de
bezoeker meer controle over het gebruik van cookies, en draagt daarom
beter bij aan het doel van de cookiebepaling.
Ik pleit er dan ook voor om de bezoeker de keuze te bieden om voor
verschillende typen cookies apart aan te kunnen geven of deze al dan niet
door de bezoeker worden geaccepteerd. De technische mogelijkheden om
bezoekers deze gebruiksvriendelijkheid te bieden zijn er. Voorliggend
wetsvoorstel zorgt er wel al voor dat geen toestemming meer hoeft te
worden verkregen voor cookies die worden gebruikt om informatie te
verkrijgen over de kwaliteit of effectiviteit van een dienst van de informatiemaatschappij, en waarbij de privacygevolgen gering zijn. De verzochte
toestemming voor het plaatsen van cookies ziet dus niet meer op
dergelijke cookies, die mogen in ieder geval worden geplaatst.
5. Normadressaat
De bepaling in het eerste lid richt zich tot degene die de informatie op het
randapparaat opslaat dan wel tot degene die zich toegang verschaft tot
informatie op het randapparaat. De plaatser van de cookie is degene tot
wie het eerste lid zich richt. Deze plaatser kan de aanbieder van de
betreffende website zijn, maar dat hoeft niet. Het kan ook een derde zijn
die met de aanbieder van de website (of een tussenpersoon) is overeengekomen dat hij via de website cookies mag plaatsen/lezen. Dit neemt niet
weg dat de aanbieder van de website een zekere verantwoordelijk heeft.
Op de eerste plaats is hij voor de toezichthouder het eerste
aanspreekpunt. In die hoedanigheid zal hij de toezichthouder informatie
moeten geven over de partijen die via zijn website cookies plaatsen. In de
tweede plaats zijn er omstandigheden denkbaar waarin de websitehouder
die toestaat/faciliteert dat een derde via zijn website de cookiebepaling
overtreedt, deze overtreding «medepleegt». In dit verband wordt
verwezen naar artikel 5:1, tweede lid, van de Algemene wet bestuursrecht.
Van medeplegen is sprake als er een min of meer gelijkwaardige
samenwerking is tussen de partijen die in strijd met de wettelijke
verplichtingen handelen. De medepleger en de derde (de normadressaat)

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

17

moeten daarbij bewust samenwerken en de normschending gezamenlijk
uitvoeren.
Indien een statistiekenleverancier in opdracht van de aanbieder van een
website analytic cookies plaatst of leest bij de bezoekers van die website,
rusten de verplichtingen in het eerste lid van artikel 11.7a op de statistiekenleverancier.18 Indien de statistiekenleverancier de met de cookies
gegenereerde gegevens ook gebruikt voor andere, privacygevoeligere
doeleinden dan het geven van informatie over de kwaliteit en effectiviteit
van de betreffende website, valt het gebruik van deze cookies niet onder
de uitzondering. De statistiekenleverancier is dan verplicht te informeren
en de cookies uitsluitend te plaatsen en lezen als de bezoeker daar
toestemming voor heeft verleend. Hetzelfde geldt voor aanbieders van
sociale media als zij tracking cookies plaatsen via «buttons» op websites
waarmee (informatie op) de website via het sociale netwerk wordt
gedeeld: het verbod om deze cookies te plaatsen en lezen zonder
toestemming van de internetgebruiker richt zich tot degene die de cookies
plaatsen en/of lezen, in dit voorbeeld de aanbieders van sociale media.
De websitehouder die de gelegenheid geeft om deze cookies te plaatsen
en lezen heeft zoals gezegd ook een eigen verantwoordelijkheid. Als de
partijen die via diens website de cookies plaatsen zich niet aan de wet
zouden houden, kan de websitehouder er met het oog op de privacybelangen van zijn bezoekers ook voor kiezen deze partijen niet langer in
staat te stellen via zijn website cookies te plaatsen en lezen zonder
toestemming van de bezoeker. De websitehouder kan bijvoorbeeld
gebruik maken van mogelijkheden voor het delen van informatie op
sociale netwerken zoals de zogenoemde «grijze button». Hierbij worden
geen cookies gebruikt zolang de button voor het delen of aanbevelen van
de informatie op de website op het sociale netwerk niet door de bezoeker
is aangeklikt.
6. «...onverminderd de Wet bescherming persoonsgegevens...»
De Wbp is van toepassing op de verwerking van persoonsgegevens. In de
Wbp wordt bepaald wanneer er sprake is van verwerking van persoonsgegevens. Volgens de definitie in artikel 1, onder a, van de Wbp, is elk
gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke
persoon een persoonsgegeven. Alle handelingen ten aanzien van
persoonsgegevens zijn volgens de definitie in artikel 1, onder b, van de
Wbp een verwerking: «waaronder in ieder geval het verzamelen,
vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen,
gebruiken, verstrekken door middel van doorzending, verspreiding of
enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar
in verband brengen, alsmede het afschermen, uitwissen of vernietigen
van gegevens».
Als bij het plaatsen en lezen van informatie op het randapparaat van een
gebruiker sprake is van verwerking van persoonsgegevens moet daarom
in ieder geval aan de regels in de Wbp worden voldaan. Zoals met de
zinsnede «onverminderd de Wet bescherming persoonsgegevens» wordt
benadrukt, doet de cookiebepaling niets af aan de verplichtingen die
gelden op grond van de Wbp.
Volgens het vierde lid, waarin het amendement van de Tweede Kamer is
opgenomen, wordt er bij het gebruik van tracking cookies vermoed sprake
te zijn van de verwerking van persoonsgegevens. Dit rechtsvermoeden
18

Zie hierover ook paragraaf 3.1 van de toelichting over de situatie waarin de websitehouder de
cookie plaatst, en de statistiekenleverancier de cookie leest.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

18

zorgt ervoor dat de gebruiker van tracking cookies naast de regels in
artikel 11.7a, ook de regels van de Wbp moet naleven, tenzij hij kan
bewijzen dat hij bij het gebruik van tracking cookies geen persoonsgegevens verwerkt. De Wbp bepaalt dat persoonsgegevens alleen mogen
worden verwerkt als aan een van de in artikel 8 opgenomen gronden voor
verwerking is voldaan. Een van deze gronden voor verwerking van
persoonsgegevens is de «ondubbelzinnige toestemming» van de
betrokkene.
Anders dan lijkt te worden geïmpliceerd in de toelichting op het
amendement waarmee dit rechtsvermoeden werd geïntroduceerd, zijn er
naast ondubbelzinnige toestemming van de betrokkene nog andere
rechtvaardigingsgronden voor de verwerking van persoonsgegevens.
Verwerking van persoonsgegevens is op grond van artikel 8 van de Wbp
ook toegestaan als de gegevensverwerking noodzakelijk is voor de
uitvoering van een overeenkomst, voor de nakoming van een wettelijke
verplichting, ter vrijwaring van een vitaal belang van de betrokkene, of
voor de goede vervulling van een publiekrechtelijke taak door een
bestuursorgaan. Ook kan de behartiging van het gerechtvaardigde belang
van degene die de gegevens verwerkt een rechtvaardiging vormen voor
verwerking van persoonsgegevens, tenzij het belang of de fundamentele
rechten en vrijheden van de betrokkene (in het bijzonder het recht op
bescherming van de persoonlijke levenssfeer) prevaleert. Het is echter
niet aannemelijk dat hier snel sprake van zal zijn bij het gebruik van
tracking cookies. Om die reden zal op grond van de Wbp over het
algemeen «ondubbelzinnige toestemming» van de betrokkene nodig zijn.
7. Redactionele wijzigingen
Naast de inhoudelijke wijziging van het derde lid van artikel 11.7a zijn
enkele redactionele wijzigingen opgenomen. Ten eerste is de aanhef van
het eerste lid meer in lijn gebracht met de tekst van de richtlijn. Daarnaast
is het rechtsvermoeden dat bij tracking cookies sprake is van verwerking
van persoonsgegevens ondergebracht in een apart vierde lid. Daarbij is de
formulering van de categorie handelingen die onder dit rechtsvermoeden
vallen aangescherpt. Het huidige rechtsvermoeden is zo ruim geformuleerd dat het ook van toepassing zou kunnen zijn op onder meer de
affilate cookies die in dit wetsvoorstel wegens de beperkte gevolgen voor
de privacy worden uitgezonderd. Hierdoor zou voor deze cookies,
behoudens bewijs dat met deze cookies geen persoonsgegevens worden
verwerkt, alsnog de verplichtingen uit de Wbp gelden. De privacygevolgen bij het gebruik van tracking cookies zijn de voornaamste reden
geweest om het rechtsvermoeden te introduceren. Het is daarmee ook de
bedoeling geweest alleen cookies die dergelijke privacygevolgen met zich
meebrengen, onder het rechtsvermoeden te laten vallen. De regering
heeft in het voorgestelde vierde lid tot uitdrukking willen brengen dat
tracking cookies zich op het punt van privacygevolgen onderscheiden van
bijvoorbeeld zuivere analytic cookies en affiliate cookies, omdat met
tracking cookies het gedrag van een internetgebruiker door de tijd heen
kan worden gevolgd, op meerdere websites, en daarmee een profiel kan
worden opgesteld van zijn of haar interesses. Dergelijke profielen worden
opgesteld om gebruikers anders te behandelen in het maatschappelijke
verkeer, zoals het aanbieden of juist onthouden van bepaalde informatie
of aanbiedingen. Het is daarbij niet van belang of degene die de tracking
cookies plaatst en leest zelf met de daarmee verkregen informatie
gebruikers anders behandelt, of dat dit door een derde gebeurt aan wie hij
deze gegevens aanlevert.
Tot slot is de bevoegdheid (in het voorgestelde vijfde lid) om nadere
regels te stellen met betrekking tot de in het eerste lid, onder a en b,
genoemde vereisten uitgebreid. De nadere regels kunnen ook betrekking

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

19

hebben op de uitzondering in het derde lid, waaronder de opslag of
toegang die geen of geringe gevolgen voor de persoonlijke levenssfeer
heeft. Dit geeft de mogelijkheid om, indien de technologische ontwikkelingen daar aanleiding toe geven, meer duidelijkheid te geven over de
reikwijdte van de open norm in de nieuwe uitzondering. Omdat deze
nadere regels veelal technisch en gedetailleerd zullen zijn, dan wel op
korte termijn zouden moeten worden vastgesteld, is ervoor gekozen ook
subdelegatie toe te staan.
8. Uitvoeringslasten en regeldrukeffecten
Het wetsvoorstel leidt tot een vermindering van de administratieve lasten
en de uitvoeringslasten. Immers in de huidige situatie valt alleen het
plaatsen en lezen van technisch noodzakelijke cookies niet onder de
informatieplicht en het toestemmingsvereiste van artikel 11.7a. Voor alle
andere typen cookies geldt de informatieplicht en het toestemmingsvereiste onverkort. Op dit moment vallen bijna alle typen cookies onder de
cookiebepaling: artikel 11.7a van de Telecommunicatiewet. Cookies
mogen pas op de computer of smartphone van de gebruiker worden
geplaatst als de gebruiker daarover is geinformeerd en toestemming heeft
gegeven. Door de wijziging van de bepaling zullen cookies met geen of
slechts geringe gevolgen voor de privacy, niet langer onder de nu
geldende informatieplicht en toestemmingseis vallen. Dit betekent een
vermindering van de inhoudelijke nalevingskosten voor betrokken
website-eigenaren. In de praktijk zal het vooral gaan om het gebruik van
cookies voor webanalyse. Dergelijke cookies worden door non-profit en
commerciële websites gebruikt. Commerciële websites zullen echter vaak
ook gebruikmaken van cookies die wel gevolgen van betekenis voor de
privacy hebben, zoals tracking cookies. De lastenvermindering slaat dus
neer bij een deel van de bedrijven. Naar verwachting zullen vooral de
nieuwe non-profit websites van de wetswijziging profiteren. De schatting
is dat er ongeveer 100.000 nieuwe non-profit websites per jaar bijkomen.
Voorheen kostte het zo’n anderhalf uur (tegen een uurtarief van € 70) om
te voldoen aan de cookiebepaling. Deze kosten komen nu te vervallen. De
vermindering van inhoudelijke nalevingskosten bedraagt dus 10,5 miljoen
euro per jaar. Geschat wordt dat 0,5 miljoen ten goede komt aan
overheidswebsites en de resterende 10 miljoen aan websites van
(georganiseerde) burgers.
9. Consultatie
Het concept wetsvoorstel is openbaar geconsulteerd via
internetconsultatie.nl. Op de consultatie zijn 51 reacties binnengekomen:
van VNO-NCW, enkele internet- en webdesignbedrijven, enkele brancheorganisaties (voor marketing, marktonderzoek, uitgevers en internetbedrijven), enkele (juridische) adviesbureaus, de Nederlandse Publieke
Omroep, en de overige voornamelijk van particulieren.
VNO-NCW laat in haar reactie weten verheugd te zijn over het
wetsvoorstel, dat naar haar mening het verband tussen toestemming en
daadwerkelijke privacy-gevoeligheid versterkt. Ook de nadere toelichting
op het begrip toestemming wordt als een verbetering ervaren en rekent,
naar hun opvatting, af met de nationale toestemmingskop die het gelijke
Europese speelveld geweld aan deed. De reactie van VNO-NCW wordt
door meerdere deelnemers aan de internetconsultatie onderschreven.
De overige reacties waren gemengd: een deel verwacht dat het
wetsvoorstel niet veel effect zal hebben of is bang dat de open norm in de
uitzondering tot meer onduidelijkheid zal leiden, anderen zijn juist positief
over het wetsvoorstel. Meerdere partijen zeggen tevreden te zijn over de

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

20

in de toelichting geboden duidelijkheid over het toestemmingsvereiste.
Onder de partijen die vinden dat het wetsvoorstel zorgt voor een betere
balans tussen privacy en gebruiksgemak zijn zowel burgers als bedrijven.
In deze paragraaf wordt nader ingegaan op de inbreng op de consultatie.
Effect van de nieuwe uitzondering
Meerdere partijen brengen in hun reactie naar voren dat zij niet veel effect
verwachten van de verruiming van de uitzondering, omdat de meeste
websites ook cookies gebruiken die niet onder de verruimde uitzondering
zullen vallen. Hierdoor zal ook met de voorgestelde wijziging vaak om
toestemming moeten worden gevraagd.
Het klopt dat veel websites, naast de in dit wetsvoorstel uitgezonderde
cookies, ook tracking cookies gebruiken, waaronder cookies voor sociale
media. Voor deze websites zal ook met de voorgestelde wetswijziging
gelden dat informatie moet worden verstrekt en toestemming moet
worden verkregen voor het gebruik van die cookies, maar dit geldt dan
uitsluitend nog voor de cookies die meer dan geringe gevolgen hebben
voor de privacy van bezoekers. Door alleen aandacht te vragen voor de
cookies die meer dan geringe gevolgen hebben voor de persoonlijke
levenssfeer is het voor de bezoeker duidelijker waarom hij wordt
gevraagd om al dan niet toestemming te geven. Overigens zijn er ook veel
sites waarop uitsluitend analytic cookies, affiliate cookies en functionele
cookies worden gebruikt. Te denken valt aan sites van verenigingen,
politieke partijen, overheden, maar ook informatieve sites en ook een deel
van de webwinkels en sites met klantenservice-informatie. Voor deze
websites betekent de wetswijziging dat er op grond van artikel 11.7a niet
langer hoeft te worden geïnformeerd en dat niet langer toestemming van
de bezoeker nodig is om analytic en/of affiliate cookies te gebruiken.
Gevolgen voor persoonlijke levenssfeer
Enkele partijen zijn van mening dat het criterium «geen of gering
gevolgen voor de persoonlijke levenssfeer» ruimte laat voor discussie, en
vrezen dat de bepaling daardoor aan slagkracht verliest.
In dit wetsvoorstel is bewust gekozen voor een techniekneutrale formulering voor de uitzondering (informatie over de kwaliteit en effectiviteit
van een geleverde dienst van de informatiemaatschappij). Om te
voorkomen dat deze uitzondering zou kunnen worden gebruikt voor een
type cookie dat weliswaar onder die formulering valt, maar toch aanzienlijke gevolgen voor de privacy van de gebruiker heeft, is daar aan
toegevoegd dat deze cookies uitsluitend onder de uitzondering vallen als
deze geen of geringe gevolgen hebben voor de persoonlijke levenssfeer
van de betrokken abonnee of gebruiker. In de toelichting is uitgebreid
aandacht besteed aan de aspecten die de omvang van de gevolgen voor
de persoonlijke levenssfeer bepalen en worden concrete voorbeelden
besproken. Enige onzekerheid over de vraag of in andere gevallen dan die
in de toelichting worden besproken sprake is van geen of geringe
gevolgen voor de persoonlijke levenssfeer is niet te vermijden, maar in de
toelichting is geprobeerd zo veel mogelijk richting te geven. De ACM zal
toezicht houden op de bepaling, en zal in voorkomend geval beleidsregels
kunnen vaststellen om de sector meer duidelijkheid te bieden. ACM zal er
streng op toezien dat partijen de uitzondering niet misbruiken door
heimelijk en zonder toestemming van de gebruiker privacygevoelige
cookies plaatsen.
Third party cookies
Met betrekking tot third party cookies zijn enkele partijen van mening dat
deze nooit onder de uitzondering zouden moeten vallen.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

21

Zoals in de toelichting wordt uitgelegd (paragraaf 3.1) is het mogelijk dat
ook een third party cookie aan de criteria voldoet, waardoor deze onder de
uitzondering valt, maar uitsluitend indien dit geen of geringe gevolgen
heeft voor de persoonlijke levenssfeer van de bezoeker. Als bijvoorbeeld
in een bepaald geval analytic cookies tevens worden gebruikt voor andere
doeleinden, waardoor er meer dan geringe privacygevolgen zijn, dan
vallen die cookies niet onder de uitzondering. Dat betekent dat deze
cookies in dat geval niet mogen worden geplaatst en gelezen zonder
toestemming van de bezoeker.
Remarketing/retargeting cookies
In de consultatie werd de vraag gesteld of remarketing cookies (beter
bekend als retargeting cookies) onder de uitzondering vallen. Met een
retargeting cookie wordt bijvoorbeeld aan iemand die eerder een
webwinkel heeft bezocht zonder daar iets te kopen, op een andere website
een advertentie getoond die is afgestemd op dat eerdere webwinkelbezoek. Met een retargeting cookie wordt met andere woorden de
interesse van een internetgebruiker op basis van diens surfgedrag
geregistreerd om daarop afgestemde advertenties te kunnen tonen. Dit
maakt dat het gebruik van deze cookies meer dan geringe gevolgen voor
de persoonlijke levenssfeer met zich meebrengt, waardoor zij niet onder
de uitzondering vallen.
Samenloop met Wbp
In een van de reacties wordt erop gewezen dat ook de Wbp een informatieplicht kent en een verwerkingsgrondslag eist die vaak neer komt op
ondubbelzinnige toestemming. Voor een deel van de cookies die onder de
nieuwe uitzondering op de cookiebepaling vallen blijft volgens deze
reactie op grond van de Wbp alsnog een informatieplicht en toestemmingsvereiste gelden.
Het is juist dat, indien via cookies persoonsgegevens worden verwerkt,
naast artikel 11.7a van de Tw ook de Wbp van toepassing is. Cookies
kunnen alleen onder de nieuwe uitzondering vallen als het gebruik van
deze cookies en de daarmee verkregen gegevens geen of slechts geringe
gevolgen heeft voor de privacy van de internetter. Als er geen persoonsgegevens worden verwerkt is de Wbp niet van toepassing. Maar ook als er
persoonsgegevens worden verwerkt kan een cookie onder de uitzondering op de cookiebepaling vallen: niet elke verwerking van persoonsgegevens heeft immers grote gevolgen voor de privacy. Indien het gebruik
van een cookie waarmee persoonsgegevens worden verwerkt niet meer
dan geringe gevolgen heeft, en de cookie om die reden onder de
uitzondering op de cookiebepaling valt, moet alsnog aan de Wbp worden
voldaan. Dit betekent dat er over de verwerking van persoonsgegevens
moet worden geïnformeerd, maar het heeft niet noodzakelijkerwijs tot
gevolg dat de ondubbelzinnige toestemming van de gebruiker nodig is.
Gelet op de geringe impact op de privacy is het waarschijnlijker dat de
persoonsgegevens op grond van de belangenafweging in artikel 8,
onderdeel f, van de Wbp zonder toestemming mogen worden verwerkt.
De verantwoordelijke heeft een gerechtvaardigd belang bij het verkrijgen
van informatie over de effectiviteit of de kwaliteit van een dienst van de
informatiemaatschappij, terwijl daar geen grote gevolgen voor de
persoonlijke levenssfeer van de betrokkene tegenover staan. De privacygevolgen waren immers niet meer dan gering.
Een partij wijst erop dat artikel 5, derde lid, van de Bijzondere privacyrichtlijn (de cookiebepaling) als lex specialis in de plaats komt van artikel 7
van de Algemene privacyrichtlijn (de voorwaarden voor verwerking van
persoonsgegevens). De gedachte hierachter is dat als twee verschillende

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

22

regels van toepassing zijn op een bepaalde situatie de algemene regel (lex
generalis) terzijde wordt geschoven door de specifieke regel (lex
specialis). In de reactie op de internetconsultatie wordt daarbij verwezen
naar Opinie 2/2010 van de Artikel 29-werkgroep19. In het Nederlandse
recht zou dit ertoe leiden dat artikel 8 van de Wbp niet van toepassing is
als op een bepaalde verwerking van persoonsgegevens ook artikel 11.7a
van de Tw van toepassing is.
De lex specialis-regel is wat genuanceerder dan wordt voorgesteld in deze
reactie. Alleen waar een bepaald onderwerp uitputtend wordt geregeld
door de lex specialis komt deze regel in de plaats van de lex generalis. In
dit specifieke geval wordt door de lex specialis niet precies dezelfde
materie geregeld als door de lex generalis. De cookiebepaling ziet
namelijk uitsluitend op het plaatsen en lezen van gegevens op een
randapparaat van een gebruiker, ongeacht of dit persoonsgegevens zijn of
niet. De Wbp ziet op de verwerking van persoonsgegevens, ongeacht of
dit gebeurt via een cookie of op een andere wijze. Hoewel er dus wel
samenloop kan ontstaan (namelijk als persoonsgegevens worden
verwerkt met gebruik van cookies), zien de twee bepalingen op verschillende onderwerpen. Er kan dus niet gezegd worden dat de cookiebepaling
de gronden voor verwerking van persoonsgegevens uitputtend regelt.
De voorgestelde toepassing van de lex specialisregeling zou tot gevolg
hebben dat in een situatie waarin voor de verwerking van persoonsgegevens op grond van artikel 8 ondubbelzinnige toestemming nodig zou
zijn, zou kunnen worden volstaan met «gewone» toestemming als deze
persoonsgegevens via cookies worden verwerkt. Dit zou een onlogische
en bovendien onwenselijke toepassing van de privacyrichtlijnen
opleveren. Uit een latere Opinion van de Artikel 29-werkgroep, Opinion
2/2013, blijkt dat ook de Artikel 29-werkgroep haar eerdere standpunt
nuanceert en aangeeft dat de bepalingen uit de Algemene en Bijzondere
privacyrichtlijn naast elkaar moeten worden toegepast (zie paragraaf 3.4.1
en 3.4.2 van Opinion 2/2013).
Rechtsvermoeden ten aanzien van tracking cookies
Enkele partijen adviseren om het rechtsvermoeden, dat bij tracking
cookies sprake is van verwerking van persoonsgegevens, waardoor in
beginsel de Wbp hierop van toepassing is, te schrappen.
Er is echter geen aanleiding om deze door de Tweede Kamer geïntroduceerde bepaling niet terug te laten komen in het nieuwe artikel 11.7a. Het
is de uitdrukkelijke wens van de Kamer geweest om de onzekerheid over
de vraag of met tracking cookies persoonsgegevens worden verwerkt,
neer te leggen bij degene die tracking cookies gebruikt in plaats van bij de
bezoeker waarvan mogelijk persoonsgegevens worden verwerkt. Wel is
naar aanleiding van een reactie op de internetconsultatie, waarin wordt
voorgesteld om de cookies die onder de nieuwe uitzondering vallen ook
uit te zonderen van het rechtsvermoeden in het vierde lid, de formulering

19

Pagina 9, paragraaf 3.2.3: «If both Directives apply, a relevant question is to determine the
applicable provisions of each Directive. In this regard, Recital 10 of the ePrivacy Directive
states that Directive 95/46/EC applies, «to all matters concerning protection of fundamental
rights and freedoms which are not specifically covered by the provisions of this Directive,
including the obligations on the controller and the rights of individuals». This is an application
of the doctrine that states that a law governing a specific subject matter (lex specialis)
overrides a law which only governs a general matter (lex generalis). In line with the above,
Article 5(3) of the ePrivacy Directive which deals with informed consent will be directly
applicable. Directive 95/46 will be fully applicable except for the provisions that are specifically
addressed in the ePrivacy Directive, which mainly correspond to Article 7 of Directive 95/46/EC
on the legal grounds for data processing. The remaining provisions of Directive 95/46/EC
including the principles regarding data quality, the data subject’s rights (such as access,
erasure, right to object), confidentiality and security of the processing and international data
transfers will be fully applicable.»

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

23

van het rechtsvermoeden aangescherpt. Zie hierover de toelichting in
hoofdstuk 7.
Technische mogelijkheden voor gebruiksvriendelijke oplossing
Een partij stelt dat de technische mogelijkheden om op een gebruiksvriendelijke manier toestemming te verkrijgen beperkt zijn. Onder gebruiksvriendelijk wordt hierbij verstaan een manier die zo min mogelijk afbreuk
doet aan het normale gebruik van het internet waarbij de bezoeker ook
nog eens toestemming kan geven dan wel weigeren afhankelijk van de
toepassing waarvoor de verschillende cookies worden gebruikt.
Zoals in de toelichting uitgebreid is beschreven kan ook toestemming
worden verkregen door bij het verschaffen van de vereiste informatie over
het gebruik van cookies duidelijk te maken dat de bezoeker door verder
gebruik te maken van de bezochte website (door een link binnen de
website aan te klikken) toestemming geeft voor het gebruik van deze
cookies20. De toestemming is dan verkregen als de bezoeker een link
binnen de website heeft aangeklikt. Op deze manier wordt het normale
gebruik van het internet zo min mogelijk verstoord: de bezoeker hoeft in
dit geval niet op een extra «ik geef toestemming»-knop te drukken. Dit kan
gecombineerd worden met een link naar bijvoorbeeld de «cookieinstellingen» waar de bezoeker, indien gewenst, per type cookie kan
instellen of hij al dan niet toestemming verleent. Uit de praktijk blijkt dat
deze aanpak technisch mogelijk is.
In de consultatie wordt opgemerkt dat de wijze waarop de online
advertentiemarkt technisch en organisatorisch is ingericht, het moeilijk
maakt om af te zien van het gebruik van tracking cookies. Hierover heeft
de regering het volgende op te merken. Artikel 11.7a verbiedt het gebruik
van tracking cookies niet, het stelt uitsluitend voorwaarden aan het
gebruik ervan. Of een websitehouder ervoor kiest om al dan niet te
adverteren, en of de websitehouder er voor kiest om daarbij te werken
met adverteerders die gebruik maken van tracking cookies te gebruiken, is
aan de websitehouder zelf. Technisch is het in ieder geval mogelijk om
advertentie-inkomsten te genereren zonder tracking cookies te gebruiken
en/of om uitsluitend met toestemming van de gebruiker tracking cookies
te gebruiken.
Medeplegen
Meerdere organisaties maken een opmerking over de in de memorie van
toelichting genoemde mogelijkheid dat de website-aanbieder medepleger
is als een derde via zijn site in strijd met de cookiebepaling handelt.
Daarbij is de vraag gesteld tot waar de verantwoordelijkheid van de
website-aanbieder zich uitstrekt.
Zoals in de memorie van toelichting is aangegeven volgt uit artikel 5:1,
tweede lid, van de Algemene wet bestuursrecht dat onder de overtreder
van een bestuurechtelijke regel ook een medepleger wordt verstaan.
Daarmee is echter niet gezegd dat bij het overtreden van de cookiebepaling bij het plaatsen van cookies door een derde via een website van
een ander, die ander altijd een medepleger is. Van medeplegen is immers
pas sprake als er een min of meer gelijkwaardige samenwerking is tussen
de partijen die in strijd met de wettelijke verplichtingen handelen. De
medepleger en de derde (de normadressaat) moeten daarbij bewust
samenwerken en de normschending gezamenlijk uitvoeren.

20

Als de bezoeker in een dergelijk geval de link naar «meer informatie» over cookies of het
instellen van specifieke «cookie-instellingen» of «privacy-instellingen» aanklikt, kan uit het
aanklikken van een dergelijke link geen toestemming worden afgeleid.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

24

Moment van toestemming
Een organisatie merkt op dat er al sprake van toestemming kan zijn
voordat de bezoeker van de website doorsurft nadat hij er op gewezen is
dat cookies zullen worden geplaatst. Het kan immers zo zijn dat de
bezoeker een terugkerende bezoeker is die al eerder en voor langere tijd
toestemming heeft verleend voor het plaatsen van cookies. Het is
inderdaad mogelijk dat al direct bij het bezoek aan de website duidelijk is
dat er sprake is van toestemming voor het plaatsen/lezen van cookies. De
in de memorie van toelichting gegeven voorbeelden moeten dan ook zo
worden begrepen dat deze betrekking hebben op de situatie waarin een
bezoeker van een website niet eerder toestemming heeft gegeven danwel
de eerder gegeven toestemming inmiddels is ingetrokken of verlopen. Het
gaat dus om gevallen waarin nog geen toestemming is gegeven voor de
cookies die de website gaat plaatsen en lezen.
De toestemming voor het gebruik van cookies moet gebaseerd zijn op
duidelijke en volledige informatie. Anders dan in een van de consultatiereacties werd gesteld, kan het moment van informeren en het moment van
toestemming verkrijgen daarom niet samenvallen. Om van toestemming
te kunnen spreken moet de bezoeker op basis van informatie over het
gebruik van cookies een handeling hebben verricht waarmee hij aangeeft
in te stemmen met het gebruik van cookies. Daaruit vloeit noodzakelijkerwijs voort dat het moment waarop toestemming wordt verkregen later
is dan het moment waarop de bezoeker over het gebruik van cookies
wordt geïnformeerd.
Social media / tracking cookies
Dezelfde organisatie is van opvatting dat in de memorie van toelichting in
paragraaf 4.2.6, tweede alinea, in de passage over gedifferentieerde
toestemming ten onrechte een onderscheid gemaakt wordt tussen
tracking cookies en cookies voor social media. Daarbij wordt gewezen op
het feit dat social media cookies, die vaak van grote internationale partijen
zijn, juist bij uitstek tracking cookies zijn die bij elkaar opgeteld een
interesseprofiel opleveren dat als basis dient voor gerichte advertenties.
Het is juist dat social media cookies in vele gevallen ook tracking cookies
zijn. Bedoelde passage moet dan ook niet zo worden begrepen dat social
media cookies en tracking cookies elkaar uitsluitende categorieën zijn.
Ook beoogt de passage niet aan te geven dat de privacy gevolgen van
tracking cookies groter zijn dan die van social media cookies. Dit neemt
niet weg, en dat is de strekking van de passage, dat het mogelijk kan zijn
dat een internetter wel toestemming wenst te geven voor social media
cookies maar niet voor andere tracking cookies, en dat het een goede zaak
is als hij deze keuze heeft.
Toestemming vragen/verkrijgen
Enkele partijen merken op dat op grond van de wettekst toestemming
moet zijn «verkregen» voor het plaatsen en lezen van cookies terwijl in de
memorie van toelichting op diverse plaatsen wordt gesproken van het
«vragen» van toestemming. Om verwarring hierover te voorkomen is in
de toelichting consequent de terminologie uit de wettekst gevolgd.
Daarbij wordt benadrukt dat het niet zo is, dat met het enkele melden van
informatie over cookies, de vereiste toestemming is verkregen. Zoals
wordt uitgelegd in paragraaf 4.2.2 van de toelichting is om te kunnen
spreken over verkregen toestemming altijd vereist dat de bezoeker via een
handeling heeft laten weten in te stemmen met het gebruik van cookies.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

25

Onderzoek
Een partij concludeert op grond van de gegeven uitleg van het begrip
toestemming dat toestemming voor het plaatsen en lezen van cookies ook
kan worden aangenomen indien een persoon heeft ingestemd met het
deelnemen aan bijvoorbeeld verkiezings- of marktonderzoek. Deze
conclusie gaat echter in zijn algemeenheid te ver. Wil er sprake zijn van
toestemming voor het plaatsen en lezen van cookies dan moet de
internetter afdoende zijn geïnformeerd over het gebruik van cookies en
moet deze ook specifiek instemmen met het plaatsen en lezen van
cookies. Er kan dus niet zondermeer worden aangenomen dat iemand die
instemt met een verkiezings- of marktonderzoek heeft ingestemd met het
plaatsen en lezen van cookies. Dat kan echter anders zijn indien bij de
vraag om mee te doen aan het onderzoek duidelijk is aangegeven dat
meedoen aan het onderzoek betekent dat men akkoord gaat met het
plaatsen en lezen van cookies, mits daarbij tevens de vereiste informatie
over deze cookies is verstrekt.
In een van de reacties wordt voorgesteld om tracking cookies die specifiek
geplaatst worden voor wetenschappelijk, historisch en statistisch
onderzoek, ook onder dezelfde vrijstelling als die voor analytische cookies
te laten vallen. Dit mede gezien het feit dat er in artikel 9, derde lid, van de
Wbp ook al uitzonderingen zijn gemaakt voor dit onderzoek.
Onder de nieuwe uitzondering op de informatieplicht en het toestemmingsvereiste vallen alleen cookies die nodig zijn om informatie te
verschaffen over de kwaliteit of de effectiviteit van een dienst van de
informatiemaatschappij. Hoewel niet uit te sluiten valt dat het wetenschappelijk, historisch of statistisch onderzoek waarvoor de cookie wordt
geplaatst betrekking heeft op de kwaliteit of de effectiviteit van een dienst
van de informatiemaatschappij kan dit niet in zijn algemeenheid worden
aangenomen. Dit zal moeten blijken uit de feiten van het geval. Voor wat
betreft de genoemde uitzondering in artikel 9, derde lid, van de Wbp
wordt nog opgemerkt dat deze geldt voor de verdere verwerking van
persoonsgegevens waarvoor reeds een verwerkingsgrondslag bestond.
Bij de plaatsing van de hier bedoelde cookies is er van verdere verwerking
nog geen sprake.
Overig
Enkele deelnemers aan de consultatie zijn van mening dat websites ook
beschikbaar moeten zijn voor bezoekers die geen toestemming geven
voor het plaatsen en lezen van cookies. Hierop is ingegaan in paragraaf
4.2.4 van de toelichting.
Een veelgehoord advies is om de toestemming door de browsers te laten
regelen, of om een opt-outsysteem te hanteren in plaats van vereiste
toestemming. Deze adviezen kunnen niet worden opgevolgd omdat de
richtlijn hier niet de ruimte voor biedt. Dit is toegelicht in de paragrafen
4.2.5 (browsers) en 1.2 en 4.2.1 (opt-out).
In een reactie werd de vraag gesteld welke straf er staat op overtreding
van artikel 11.7a Tw. Toezichthouder ACM is op grond van artikel 15.2,
tweede lid, van de wet bevoegd een last onder bestuursdwang op te
leggen om naleving van de cookiebepaling af te dwingen. Op grond van
artikel 15.4, vierde lid, van de wet kan ACM bij overtreding van de
cookiebepaling een bestuurlijke boete opleggen van ten hoogste
€ 450.000.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

26

10. Uitvoeringstoets ACM
Een concept van het wetsvoorstel is op 30 augustus 2013 aan ACM
toegestuurd, met het verzoek om een uitvoeringstoets. ACM heeft bij brief
van 17 oktober 2013 verslag gedaan van de uitvoeringstoets. ACM is van
mening dat de voorgestelde gewijzigde bepaling recht tracht te doen aan
de dynamiek van het internet en de bepaling daarmee uitvoerbaarder
maakt. Ook is ACM verheugd over de nadere duiding die in deze
toelichting wordt gegeven ten aanzien van verschillende onderwerpen.
ACM verwacht echter ook dat de voorgestelde wijzigingen gevolgen
hebben voor de handhaafbaarheid van de bepaling.
In haar uitvoeringstoets brengt de ACM naar voren dat de verruimde
uitzondering leidt tot een extra werklast die ACM verwacht te kunnen
opvangen door de aanstelling van 2 fte extra en een technisch onderzoeksbudget van € 15.000. De extra werklast komt, aldus ACM, vooral
voort uit het feit dat door de voorgestelde aanpassing van de cookiebepaling er nieuw en open geformuleerde begrippen bijkomen. Zo zal
moeten worden beoordeeld of een cookie meer dan geringe gevolgen
heeft voor de persoonlijke levenssfeer en tevens of de betreffende cookie
daadwerkelijk is gebruikt om informatie te verkrijgen over de kwaliteit en
de effectiviteit van een geleverde dienst van de informatie maatschappij.
Door de voorgestelde wijziging van de cookiebepaling zullen minder
cookies onder de wettelijke bepaling vallen. Ook geeft de ACM in haar
toets aan dat door de voorgestelde wijziging ACM zich tevens meer kan
focussen op de schadelijke gevallen, onder andere de cookies die een
grote inbreuk op de privacy maken, heimelijk gebruikt worden en/of lastig
te verwijderen zijn. In een voetnoot merkt ACM daarbij nog op dat bij haar
handhavingsactie in september 2012, waarbij zij (destijds OPTA) een groot
aantal overheidswebsites heeft gecontroleerd en aangeschreven, reeds
heeft moeten constateren dat iedere website onder haar toezicht viel
terwijl in voorkomende gevallen de privacy-inbreuken beperkt, dan wel
geheel afwezig waren. Dit gezegd zijnde ziet de regering geen reden om
aan te nemen dat door de voorgestelde bepaling de werklast zal worden
vergroot.
Hieronder wordt nader ingegaan op enkele inhoudelijke opmerkingen uit
de uitvoeringstoets van ACM. Daarnaast is de toelichting naar aanleiding
van de brief van ACM op enkele plaatsen aangevuld.
ACM geeft aan dat de aanpassing van het rechtsvermoeden de
leesbaarheid van de bepaling vergroot. Wel stelt ACM om de passage
«zodat de betrokken gebruiker of abonnee anders behandeld kan worden»
te vervangen door «om daarmee onderscheid te maken tussen
gebruikers». Deze suggestie is niet overgenomen. De aangepaste
bewoording van het rechtsvermoeden is in nauw overleg met het CBP tot
stand gekomen. Naar aanleiding van het overleg met het CBP over het
rechtsvermoeden is de regering van oordeel dat deze bewoording beter
weergeeft waar het bij tracking cookies om gaat dan het voorstel van
ACM. Het gaat er niet zozeer om dat door het gebruik van deze cookies de
plaatser van de cookies onderscheid kan maken tussen gebruikers, dat
criterium zou veel te ruim zijn en bijvoorbeeld ook op analytic cookies van
toepassing zijn. Ook bij pure analytic cookies, die uitsluitend worden
gebruikt voor het in kaart brengen van het gebruik van een enkele website
en daardoor uitgesloten worden van de cookiebepaling, worden de
cookies gebruikt om de ene bezoeker te onderscheiden van de andere
bezoeker. Wat een tracking cookie onderscheid van andere cookies is dat
aan dat onderscheid gevolgen voor de eindgebruiker/internetter kunnen
worden verbonden. Dat laatste wordt beter tot uitdrukking gebracht door
de in dit voorstel opgenomen bewoordingen.

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

27

ACM geeft in de uitvoeringtoets aan dat is gebleken dat het voor veel
gebruikers niet duidelijk is hoe zij terug kunnen komen op een eenmaal
gegeven toestemming.
Het is juist dan een eenmaal gegeven toestemming te allen tijde kan
worden ingetrokken. Het ligt dan ook in de rede dat degene die cookies
plaatst en leest de gebruiker informeert over de wijze waarop
toestemming kan worden ingetrokken, zodat de gebruiker indien gewenst
van deze mogelijkheid gebruik kan maken.
ACM meent dat de uitleg in hoofdstuk 5 van de toelichting over de
normadressaat en bestuursrechtelijke figuur van medeplegen (artikel 5:1,
tweede lid van de Algemene wet bestuursrecht) de eigen invloed en de
machtspositie van de website-eigenaar onderschat. Volgens ACM is het te
allen tijde de website eigenaar die zelf bepaalt om een samenwerking te
starten en derhalve (onbewust) derden de mogelijkheid biedt om al dan
niet in strijd met de wettelijke bepalingen te handelen. ACM is van
opvatting dat de verantwoordelijkheid van de website-eigenaar daarom
verder zou moeten gaan dan de verantwoordelijkheid die voortvloeit uit
artikel 5:1, tweede lid, Awb.
De regering ziet echter geen reden om voor artikel 11.7a van de Telecommunicatiewet af te wijken van de voor alle bestuursrechtelijke normschendingen geldende systematiek van de Awb. Niet valt in te zien waarom
voor website-eigenaren een andere (strengere) figuur van medeplegen
zou moet worden ingevoerd dan voor andere partijen die derden de
mogelijkheid bieden om handelingen te verrichten waarbij de mogelijk
bestaat dat de derde het bepaalde bij of krachtens enig wettelijk
voorschrift overtreedt. ACM merkt zelf ten aanzien van het door haar
aangevoerde voorbeeld over malvertising op dat het verspreiden van
malvertising vaak buiten het medeweten van de website-eigenaar
gebeurt, en dat de webiste-eigenaar in vele gevallen juist zelf slachtoffer
blijkt te zijn. In zo’n geval is het lastig, aldus ACM, te betogen dat de
website-eigenaar bewust met de derde samenwerkt en de normschending
met hem gezamenlijk uitvoert. Dat de website-eigenaar in zo’n geval geen
boete opgelegd kan krijgen is volgens de regering terecht, en toont juist
aan dat de algemene regels over medeplegen hier volstaan. Overigens
merkt de regering op dat de uitleg over de normadressaat van
artikel 11.7a in hoofdstuk 5, ook al geldt ten aanzien van het huidige
artikel 11.7a. Van een wijziging ter zake is dus geen sprake.
In de uitvoeringstoets vraagt ACM aandacht voor de internationale
handhaafbaarheid van de cookiebepaling. ACM constateert daarbij dat het
in een aantal gevallen moeilijk voor ACM is om op te handhaven. De
regering erkent dat de internationale handhaving geen eenvoudige zaak is
en zal dan ook conform het advies van ACM dit aspect onder de aandacht
van de Europese wetgever brengen.
11. Wetgevingsadvies CBP
Een concept van het wetsvoorstel is op grond van artikel 51, tweede lid,
van de Wbp voor advies aan het CBP voorgelegd. In haar advies van
7 oktober 2013 (kenmerk z2013–00718) geeft het CBP aan in algemene zin
van oordeel te zijn dat aan de voorgestelde uitbreiding van de uitzondering voor cookies met geringe privacygevolgen materieel (inhoudelijk)
geen bezwaarlijke gevolgen kleven voor de persoonlijke levenssfeer van
de betrokken gebruiker of abonnee, mede gezien het samenspel tussen
Wbp en de Tw. Ten aanzien van de voorgestelde redactionele wijzigingen
met betrekking tot het rechtsvermoeden concludeert het CBP eveneens
dat daaraan geen bezwaarlijke gevolgen kleven voor de persoonlijke
levenssfeer van de betrokken gebruiker of abonnee. In het advies geeft het
CBP verder aan dat zij een meerwaarde ziet in het feit dat in deze

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

28

toelichting nog eens uiteen is gezet op welke wijze aan de toestemmingseis kan worden voldaan. Ook geeft het CBP aan de in deze
toelichting gegeven uitleg van de term «toestemming» te onderschrijven.
Het CBP geeft in haar advies nog wel een aantal aandachtspunten.
Hieronder wordt een aantal van deze opmerkingen van het CBP nader
besproken.
Ten aanzien van het informatievereiste stelt het CBP een aanvulling van de
toelichting voor. Het CBP stelt voor in de toelichting op te nemen dat al de
in paragraaf 4.1 genoemde informatie op een direct zichtbare plek op de
website wordt getoond en dat het taalgebruik moet aansluiten bij de
doelgroep van de website (en Nederlandstalig zijn). Informeren door
middel van een verwijzing naar algemene voorwaarden, privacy
statement etc. is, zo merkt het CBP verder op, onvoldoende.
De regering deelt de opvatting van het CBP dat een verwijzing naar
algemene voorwaarden of een privacy statement onvoldoende is. Het
gaat echter te ver om te eisen dat al de genoemde informatie direct op de
pagina van de website wordt getoond. Dit zou naar de opvatting van de
regering leiden tot een gebruiksonvriendelijk internet. Aan het informatievereiste kan ook worden voldaan door een deel van de informatie
beschikbaar te stellen achter een «verdere informatie» button, als deze
maar direct beschikbaar is achter deze button. Het spreekt voor zich dat uit
het aanklikken van de «verdere informatie»-button nog geen toestemming
mag worden afgeleid.
In het kader van het toestemmingsvereiste gaat het CBP in op het
afhankelijk stellen van toegang tot de website van het geven van
toestemming voor het plaatsen/lezen van cookie (de cookiemuur). Het
CBP wijst daarbij op de laatste volzin van overweging 25 van de
e-Privacyrichtlijn: «Aan toegang tot specifieke inhoud van een website kan
nog altijd de voorwaarde worden verbonden dat een cookie of soortgelijke voorziening, indien gebruikt voor een legitiem doel, bewust wordt
aanvaard.» Hieruit lijkt het CBP, a contrario, uit af te leiden dat het
afhankelijk maken van de toegang tot de gehele website van het geven
van toestemming voor het gebruik van cookies, niet is toegestaan. De
regering deelt deze lezing echter niet.
Het CBP is verder van mening dat onder omstandigheden gedifferentieerde toestemming voor social media en advertentiecookies niet alleen
gewenst, maar ook vereist kan zijn. Ter onderbouwing van dit standpunt
citeert het CBP een passage uit Opinie 15/2011 van de Artikel 29werkgroep over het afhankelijk stellen van de toegang tot sociale
netwerken van de acceptatie van advertentiecookies. In het citaat betoogt
de Artikel 29-werkgroep dat een sociaal netwerk een dusdanig belang kan
hebben voor bepaalde categorieën gebruikers dat, indien de toegang tot
dit sociale netwerk niet wordt gegeven zonder toestemming voor het
gebruik van cookies, er geen sprake is van de «vrije keuze» die nodig is
om van toestemming volgens de wet te kunnen spreken.
Het citaat ziet met andere woorden op de vraag of een voor een bepaalde
doelgroep belangrijke website een cookiemuur kan gebruiken. Op het
gebruik van cookiemuren is ingegaan in paragraaf 4.2.2 van deze
toelichting. De regering leest in de aangehaalde passage geen aanwijzing
dat gedifferentieerde toestemming onder omstandigheden vereist kan
zijn, al kan dat ook niet op voorhand worden uitgesloten.
Het CBP wijst in haar advies voorts op het verschil tussen de technische
definities van «first» en «third» party cookies en de juridische definitie
hiervan. Volgens het CBP lijken in de toelichting de termen «first» and
«third» party cookies in juridische en technische zin door elkaar heen te

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

29

worden gebruikt. Het CBP adviseert om consequent aan te sluiten bij de
juridische definitie.
Artikel 11.7a legt een verplichting op aan degene die een cookie plaatst of
leest (anders dan de Wbp, die aangrijpt bij de «verantwoordelijke» als
bedoeld in artikel 1, aanhef en onder d, van de Wbp). De toestemming
moet worden verkregen door degene die plaatst en/of leest. Bij een cookie
geplaatst vanuit het domein van bezochte website is de betreffende
websitehouder degene die de cookie in de zin van artikel 11.7a plaatst.
Wordt de cookie geplaatst vanuit het domein van een andere website, dan
is de houder van die website degene die de cookie in de zin van
artikel 11.7a plaatst. Dit sluit aan bij de technische benadering van de
begrippen «first» en «third» party cookies. Het advies van het CBP op dit
punt wordt dan ook niet overgenomen.
De overige inhoudelijke opmerkingen, alsmede de tekstuele opmerkingen
aan het slot van het advies van het CBP, zijn verwerkt in de toelichting.
De Minister van Economische Zaken,
H.G.J. Kamp

Tweede Kamer, vergaderjaar 2013–2014, 33 902, nr. 3

30