Europees Hof van Justitie oordeelt over Duitse cookiewetgeving

• Het Hof van Justitie zal dinsdag beslissen hoe cookiebanners er in Duitsland uit moeten zien.
• De EU-cookierichtlijn van 2009 bepaalt dat websitegebruikers actief hun toestemming moeten geven.
• In Duitsland doen veel websites dit anders – verwijzend naar een oudere Duitse wet.

Internetgebruikers hebben de laatste jaren moeten wennen aan het feit dat ze vaak met enige vertraging hun bestemming op het internet bereiken. Dit is te wijten aan cookies, kleine tekstbestanden die in de browser van een gebruiker worden opgeslagen om zijn weg op het net te volgen voor analyse- of marketingdoeleinden.

Voordat gebruikers bijvoorbeeld met de inhoud van een online shop mogen communiceren, worden ze geïnformeerd of en hoe de site van plan is om cookies te gebruiken. Volgens een onderzoek van IT-advocaat Jens Nebel is nog geen procent van de gebruikers geïnteresseerd in de exacte omstandigheden van de gegevensverwerking. Binnenkort kan echter ook van gebruikers die minder geïnteresseerd zijn in gegevensbescherming worden verwacht dat ze verder klikken.

Aanstaande dinsdag (1 oktober 2019) zal het Europese Hof van Justitie zich uitspreken over de interpretatie van de Europese wettelijke vereisten voor cookiebanners. De reden hiervoor is een geval van de loterijaanbieder “Planet49”. Planet49 had de cookie-overeenkomst voor potentiële loterijdeelnemers zo ontworpen dat de toestemmingsverklaringen voor het gebruik van de gegevens al vooraf waren ingevuld. Het enige wat gebruikers hoefden te doen was te klikken om hun algemene instemming te bevestigen. Het beroep werd ingesteld door het ‘Bundesverband der Verbraucherzentralen und Verbraucherverbände’ (vzbv, Bundesverband der Verbraucherzentralen und Verbraucherverbände’ (vzbv, Federale Vereniging van Consumentencentra en Consumentenbonden), en het Hooggerechtshof van de Bondsrepubliek had het Europese Hof van Justitie onder meer gevraagd om te verduidelijken of dit soort “toestemming” juridisch gepast was. De verantwoordelijke advocaat-generaal heeft hier zijn twijfels over.

De EU-landen hadden de verordening in 2011 moeten hebben geïmplementeerd, maar niet alle lidstaten hebben dit gedaan.

De Algemene Verordening Gegevensbescherming (AVG) stelt in betrekkelijk concrete bewoordingen dat “stilzwijgen, het aankruisen van reeds aangekruiste vakjes of inactiviteit van de betrokkene dus niet als toestemming mag worden beschouwd”.

Planet49 is geenszins de enige Duitse website die haar cookie-overeenkomst op deze manier heeft ontworpen. Bij Planet49 waren de reeds voor goedkeuring ingestelde vinkjes ten minste nog steeds verwijderbaar. Vele portalen en online shops, inclusief Check24 en Zalando, informeren hun gebruikers slechts onopvallend dat zij akkoord gaan met de cookie-overeenkomst door de site te gebruiken. De bedrijven verwijzen naar de Duitse Telemediawet van 2007 (TMG). Deze wet bepaalt dat bedrijven gebruikersgegevens mogen gebruiken, tenzij zij hiertegen uitdrukkelijk bezwaar maken (opt-out). Sinds 2009 is er echter een EU-richtlijn die het tegendeel zegt, namelijk dat de gebruiker zijn uitdrukkelijke toestemming moet geven (opt-in). Het GDPR definieert “toestemming” op zijn beurt als het instellen van een vinkje.

De lidstaten hadden deze EU-cookierichtlijn in 2011 in nationaal recht moeten hebben omgezet. In Duitsland heeft de wetgever echter besloten dat de TMG, die op dit punt in strijd is met de EU-richtlijn, als wettelijke regeling volstaat. Veel IT-advocaten gaan er dan ook van uit dat deze nogal avontuurlijke Duitse interpretatie van de richtlijn deze dinsdag door het Europese Hof van Justitie zal worden opgevolgd. Om juridisch veilig te zijn, bevelen zij hun klanten al enige tijd de opt-in oplossing aan.

Het is echter onwaarschijnlijk dat Duitse websites hun cookiebanners onmiddellijk na de uitspraak zullen wijzigen. Zolang de Duitse Telemediawet niet dienovereenkomstig wordt gewijzigd, kunnen bedrijven zich voorlopig nog op de Duitse wetgeving blijven beroepen. Gebruikers die niet instemmen met de opslag van hun gegevens zouden juridische stappen moeten ondernemen tegen het gebruik van hun gegevens.

Dat de Duitse wetgever deze tegenstrijdigheid tussen het EU-recht en het Duitse recht zo lang heeft getolereerd, kan te wijten zijn aan een andere geplande EU-wetgeving. De in 2016 aangekondigde ePrivacy-Verordening zal ook bindende regels bevatten voor het gebruik van cookies. En in tegenstelling tot de door Duitsland genegeerd cookierichtlijn, zou de ene verordening ook onmiddellijk van toepassing zijn in de lidstaten.