HvJ EU: voor plaatsen cookies is actieve toestemming van internetgebruikers vereist

HvJ EU 1 oktober 2019, RB 3344, IT 2885, IEFbe 2958; C-673/17 (Verbraucherzentrale tegen Planet49) De Duitse federale vereniging van consumentenbeschermingsorganisaties betwist het gebruik dat Planet49 maakt van een standaard aangevinkt selectievakje waarmee internetgebruikers die aan onlinereclameloterijen willen deelnemen, toestemming verlenen voor het plaatsen van cookies. Met deze cookies wordt informatie verzameld om reclame te kunnen maken voor producten van partners van Planet49. Het Bundesgerichtshof verzoekt om uitlegging van het Unierecht over de bescherming van de persoonlijke levenssfeer bij elektronische communicatie. Geoordeeld wordt dat de toestemming van de gebruiker van een website voor het plaatsen en raadplegen van cookies op zijn apparatuur, niet rechtsgeldig is verleend wanneer hiertoe gebruik is gemaakt van een standaard aangevinkt selectievakje dat deze gebruiker moet uitvinken indien hij weigert zijn toestemming te verlenen.
Het is hierbij niet van belang of de informatie die is opgeslagen op de apparatuur van de gebruiker of daaruit is opgevraagd, al dan niet bestaat in persoonsgegevens. Het Unierecht beoogt de gebruiker namelijk te beschermen tegen iedere inmenging in zijn privéleven en met name tegen het risico dat verborgen identificatoren en andere soortgelijke software zonder zijn medeweten zijn apparatuur binnenkomen. Het Hof benadrukt dat de toestemming in die zin 'specifiek' moet zijn dat de gebruiker niet door het enkele feit dat hij op de knop voor deelname aan de reclameloterij heeft gedrukt, al geacht kan worden rechtsgeldig toestemming te hebben gegeven voor het plaatsen van cookies. Bovendien moet volgens het Hof de aanbieder van diensten de gebruiker onder meer informeren over de vraag hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben. Zie ook [IT 2730].

55      In dit opzicht lijkt het praktisch onmogelijk om objectief vast te stellen of de gebruiker van een website door een standaard aangevinkt vakje niet uit te vinken, inderdaad toestemming heeft gegeven om zijn persoonsgegevens te verwerken en in ieder geval of deze toestemming op basis van informatie is verleend. Het kan immers niet worden uitgesloten dat deze gebruiker de informatie bij het standaard aangevinkte vakje niet heeft gelezen of dat hij dit vakje niet eens heeft opgemerkt voor hij zijn activiteiten op de bezochte website voortzette.

56      Ten slotte moet over de ontstaansgeschiedenis van artikel 5, lid 3, van richtlijn 2002/58 worden vastgesteld dat in de oorspronkelijke versie van deze bepaling alleen werd vereist dat de gebruiker „het recht krijgt aangeboden [om het plaatsen van cookies] te weigeren”, nadat hij overeenkomstig richtlijn 95/46 duidelijke en volledige informatie heeft verkregen over onder andere de doeleinden van de verwerking. Richtlijn 2009/136 heeft een wezenlijke wijziging in de bewoordingen van deze bepaling aangebracht door deze uitdrukking te vervangen door de woorden „toestemming heeft verleend”. De ontstaansgeschiedenis van artikel 5, lid 3, van richtlijn 2002/58 lijkt er dus op te wijzen dat de toestemming van de gebruiker voortaan niet langer kan worden verondersteld en moet voortvloeien uit een actieve gedraging zijnerzijds.

57      Gelet op een en ander is de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46, derhalve niet rechtsgeldig verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.

58      Toegevoegd moet worden dat de wilsuiting van artikel 2, onder h), van richtlijn 95/46 met name in die zin „specifiek” moet zijn dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft.

59      In het onderhavige geval kan, anders dan Planet49 stelt, dus niet enkel omdat de gebruiker op de knop voor deelname aan de door deze vennootschap georganiseerde reclameloterij heeft geklikt, al worden vastgesteld dat de gebruiker rechtsgeldig toestemming heeft gegeven voor het plaatsen van cookies.