1/76 Geschillenkamer Beslissing ten gronde 103/2022 van 16 juni 2022 Deze beslissing werd vernietigd door het arrest 2022/AR/953 van het Marktenhof dd. 22 februari 2023 Dossiernummer : DOS-2020-02998 Betreft: Inspectieverslag over het gebruik van cookies op de website www.lesoir.be, www.sudinfo.be, www.sudpressdigital.be du groupe Rossel De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, en de heren Christophe Boeraeve en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), -hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: . . De verweerder: SA Rossel & Cie, met hoofdzetel te 1000 Brussel, Koningstraat 100, ondernemingsnummer 0428.201.847, hierna: "de verweerder". . Beslissing ten gronde 103/2022 - 2/76 I. Feiten en procedure I.
(2)een uittreksel uit het aanvullend verslag van de Inspectiedienst: Beslissing ten gronde 103/2022 - 25/76 11. Later heeft de Inspectiedienst in de nota die hij voorafgaand aan zijn interventie ter hoorzitting op grond van artikel 48 van het reglement van interne orde heeft ingediend, het volgende verklaard: «Het doel van het door de Geschillenkamer gevraagde aanvullende onderzoek was te begrijpen waarvoor de formulieren voor de traceerbaarheidsketen van de website worden gebruikt. Dit heeft geen invloed op de technische vaststellingen, aangezien deze formulieren voornamelijk worden gebruikt om de integriteit van de bewijsbestanden die voor de vaststellingen worden gebruikt, te waarborgen.» 12. Op 23 december 2020 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG, dat het dossier gereed is voor behandeling ten gronde. 13. Op 22 december worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, en in artikel 98 van de WOG. Tevens wordt zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om haar verweermiddelen in te dienen. 14. De uiterste datum voor ontvangst van de conclusie van antwoord vanwege de verweerder wordt vastgelegd op 9 februari 2021. 15. Op 14 januari 2021 heeft de verweerder ingestemd met het beginsel van verdere communicatie per e-mail en verzocht om een kopie van het dossier (art. 95, §2, 3° WOG), dat op 19 januari 2021 is verzonden. De klager wijst er op diezelfde datum op dat hij gebruik wil maken van de mogelijkheid te worden gehoord, overeenkomstig artikel 98 van de WOG. Beslissing ten gronde 103/2022 - 26/76 16. Op 21 januari verzocht verweerder om een extra termijn van twee maanden om zijn conclusies in te dienen. 17. Op 26 januari 2021 heeft de Geschillenkamer een extra maand uitstel verleend, waardoor de termijn voor conclusie op 29 februari 2021 kwam te liggen. 18. Op 23 februari ontving de Geschillenkamer de conclusie van repliek van de verweerder. 19. Op 20 januari 2022 wordt de verweerder ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 24 februari 2022. De hoorzitting werd vervolgens om interne organisatorische redenen van de GBA uitgesteld. 20. Op 23 februari 2022 heeft de Geschillenkamer verweerder in kennis gesteld van een nieuwe datum voor de hoorzitting, te weten 31 maart 2022. Op 8 maart heeft de Geschillenkamer verweerder meegedeeld dat zij de Inspectiedienst had uitgenodigd om op de hoorzitting aanwezig te zijn en dat een afschrift van de conclusie van verweerder aan de Inspectiedienst was gezonden met het verzoek om uiterlijk op 15 maart te antwoorden. 21. Op 14 maart 2022 heeft de Geschillenkamer de aanvullende nota van de Inspectiedienst ontvangen en op 16 maart 2022 aan verweerder toegezonden. 22. Op 31 maart 2022 werd de verweerder door de Geschillenkamer gehoord. 23. Op 13 mei 2022 werden het proces-verbaal van de hoorzitting binnen een week na ontvangst voor commentaar aan de partijen voorgelegd. 24. Op 27 mei 2022 ontving de Geschillenkamer de opmerkingen van verweerder, die zij bij het proces-verbaal heeft gevoegd. II. Motivering II.1. Over de bevoegdheden van de GBA inzake cookies 25. Overeenkomstig artikel 4 § 1 van de WOG is de GBA verantwoordelijk voor het toezicht op de naleving van de fundamentele beginselen van gegevensbescherming, zoals bevestigd door de AVG en andere wetten die bepalingen bevatten betreffende de bescherming van de verwerking van persoonsgegevens. 26. In toepassing van artikel 33 § 1 van de WOG, is de Geschillenkamer het administratief geschillenorgaan van de GBA. Zij ontvangt onder meer klachten die haar via het IMIsysteem worden toegezonden, op grond van artikel 56 van de AVG. 27. Overeenkomstig artikel 51 e.v. van de AVG en artikel 4.1 van de WOG is het de taak van de Geschillenkamer, als administratieve geschilleninstantie van de Beslissing ten gronde 103/2022 - 27/76 gegevensbeschermingsautoriteit, om een effectieve controle uit te oefenen op de toepassing van de AVG, de fundamentele rechten en vrijheden van natuurlijke personen met betrekking tot de verwerking te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken. 28. Wat de toepasselijke wetgeving en de bevoegdheid van de GBA op het gebied van beslissingen hieronder : beslissing nr. Beslissing 11/2022 van 21 januari 2022, Beslissing 12/2019 van 17 december 2019, Beslissing 24/2021 van 19 februari 2021 , Beslissing 19/2021 van 12 februari 2021 en in het bijzonder Beslissing 11/2022 van 21 januari 2022. 29. Ter informatie, de Geschillenkamer is bevoegd om te oordelen in zaken betreffende het verwerken van persoonsgegevens, op grond van artikel 4 § 1 van de WOG, art. 55 van de AVG en met inachtneming van artikel 8 van het Handvest van de grondrechten van de Europese Unie. 30. Voorts was het Belgisch Instituut voor postdiensten en telecommunicatie (BIPT) naar Belgisch recht, de verwerkingsverantwoordelijke die de wet op de elektronische communicatie (WEC) heeft aangewezen, en ook artikel 129 van de WEC, dat artikel 5.3 van Richtlijn 2002/581 (hierna de "e-privacy-richtlijn") implementeert, overeenkomstig artikel 14, § 1, van de wet van 17/01/2003 betreffende het statuut van de regulator van de Belgische post- en telecommunicatiesector. 31. De werkgroep gegevensbescherming ("Artikel 29") - voorganger van de EDPB- en de EDPB zelf hebben ook vastgesteld dat de vereisten van de AVG voor het verkrijgen van een geldige toestemming van toepassing zijn op situaties die binnen het toepassingsgebied van de e-privacyrichtlijn vallen21. 32. Het Europees Hof van Justitie heeft in het arrest Planet49 onder andere bevestigd dat het verzamelen van gegevens door middel van cookies als verwerking van persoonsgegevens kan worden aangemerkt 22. Derhalve heeft het Hof artikel 5.3 van de ePrivacy Richtlijn geïnterpreteerd aan de hand van de AVG 23, meer in het bijzonder op basis van art. 4.11 en art. 6.1.a AVG (toestemmingsvereiste) alsook art. 13 AVG (te verstrekken informatie). 21 Richtsnoeren van de Groep Gegevensbescherming Artikel 29 inzake toestemming overeenkomstig Verordening 2016/679, WP259, blz. 4. 22 23 HvJEU, 1 oktober 2019,Planet49, C-673/17, ECLI :EU :C :2019 :801, § 45. Alsmede aan de hand van de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Beslissing ten gronde 103/2022 - 28/76 33. In zijn advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn24 en de AVG bevestigde het Europees Comité voor gegevensbescherming (hierna: "EDPB") dat gegevensbeschermingsautoriteiten bevoegd zijn om de AVG toe te passen op gegevensverwerkingen, ook in de context waarin andere autoriteiten op grond van de nationale omzetting van de e-privacyrichtlijn bevoegd zouden zijn om toezicht te houden op bepaalde elementen van de verwerking van persoonsgegevens. 34. Zoals hierboven vermeld, doet de bevoegdheid van het BIPT om toezicht te houden op bepaalde elementen van de verwerking - zoals het plaatsen van cookies op de eindapparatuur van de internetgebruiker - geen afbreuk aan de algemene bevoegdheid van de GBA. Zoals door de EDPB is verduidelijkt, blijven de gegevensbeschermingsautoriteiten bevoegd voor verwerkingen (of elementen van verwerkingen) waarvoor de e-privacyrichtlijn-25 niet in specifieke voorschriften voorziet. In het onderhavige geval waren de bevoegdheden gegevensbeschermingsautoriteiten inderdaad van het BIPT complementair, en de aangezien de gegevensbeschermingsautoriteiten op grond van artikel 4 van de WOG verantwoordelijk zijn voor het toezicht op de naleving van de grondbeginselen inzake gegevensbescherming (zoals bevestigd in de AVG en in andere wetten die bepalingen inzake de bescherming van persoonsgegevens bevatten), en toestemming is inderdaad een grondbeginsel op dit gebied. 35. Voorts wordt in advies 5/2019 van de EDPB over de wisselwerking tussen de eprivacyrichtlijn26 en de voornoemde AVG vastgesteld dat het nationale procesrecht bepaalt wat er moet gebeuren wanneer een betrokkene een klacht indient bij de gegevensbeschermingsautoriteit over een verwerking van persoonsgegevens (zoals gegevensverzameling door middel van cookies), zonder ook te klagen over (mogelijke) schendingen van de AVG. Dit komt goed overeen met het onderhavige geval. 36. Ook blijkt uit het advies e-privacy van de EDPB dat de e-privacyrichtlijn tot doel heeft de bepalingen van de AVG met betrekking tot de verwerking van persoonsgegevens in de sector elektronische communicatie "te verduidelijken en aan te vullen", en er aldus voor te zorgen dat de artikelen 7 en 8 van het Handvest van de grondrechten van de EU worden nageleefd. 24 EDBP, Advies 5/2019 5 oover de interacties tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, in het bijzonder wat de bevoegdheid, taken en bevoegdheden van de gegevensbeschermingsautoriteiten betreft, § 69. 25 EDBP, Advies 5/2019 5 over de interacties tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, in het bijzonder wat de bevoegdheid, taken en bevoegdheden van de gegevensbeschermingsautoriteiten betreft, § 69. 26 EDBP, Advies 5/2019 over de interacties tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, en in het bijzonder wat de bevoegdheid, taken en bevoegdheden van de gegevensbeschermingsautoriteiten betreft, 12/03/2019, § 70. Beslissing ten gronde 103/2022 - 29/76 37. In dit verband merkt de Geschillenkamer op dat artikel 8.3 van het Handvest bepaalt dat de verwerking van persoonsgegevens onderworpen is aan het toezicht van een onafhankelijke autoriteit voor gegevensbescherming. 38. Daarenboven stelt de rechtbank van eerste aanleg van Brussel dat de rechtsvoorganger van de GBA bevoegd was om een vordering aan de rechtbank voor te leggen “in zoverre deze betrekking heeft op beweerde schendingen van de Privacywet van 8 december 1992, waarnaar art. 129 WEC, die daarvan een precisering en aanvulling is, overigens uitdrukkelijk verwijst"27. Zoals hierboven vermeld, is het artikel 129 WEC de omzetting in Belgisch recht van artikel 5.3 van de e-privacyrichtlijn. 39. De GBA is dus bevoegd om na te gaan of het vereiste van het grondbeginsel van toestemming rond de betwiste cookie al dan niet in overeenstemming is met de toestemmingsvereisten van de AVG. 40. De GBA is ook bevoegd om de naleving van alle andere voorwaarden te controleren verplicht gesteld door de AVG- zoals transparantie van de verwerking (artikel 12 van de AVG) of de te verstrekken informatie (artikel 13 van de AVG). 41. Zoals het Hof van Justitie in het arrest Facebook e.a. heeft bevestigd, valt alleen het vastleggen en uitlezen van persoonsgegevens door middel van cookies binnen de werkingssfeer van de Richtlijn 2002/58/EG, terwijl "alle voorafgaande bewerkingen en verdere verwerkingen van dergelijke persoonsgegevens door middel van andere technologieën wel onder het toepassingsgebied van de [AVG] vallen»28. 42. Intussen zijn de bevoegdheden van de GBA om toezicht te houden op het plaatsen van "cookies" bevestigd door de wet van 21 december 2021 tot omzetting van het Europees Wetboek voor elektronische communicatie 29. Ten tijde van de vaststellingen van dit onderzoek was de bevoegdheid van de gegevensbeschermingsautoriteit met betrekking tot het plaatsen van "cookies" waarbij persoonsgegevens betrokken zijn, nog niet in de Belgische wetgeving verankerd. 43. Zonder enige betwisting is de GBA bevoegd voor het toezicht op gegevensverwerking die plaatsvindt op basis van persoonsgegevens die door middel van cookies zijn verzameld, zoals de doorgifte van dergelijke gegevens aan derde landen. Er moet een onderscheid worden gemaakt tussen het rechtskader en de bevoegdheidsregels voor het plaatsen van cookies op eindapparatuur, zoals hierboven uiteengezet, enerzijds, en het rechtskader dat van toepassing is op de verwerking van door cookies verzamelde 27 Tribunal Bruxelles, 24e chambre affaires civiles, 16 février 2018, n° de rôle 2016/153/A, punt 26, blz. 51, beschikbaar op dit adres: https://www.autoriteprotectiondonnees.be/news/lautorite-de-protection-des-donnees-defend-sonargumentation-devant-lacour- dappel-de-bruxelles. 28 29 HvJ-EU, 15 juni 2021, C-645/19, ECLI:EU:C:2021:483, §74. Artikel 10/2 van de wet van 21 december 2021 tot omzetting van de Europese code voor elektronische communicatie en tot wijziging van diverse bepalingen inzake elektronische communicatie, BS.. 31 december 2021. Beslissing ten gronde 103/2022 - 30/76 gegevens, namelijk de AVG en het nationale rechtskader voor gegevensverwerking, zoals uiteengezet in het arrest van het Hof van Justitie «Fashion»30. II.2. Herinnering aan de basisbeginselen en toepasselijke wetgeving betreffende het gebruik van traceerinstrumenten en cookies 44. Alvorens de inbreuken te onderzoeken die de IS in zijn verslag heeft vastgesteld, acht de Geschillenkamer het nuttig om, voor educatieve doeleinden, een korte inleiding te geven over cookies en te herinneren aan de fundamentele rechtsbeginselen betreffende de instrumenten voor het traceren van internetgebruikers, waarvan cookies er één zijn 31. 45. De term "trackers" omvat cookies en HTTP-variabelen, waaronder mogelijk «web beacon», «flash»cookies, toegang tot terminalinformatie van API's (LocalStorage, IndexedDB, advertentie-identifiers zoals IDFA of Android ID, GPS-toegang, enz.), of een andere door software of besturingssysteem gegenereerde identificatiecode (serienummer, MAC-adres, unieke terminalidentifier (UTI), of een reeks gegevens die wordt gebruikt om een unieke vingerafdruk van de terminal te berekenen), of enig ander identificatiemiddel dat wordt gegenereerd door een software- of besturingssysteem (serienummer, MAC-adres, uniek terminalidentificatiemiddel (UTI), of enig geheel van gegevens dat wordt gebruikt om een unieke vingerafdruk van de terminal te berekenen (bijv. via fingerprinting). 46. Deze cookies en andere trackers kunnen worden onderscheiden aan de hand van verschillende criteria, zoals het doel dat zij dienen, het domein waarin zij zijn geplaatst of hun levensduur. De cookies kunnen voor talrijke verschillende doeleinden worden aangewend (meer bepaald, om de communicatie op het netwerk te ondersteunen - de "verbindingscookies" -, om het publiek te meten van een website - "publieksmetingscookies", analytische cookies of statistische cookies" voor marketing doeleinden of gedragsgerichte reclame, voor authenticatiedoeleinden...). 47. Cookies kunnen ook onderscheiden worden naargelang het domein dat ze plaatst, zo zjnj er ”eerstepartijcookies" of "derdepartijcookies". Eerstepartijcookies worden rechtstreeks geplaatst door de eigenaar van de bezochte website, in tegenstelling tot derdepartijcookies, die worden geplaatst door een ander domein dan dat van de bezochte website (bijvoorbeeld wanneer de website elementen van andere sites bevat, zoals afbeeldingen, plug-ins voor sociale media -de Facebook Like-knop bijvoorbeeld- of advertenties). Wanneer deze elementen door de browser of andere software vanop andere websites worden opgehaald, kunnen deze websites ook cookies plaatsen die dan 30 HvJEU, 29 juli 2019, C-40/17, ECLI:EU:C:2019:629, § 87 en volgende. 31 In dit deel neemt de Geschillenkamer de toelichting in haar beslissing 85/2022 van 25 mei 2022 over. Beslissing ten gronde 103/2022 - 31/76 kunnen worden gelezen door de websites die ze hebben geplaatst. Deze "derdepartijcookies" stellen deze derden in staat het gedrag van internetgebruikers in de tijd en op verschillende websites te volgen en op basis van deze gegevens internetgebruikersprofielen op te stellen. 48. Cookies kunnen ook worden onderscheiden naar gelang van hun geldigheidsduur, naargelang het gaat om "sessiecookies" of "permanente cookies". "Sessiecookies" worden automatisch gewist wanneer de browser wordt gesloten, terwijl "permanente worden uitgedrukt in minuten, dagen of jaren). 49. Vanuit juridisch oogpunt moet een onderscheid worden gemaakt tussen trackers waarvoor toestemming van de gebruiker vereist is en trackers waarvoor dat niet het geval is. 50. Trackers waarvoor geen toestemming vereist is, zijn deze die strikt noodzakelijk zijn voor de levering van een online communicatiedienst waar de gebruiker uitdrukkelijk om heeft verzocht, of deze die bedoeld zijn om de overdracht van communicatie langs elektronische weg mogelijk te maken. Deze trackers vereisen geen toestemming van de gebruikers. De verwerking van persoonsgegevens door die laatste trackers zijn in het algemeen gebaseerd op het gerechtvaardigd belang van de verwerkingsverantwoordelijke (artikel 6.1
- f)van de AVG). 51. Tot de cookies waarvoor geen toestemming is vereist voordat zij op de apparatuur van de gebruiker worden geplaatst, behoren deze die de gebruiker heeft gekozen om de plaatsing van cookies te behouden, deze die dienen voor de authenticatie bij een dienst, deze die het mogelijk maken de inhoud van een winkelwagentje te bewaren, of deze die de gebruikersinterface personaliseren (bijvoorbeeld voor de taalkeuze of de presentatie van een dienst), wanneer een dergelijke personalisering een intrinsiek en verwacht element van de dienst vormt. 52. Voor het plaatsen van andere trackers en cookies is voorafgaande toestemming vereist. Verwerking op basis van gerechtvaardigd belang is ook voor deze cookies verboden. Voor alle cookies die niet uitsluitend tot doel hebben communicatie langs elektronische weg mogelijk te maken of te vergemakkelijken of die niet strikt noodzakelijk zijn voor de levering van een online-communicatiedienst op uitdrukkelijk verzoek van de gebruiker, is derhalve voorafgaande toestemming vereist. Deze kunnen bijvoorbeeld verband houden met het tonen van gepersonaliseerde of niet-gepersonaliseerde reclame (waarbij in het laatste geval trackers worden gebruikt om het publiek voor de getoonde reclame te meten). Dit soort cookie kan ook worden gekoppeld aan uitwisselingsfuncties op sociale netwerken. Zonder toestemming (d.w.z. in geval van weigering door de Beslissing ten gronde 103/2022 - 32/76 gebruiker) kunnen deze trackers niet op de terminal van de gebruiker worden geplaatst en/of gelezen. 53. Wat meer bepaald de rechtsregels betreft die van toepassing zijn op het plaatsen van gelezen in samenhang met artikel 129 van de wet van 13 juni 2005 betreffende de elektronische communicatie (hierna "WEC" genoemd32) die van toepassing was op het tijdstip van de feiten en die een verduidelijking en precisering van artikel 6 van de AVG 33 vormt. Artikel 6.1 van de AVG bepaalt dat gegevensverwerking alleen rechtmatig is indien en voor zover zij is gebaseerd op een van de in dat artikel genoemde gronden voor rechtmatige verwerking. Artikel 129 van de WEC bepaalt dat voor het plaatsen en/of uitlezen van cookies de toestemming van de betrokkene vereist is, behalve wanneer deze cookies strikt noodzakelijk zijn om de verzending van een communicatie over een elektronisch communicatienetwerk te verzekeren of om een uitdrukkelijk door de abonnee gevraagde dienst van de informatiemaatschappij te leveren 34. 54. In zijn arrest "Planet49" heeft het Hof van Justitie geoordeeld dat de term "toestemming" in artikel 5.3 van de e-privacyrichtlijn 2002/58 (omgezet in Belgisch recht via artikel 129 WEC) moet worden begrepen als de "toestemming van de betrokkene" zoals gedefinieerd in Richtlijn 95/46 (de wetgevingsvoorganger van de AVG)35. 55. De Geschillenkamer verduidelijkt hieronder de regels die van toepassing zijn op "analytische" cookies, ook bekend als "statistische" cookies, wanneer de Inspectiedienst deze begripeen hanteert in zijn vaststellingen. II.3. Het IAB “Transparency and Consent Framework” (“IAB TCF”) 32 Wet van 13 juni 2005 betreffende de Elektronische Communicatie, B.S. 20.06.2005. 33 Zie het wetsontwerp betreffende electronische communicatie, Parl; Doc. Kamer DOC 51 1425/001 p. 73. Het huidige artikel 129 is overgenomen in artikel 138 van het wetsvoorstel; zie ook EDPB advies 5/2019 over de interacties tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, in het bijzonder met betrekking tot de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, nr. 38. 34 Artikel 129 WEC luidt als volgt: “Het gebruik van elektronische-communicatie- netwerken voor de opslag van informatie of voor het ver- krijgen van toegang tot informatie die is opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker is slechts toegestaan op voorwaarde dat: 1° de betrokken abonnee of eindgebruiker, overeenkomstig de voorwaarden bepaald in de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, voorzien wordt van duidelijke en precieze informatie over de doeleinden van de verwerking en zijn rechten op basis van de wet van 8 december 1992; 2° de verantwoordelijke voor de verwerking de betrokken abonnee of eindgebruiker de mogelijkheid biedt om de voorgenomen verwerking te weigeren. Het eerste lid is van toepassing onverminderd de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie over een elektronische communicatienetwerk uit te voeren of te vergemakkelijken of een uitdrukkelijk door de abonnee gevraagde dienst van de informatiemaatschappij te leveren. Een gebrek aan weigering in de zin van het eerste lid of de toepassing van het tweede lid, stelt de verantwoordelijke voor de verwerking niet vrij van de verplichtingen van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens die niet opgelegd worden in dit artikel”. 35 HvJEU, 1 oktober 2019, C-673/17, Planet 49, ECLI:EU:C:2019:801, § 50. Beslissing ten gronde 103/2022 - 33/76 56. De Geschillenkamer verwijst naar de toelichting in haar beslissing ten gronde 21/2022 van 2 februari 2022 : « IAB Europe is een federatie die de digitale reclame- en marketingindustrie op Europees niveau vertegenwoordigt. Het omvat zowel bedrijfsleden als nationale verenigingen, met hun eigen bedrijfsleden. Indirect vertegenwoordigt IAB Europe ongeveer 5.000 bedrijven, waaronder zowel grote ondernemingen als nationale leden» 57. IAB Europe omschrijft TCF als volgt: : « In zijn huidige vorm is het TCF een sectoroverschrijdende norm voor beste praktijken die het voor de digitale reclame-industrie gemakkelijker maakt om bepaalde EU-voorschriften inzake privacy en gegevensbescherming na te leven en die particulieren meer transparantie en controle over hun persoonsgegevens moet bieden. Het is met name een "kader" waarbinnen bedrijven onafhankelijk opereren en dat hen helpt te voldoen aan de AVG- rechtsgrondslag voor de verwerking van persoonsgegevens en aan de ePrivacy-richtlijn, die voorschrijft dat de gebruiker toestemming moet geven voor de opslag van en toegang tot informatie op een apparaat van de gebruik »36. 58. Voor TCF zijn er ook bedrijven die "Consent Management Platforms" (CMP'
- s)aanbieden. Concreet neemt een- CMP de vorm aan van een pop-upvenster dat verschijnt wanneer de gebruiker voor het eerst verbinding maakt met een website om onder meer de toestemming van de gebruiker voor het plaatsen van cookies en andere identificerende informatie te verzamelen37. II.4. Over de procedure 59. De verweerder heeft procedurele bezwaren aangevoerd, waarvan de belangrijkste zijn: het taalgebruik in het inspectieverslag, het ontbreken van ernstige aanwijzingen (willekeurige doorverwijzing), het ontbreken van motivering van de verwijzing, de methodologie van de Inspectiedienst, de onduidelijkheden van het wettelijk kader. Om deze redenen vordert verweerder de nietigheid van de procedure, de afwijzing van de ingediende klachten, de afwijzing van de stukken en verslagen van de Inspectiedienst, alsmede buitenvervolgingstelling wegens ontbreken van rechtsgrondslag, onbevoegdheid en 36 Geschillenkamer, Beslissing ten gronde 21/2022 van 2 februari 2022, blz.14 37 Ibid., blz. 15. Beslissing ten gronde 103/2022 - 34/76 bevoegdheidsoverschrijding, voor zover de eisen van de Geschillenkamer de wettelijke eisen op het gebied van cookies overschrijden. ➢ Gebruikte taal 60. Verweerder wijst erop dat het dossier aan de Inspectiedienst werd doorverwezen op grond van artikel 63.1 van de WOG bij een in het Nederlands opgesteld besluit van het directiecomité. Verweerder is van mening dat dit document in strijd is met artikel 57 van de wet van 3 december 2017, volgens hetwelk : "De Gegevensbeschermingsautoriteit de taal (hanteert) waarin de procedure wordt gevoerd naar gelang van de behoeften die eigen zijn aan de zaak”. Verweerder beroept zich ook op het strafrecht en eist een tweetalige beslissing in deze zaak. 61. De Geschillenkamer wijst erop dat verweerder niet heeft aangetoond hoe zijn rechten van verdediging zijn geschonden door het verwijzingsbesluit, dat in het Nederlands is opgesteld, aangezien de GBA in het Frans met de rechtssubjecten heeft gecommuniceerd en het Nederlands enkel heeft gebruikt in het kader van de voorbereiding van het onderzoek van zowel de Franstalige als de Nederlandstalige websites. Het Nederlands is ook een van de beschikbare talen op de drie onderzochte websites van de verweerder. Artikel 57 WOG is immers naar het oordeel van de Geschillenkamer een lex specialis ten opzichte van de bestaande taalwetten en moet soepel worden toegepast om de door de GBA gevoerde procedures ter bescherming van persoonsgegevens niet onnodig te belemmeren, mits de verweerders in de gelegenheid worden gesteld zich te verdedigen in een taal die zij worden geacht te begrijpen, gelet op de taal waarin zij hun producten en diensten aanbieden. De inhoud van het verwijzingsdocument van het Directiecomité, dat in het Nederlands was opgesteld, werd in het Frans weergegeven in het verslag van de Inspectiedienst. 62. Het Marktenhof heeft in een vergelijkbare context reeds geoordeeld dat er geen sprake is van schending van de rechten van de verdediging, mits de verweerder in de gelegenheid is gesteld zich in zijn eigen taal te verdedigen, hetgeen hier het geval is38. De communicatie tussen de GBA en verweerder verliep uitsluitend in het Frans via de Geschillenkamer, die haar verzoek om te concluderen over het inspectieverslag in het Frans aan verweerder heeft gezonden. ➢ Ernstige aanwijzingen en redenen voor de doorverwijzing 63. Verweerder verwijst naar de beslissing van het Directiecomité van het GBA, waarbij het dossier "cookieproblematiek van mediawebsites" is overgedragen aan de inspectiedienst, waarin is bepaald dat de inspectiedienst een voorstel voor een onderzoek zal doen aan de 38 Brussel (Marktenhof), 7 juli 2021, 2021/AR/320, blz 29 Beslissing ten gronde 103/2022 - 35/76 inspecteur-generaal, op basis waarvan deze kan beslissen al dan niet een thematisch onderzoek39 in te stellen. De Inspectiedienst van de GBA gaf de volgende redenen voor het onderzoek: «Waarom de websites van media: […] »40 veel bezoekers/populaire websites. Het hoge aantal bezoeken aan de websites werd daarom gekozen als eerste ernstige aanwijzing voor het bestaan van een praktijk die aanleiding kan geven tot schending van de fundamentele beginselen inzake de bescherming van persoonsgegevens in de zin van artikel 63.1 van de WOG (hierna "ernstige aanwijzingen" of "aanwijzingen van ernstige schending”). 64. De AVG verschaft de GBA onderzoeksbevoegdheden (artikel 58.1). Artikel 63 legt op zeer ruime (vage) wijze ernstige aanwijzingen op en moet in het licht van de AVG flexibel en pragmatisch worden gelezen om de doeltreffendheid van de taken en bevoegdheden van de GBA, waarin de AVG voorziet voor de toezichthoudende autoriteiten in de lidstaten, te waarborgen. Krachtens de artikelen 5.1, 51.2 en 52.1 van de AVG zijn de lidstaten verplicht een of meer onafhankelijke overheidsinstanties te belasten met het toezicht op de toepassing van de AVG, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen ten aanzien van de verwerking te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te bevorderen. Deze toezichthoudende autoriteiten moeten hun bevoegdheden uitoefenen met het oog op de effectieve uitvoering van de Europese wetgeving inzake gegevensbescherming, waaronder de AVG. Het waarborgen van de doeltreffendheid van het Europees recht is een van de belangrijkste taken van de autoriteiten van de lidstaten onder het recht van de Europese Unie 41. 65. Bovendien verwijst het Directiecomité in zijn nota aan de Inspectiedienst42 naar een door de Geschillenkamer ontvangen formele klacht betreffende het gebruik van cookies op de website van de RTBF, en naar analyserapporten die door een adviseur informatiebeveiliging is opgesteld die "andere problemen aan het licht brengen, met name het plaatsen van niet-essentiële voordat de toestemming van de internetgebruikers is verkregen, of het ontbreken van een (gemakkelijke) mogelijkheid om de parameters van de cookies in te stellen". Het Directiecomité stelt dat "andere dossiers problemen toonden met het gebruik van cookies in andere Belgische media". Het Directiecomité stelt voor "het onderzoek te beperken tot de meest geraadpleegde Belgische online nieuwsmedia". Het Directiecomité verwijst ook naar de sites van de Mediahuis-groep (Nieuwsblad, Standaard, Gazet van Antwerpen, Het Belang van Limburg) 39 Stuk 1 van het GBA-dossier. 40 Stuk 5 van het GBA-dossier. 41 Zie Koen Lenaerts, Piet Van Nuffel, Europees recht (6e uitgavve), Intersentia, 2017, blz.95-100, en, meer in het bijzonder over de gegevensbeschermingsautoriteiten, Hielke Hijmans, The European Union as Guardian of Internet Privacy, Springer 2016, Hoofdstuk 7. 42 Stuk 2 van het GBA-dossier. Beslissing ten gronde 103/2022 - 36/76 die enkel de koppen met een samenvatting aanbieden indien geen cookies worden aanvaard, wat verschillend is van een paywall-systeem ("een systeem dat dient om de toegang tot een website geheel of gedeeltelijk te blokkeren door middel van een betalingssysteem"). In het licht van het bovenstaande heeft het Directiecomité derhalve in zijn nota aan de Inspectiedienst het bestaan van aanwijzingen voor een inbreuk gerechtvaardigd, overeenkomstig het bepaalde in artikel 63.1 van de WOG. 66. Verweerder is ten onrechte van mening dat de doorverwijzing naar deIinspectiedienst niet voldoende is onderbouwd met verwijzing naar dergelijke ernstige aanwijzingen in de zin van artikel 63.1 van de WOG. 67. De Geschillenkamer merkt ook op dat het aantal bezoekers van websites voldoende aanwijzing voor een inbreuk vormt, als deze sites volgens hun eigen cookiebeleid gebruik maken van cookies van derden die internetgebruikers kunnen profileren. Deze twee kenmerken die publiekelijk beschikbaar zijn op de geselecteerde websites wijzen op een verwerking met een hoog risico als bedoeld in artikel 35.
- a)van de AVG, aangezien zij een grote hoeveelheid verwerkte gegevens en een risico van profilering inhouden. 68. Dienaangaande is de Geschillenkamer ook van oordeel dat het juridische verslag van de Inspectiedienst voldoende is gemotiveerd ter aanvulling van de aanwijzingen die door het Directiecomité zijn vastgesteld, aangezien daarin wordt aangegeven waarom de aanwezigheid van cookies van derden op de sites op zich een aanwijzing van inbreuk vormt: Deze "derdepartijcookies" stellen deze derden in staat om het gedrag van de internetgebruikers in de loop van de tijd en op tal van websites te volgen en op basis van deze gegevens profielen van personen aan te maken (profilering), zodat zij in de toekomst nauwkeuriger en doelgerichter marketing kunnen plaatsen tijdens de toekomstige surfsessies van deze internetgebruikers, die op die manier worden opgespoord". De Inspectiedienste verwijst in dit verband naar de thematische rubriek over cookies 43 op de website van de GBA De inspectiedienst kon derhalve op basis van de openbaar toegankelijke informatie op de onderzochte websites en hun bezoekersgegevens ernstige aanwijzingen voor een inbreuk afleiden. Het inspectierapport bevat derhalve voldoende bewijs om vast te stellen dat het grote aantal bezoeken aan websites waarop derdepartijcookies aanwezig zijn, op zichzelf een voldoende aanwijzing voor een inbreuk in de zin van artikel 63.1 van de WOG vormt. 69. De beslissing van het Directiecomité van de GBA is voldoende gemotiveerd, aangezien het verwijst naar problemen met de naleving van de AVG die op mediasites zijn vastgesteld in verband met cookies, door middel van (
- i)verslagen van een adviseur van de GBA die belast is 43 Zie «Begrijpen wat een cookie is" in het themadossier "cookies" https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/cookies. op de website van de GBA, Beslissing ten gronde 103/2022 - 37/76 met de informatiebeveiliging, en (
- ii)kwesties die in de pers aan de orde zijn gesteld. De beslissing van het Directiecomité van de GBA verwijst ook naar de beoordeling en de toekomstige beslissing van de Inspecteur-generaal over de vraag of er ernstige aanwijzingen zijn voor een inbreuk op de beginselen inzake gegevensbescherming. Deze redenen bestonden ten tijde van de beslissing van het Directiecomité, die werd genomen op basis van eerste aanwijzingen (groot aantal bezoekers, problemen met het plaatsen van niet-essentiële cookies voordat toestemming was verkregen, gebrek aan eenvoudige mogelijkheid om cookies in te stellen), en op voorwaarde dat deze aanwijzingen door de Inspectiedienst tijdens zijn onderzoek werden bevestigd of aangevuld. De aanwezigheid van dergelijke ernstige aanwijzingen kon derhalve op aanvullende wijze in het inspectieverslag zelf worden gemotiveerd 44. 70. Verweerder vergelijkt de verwijzing naar de Geschillenkamer ten onrechte met "het equivalent van een aanklacht die door een onderzoeksrechter aan een verdachte wordt betekend”45. Het Marktenhof heeft in zijn arrest van 7 juli 2021 duidelijk onderstreept dat de Geschillenkamer een orgaan van een administratieve overheid is waarvan de procedure niet kan worden vergeleken met de strafrechtelijke procedure 46. 71. De Geschillenkamer is van oordeel dat de verwijzing voldoende is gemotiveerd in de beslissing van het Directiecomité zelf. Subsidiair toont verweerder niet aan hoe de definitie van de verwijzing naar de Inspectiedienst, zoals geformuleerd in de beslissing van het Directiecomité van de GBA, samen met het inspectieverslag zelf zijn rechten van verdediging zou hebben geschaad wegens het gebrek aan motivering van de verwijzing in de initiële beslissing van het Directiecomité van de GBA, die onder een opschortende voorwaarde was geformuleerd. Verweerder kon tijdig kennis nemen van de aanwijzingen van inbreuk om zijn eigen argumentatie over deze aanwijzingen te ontwikkelen toen deze hem op tegenspraak werden voorgelegd. 72. De Geschillenkamer herinnert er voorts aan dat de organieke wet van de GBA met name bepaalt dat "De Gegevensbeschermingsautoriteit kan overgaan tot een breed openbaar onderzoek of een brede openbare raadpleging of tot een meer gericht onderzoek of een meer gerichte raadpleging van de vertegenwoordigers van de betrokken sectoren" (art. 52, §2, GBA). Zo kondigt de Inspectiedienst in haar strategisch plan 2022 toekomstige sectorale onderzoeken aan naar "cookies": «Na het afleveren van een eerste themadossier sectoren en hun websites van naderbij te bekijken met betrekking tot cookies ».47 44 Over de motiveringsvereisten inzake administratieve beslissingen 45 Eindconclusies van verweerder, blz. 3. 46 Ibid.,blz. 13. 47 Beslissing ten gronde 103/2022 - 38/76 73. Ten slotte is de vaststelling van de aanwezigheid van ernstige aanwijzingen voor het bestaan van een praktijk die kan leiden tot een schending van de fundamentele beginselen van gegevensbescherming een discretionaire beoordeling van de GBA, die het Marktenhof niet kan beoordelen, behalve in het geval van een flagrante miskenning van de beginselen van behoorlijk bestuur op dit gebied of van een kennelijke beoordelingsfout, hetgeen hier niet het geval is. De bevoegdheid van het Marktenhof is immers beperkt tot een controle van de regelmatigheid en de rechtmatigheid. De GBA heeft een ruime discretionaire bevoegdheid, mits zij de feiten vermeldt die tot de genomen beslissing hebben geleid. Hoe ruimer de discretionaire bevoegdheid, hoe gedetailleerder de motivering moet zijn: In dit geval volstaat de motivering van ernstige aanwijzingen voor het bestaan van een inbreukmakende praktijk in de inleiding van het inspectieverslag. ➢ Methodologie van het door de Inspectiedienst uitgevoerde onderzoek 74. Verweerder verzoekt om uitsluiting van bepaalde documenten, met name de aanvullende onderzoeksverslagen, alsmede de onderzoeksverslagen en technische rapporten van de Inspectiedienst, op grond dat de technische vaststellingen onbetrouwbaar of onbegrijpelijk zijn, dan wel dat de menselijke vaststellingen eveneens onbetrouwbaar of ontoereikend zijn. Verweerder beroept zich ook op het feit dat de vaststellingen en het onderzoeksverslag hem te laat zijn toegezonden. Om deze redenen verzoekt verweerder de zaak wegens gebrek aan bewijs te seponeren. 75. De Inspectiedienst heeft punt voor punt gereageerd op de argumenten van verweerder om de stukken buiten beschouwing te laten en heeft de vaststellingen herhaald in zijn hoorzittingsnota " Eclarissements ICT suite aux conclusions de la SA Rossel & Cie" van 14 maart 2022 die hij ter hoorzitting van 31 maart 2022 heeft overgelegd (hierna: het aanvullend verslag): ▪ Titel 1.2 van het aanvullend verslag van de Inspectiedienst: over de gebruikte analysesoftware o Argumenten van de verweerder: 76. Verweerder klaagt dat de Inspectiedienst voor zijn vaststellingen een bepaald softwareprogramma heeft gebruikt zonder te vermelden welk programma. Verweerder betreurt dat hij de methodologie zelf heeft moeten afleiden uit de resultaten van het onderzoek. Uit de presentatie van de resultaten blijkt dat de gebruikte software de door de EDPS gepubliceerde WEC-software (website evidence collector) is». Verweerder bekritiseert de keuze van deze software omdat het gaat om een “beta2-versie (versie 0.3.1) die per definitie niet dezelfde garanties biedt als een versie die door de uitgever als Beslissing ten gronde 103/2022 - 39/76 definitief wordt beschouwd. De definitieve versie van de software (1.0.0.) wordt gepubliceerd op 07 januari 2021, d.w.z. één jaar na de vaststellingen”. 77. Tijdens de hoorzitting verklaarde de digitale directeur van Rossel verbaasd te zijn over de klacht dat de informatie op de site onjuist in het Engels was weergegeven, en verklaarde dat het bedrijf ervoor had gezorgd dat de hele keten van informatie in het Frans correct was. Hij preciseert dat toen Rossel de gebruikte methodologie begreep, en opnieuw testte met de WEC in het Engels, de resultaten anders waren. Hij verklaarde daarom dat het verschijnen van informatie in het Engels op zijn site, volgens de inspectieverslagen, te wijten was aan het gebruik van Engelse WEC-software. Verder verklaart hij dat hij de in het inspectieverslag aangetroffen zaken niet met deze software heeft kunnen weergeven. o 78. Artikel Antwoord van de Inspectiedienst : 64, §2 van de Wet van 03/12/2017 houdende oprichting van de Gegevensbeschermingsautoriteit stelt dat in de uitvoering van hun bevoegdheden als bedoeld in dit hoofdstuk, de inspecteur-generaal en de inspecteurs ervoor [zorgen] dat de middelen die zij aanwenden passend en noodzakelijk zijn”. Met betrekking tot de gebruikte versie van de WEC-software vermeldt de Inspectiedienst de redenen waarom hij van mening is dat het gebruik van een Beta-versie van de WEC-software geschikt was voor het doen van de vaststellingen : ▪ “De Beta-versie betekent de door of voor de Ontwikkelaar geschreven versie van het product, die , een volledig softwarepakket is met alle kenmerken van het uiteindelijke kwaliteitsproduct zoals gespecificeerd in de Specificatie 48, plus de integratie van verbeteringen, herstellingen en eventuele andere fouten die tijdens het testen van de Alfa-versie van het product zijn vastgesteld. ▪ De Beta-versie is een versie die klaar is om door de uitgever te worden getest als onderdeel van zijn kwaliteitsverzekering en de ontwikkelaar is bereid fouten te corrigeren die door de uitgever tijdens zijn "QA"-testen kunnen worden gevonden. Het bevat tevens de informatie en gebruiksaanwijzingen die de uitgever redelijkerwijs nodig heeft om de productie van een gebruikershandleiding in de oorspronkelijke taal te voltooien. De wijzigingen tussen de versies 0.3.1 en 1.0.0 zijn toevoegingen van functies en bugfixe. 48 Zie de definitie van een bètaversie uit https://www.lawinsider.com/dictionary/beta-version. de bron die de ID verstrekte in zijn hoorzittingnota : Beslissing ten gronde 103/2022 - 40/76 ▪ In de context van een analyse- en opsporingsinstrument zou een disfunctie van dien aard zijn dat waarnaar wordt gezocht niet wordt ontdekt en opgemerkt, in dit geval namelijk het deponeren van cookies. Dit zou automatisch in het voordeel zijn van de concluderende partijen, aangezien de ingestelde cookie niet zou worden gedetecteerd en niet andersom, d.w.z. een niet-bestaande cookie zou worden gedetecteerd. Dat is hier het geval, of het gebruikte middel nu ad hoc software is of een bètaversie”. 79. Tijdens de hoorzitting heeft de technisch deskundige van de Inspectiedienst ook verklaard dat het gebruik van een van beide talen voor de uitvoering van de vaststellingen geen invloed had op het resultaat van het onderzoek en de vaststellingen betreffende het plaatsen van cookies op de computer van de gebruiker. ▪ Titel 3 van het aanvullend verslag: over de betrouwbaarheid van menselijke vaststellingen o Argumenten van de verweerder : 80. Verweerder stelt dat de menselijke vaststellingen onbetrouwbaar zijn, omdat "de inspecteur zijn technische vaststellingen heeft aangevuld met menselijke controles, maar zonder de datum van deze controles te vermelden, noch de gebruikte omgeving (het type en de taal van de browser, de versie van het besturingssysteem, de geïnstalleerde software, de details van de machine en de verbinding, de aan- of afwezigheid van een proxy, de methode die wordt gebruikt om cookies te wissen) vóór de vaststelling om er zeker van te zijn dat er geen sprake is van inmenging, enz;” o Antwoord van de Inspectiedienst: 81. De technische vaststellingen werden uitgevoerd door gecertificeerde inspecteurs: - in de audit van informatiesystemen sinds maart 2010 (CISA) - in risico- en informatiesystemen controle sinds juni 2011 (CRISC) - in informatiebeveiligingsbeheer sinds oktober 2012 (CISM) - in het ontwikkelen van privacyvriendelijke oplossingen sinds februari 2021 (CDPSE). 82. De data van de vaststellingen zijn metadata van de gegenereerde bestanden, waarvan de SHA256 afdrukken kunnen worden vergeleken om de integriteit van het bewijsmateriaal te waarborgen. ▪ Titel 4 van het aanvullend verslag: over het aantal gedane vaststellingen Beslissing ten gronde 103/2022 - 41/76 o Argumenten van de verweerder : 83. Verweerder is van mening dat één enkele vaststelling onvoldoende is: “Gezien het onderwerp en de gestelde vragen was het logisch om meerdere vaststellingen te doen, gespreid over een periode die lang genoeg was om representatief te zijn. Alleen door herhaalde waarnemingen in de tijd op basis van verschillende omgevingen kan een relevante analyse worden uitgevoerd”. o Antwoord van de Inspectiedienst : 84. “Op 08/01/2020 heeft een inspecteur met een geautomatiseerd instrument (de Web Evidence Collector) op een Linux-machine een verslag gemaakt voor Le Soir, Sudinfo en Sudpressedigital en op 20/01/2020 heeft een tweede inspecteur op een Windows10machine een verslag gemaakt voor de analyse van de geplaatste cookies. De andere manuele waarnemingen werden gedaan tussen 14/01/2020 en 14/02/2020 voor Le Soir, tussen 14/01/2020 en 03/02/2020 voor Sudinfo en tussen 14/01/2020 en 10/03/2020 voor Sudpressedigital”. 85. Tijdens de hoorzitting heeft de technisch deskundige van de Inspectiedienst verklaard dat de Inspectiedienst op één station een geautomatiseerde methode heeft gebruikt, gecombineerd met een handmatige aanpak in een tweede fase op een ander station, om vertekening te voorkomen. Zeggen dat de vaststellingen op een bepaald tijdstip zijn gedaan en dat het verslag enkele maanden later komt, gaat voorbij aan het feit dat de vaststellingen in reeksen zijn gedaan en dat de verslagen achteraf zijn geschreven. Daarom zijn de bestanden met de vaststellingen ondertekend, wat volgens de Inspectiedienst voldoende garantie biedt voor de kwaliteit van de vaststellingen. ▪ Titel 5.2 van het aanvullend verslag: over de betrouwbaarheid van de vaststellingen o Argumenten van de verweerder 86. “De verweerder [...] het grondrecht ontnomen om de vaststellingen die ten grondslag liggen aan het onderzoeksverslag en de vervolging te kunnen verifiëren, hetgeen een flagrante schending is van hun recht op een eerlijk proces”. o Antwoord van de Inspectiedienst 87. “Als zij goede IT-beheerpraktijken zouden volgen, zoals bijvoorbeeld ITIL V3, zou het veranderingsbeheerproces hen in staat stellen de omgeving te reconstrueren om hun Beslissing ten gronde 103/2022 - 42/76 eigen tests uit te voeren en de feiten (vaststellingen) te vergelijken met deze die door de inspectiedienst worden genoemd. De Inspectiedienst kan niet verantwoordelijk worden gesteld voor het onvermogen van de ondervraagden om hun veranderingen te beheren en hun onvermogen om de omgeving te reproduceren op het moment van de bevindingen”. 88. Tijdens de hoorzitting verklaarde de technisch deskundige van de Inspectiedienst dat, aangezien de informatie betreffende de omgeving niet in de verslagen was gespecificeerd, de Inspectiedienst ervoor had gekozen te vertrouwen op de informatie in de gevonden ruwe informatie en niet het risico of de tijd te nemen om deze informatie op te nemen in de samenvatting van de vaststellingen (technisch verslag). o Beslissing van de Geschillenkamer: 89. De Geschillenkamer kan niet instemmen met de stelling van verweerder dat de procedure nietig is om redenen die verband houden met het taalgebruik en/of de motivering van de verwijzing en/of de onzekerheden van het juridisch kader met betrekking tot cookies en/of de door de Inspectiedienst voor de vaststellingen gebruikte methodiek. 90. Met betrekking tot het verzoek tot vernietiging van stukken op de grond dat het onderzoek van de Inspectiedienst niet volgens de regels van de kunst is uitgevoerd, verduidelijkt de Geschillenkamer dat het niet haar taak is om de kwaliteit van de onderzoekshandelingen te beoordelen buiten een marginale beoordelingsbevoegdheid, die bestaat in een controle van het normaal voorzichtige en redelijke karakter van de onderzoeken van de Inspectiedienst49. Als instantie voor de beslechting van administratieve geschillen kan de Geschillenkamer in het kader van haar discretionaire bevoegdheden onderzoeken of de administratie, via de Inspectiedienst, de haar toegekende bevoegdheid binnen de grenzen van de wettigheid heeft uitgeoefend en met name geen kennelijke beoordelingsfout heeft gemaakt. 91. In dit verband verwijst de Geschillenkamer naar artikel 72 WOG dat bepaalt dat de Inspecteur-generaal en de inspecteurs mogen ”overgaan tot elk onderzoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij nodig achten om zich ervan te vergewissen dat de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens, waarop zij toezicht uitoefenen, werkelijk worden nageleefd”. 49 Hof van Beroep Brussel (Marktenhof) 7 juli 2021,( 2021/AR/320), blz. 18. Beslissing ten gronde 103/2022 - 43/76 92. Artikel 67 van de WOG bepaalt met name “De onderzoeksmaatregelen kunnen aanleiding geven tot een proces-verbaal tot vaststelling van een inbreuk. Dat proces-verbaal heeft bewijskracht tot het tegendeel bewezen is”. 93. De door de Inspectiedienst in het kader van de WOG verrichte handelingen zijn administratieve handelingen. Verweerder betoogt dat hij zich door de wijze waarop de inspectieverslagen zijn opgesteld, niet naar behoren kan verdedigen in de procedure voor de Geschillenkamer. Verweerder beroept zich op de ontoereikende kwaliteit van de door de Inspectie verrichte onderzoekshandelingen, met name het gebruik van de bètaversie van een software die de plaatsing van cookies op de sites van verweerder detecteert, of het gebrek aan betrouwbaarheid van de door de Inspectie verrichte handmatige onderzoeken wegens hun unieke karakter, en het gebrek aan details over de technische omgeving van deze vaststellingen (type en taal van de browser, OS-versie, geïnstalleerde software, details van de machine en de verbinding, aan- of afwezigheid van proxy, gebruikte methode om cookies te wissen vóór de vaststelling om ervoor te zorgen dat er geen interferentie is). 94. In dit verband preciseert de Geschillenkamer dat een onderscheid moet worden gemaakt tussen de verplichting tot materiële en formele motivering van administratieve handelingen, waarbij de verplichting tot materiële motivering een beginsel van behoorlijk bestuur is, terwijl de verplichting tot formele motivering uit de wet voortvloeit en geen beginsel van behoorlijk bestuur vormt 50. De Inspectiedienst is niet wettelijk verplicht dergelijke details over de technische omgeving van de vaststellingen te verstrekken. Het staat dus aan de Geschillenkamer om na te gaan of de motiveringsplicht volledig is nagekomen, dat wil zeggen of verweerder in de handelingen van de Inspectiedienst de redenen kan vinden waarop de materiële vaststellingen van de Inspectiedienst zijn gebaseerd, zodat hij zijn verweer kan voorbereiden. Het is vervolgens aan de Geschillenkamer om haar eigen beslissing, die is gebaseerd op de vaststelling van de Inspectiedienst, met inachtneming van de formele en materiële motiveringseisen te motiveren. De Belgische wetgever heeft deze controle uitdrukkelijk beperkt tot een marginaal onderzoek, aangezien hij het aan de Inspecteur-generaal en zijn inspecteurs overlaat zich ervan te vergewissen dat de middelen die zij aanwenden passend en noodzakelijk zijn. (artikel 64, § 2 WOG). In dit verband is het van belang dat de vaststellingen worden ondersteund door juridisch en feitelijk verifieerbare redenen 51, zonder dat dit een verplichting inhoudt om de gevolgde methode in detail toe te lichten. 95. Voor het overige verwijst de Geschillenkamer, wat betreft de documenten waarvan werd verzocht deze buiten beschouwing te laten wegens niet-naleving van de technische 50 I. Opdebeek & S. De Somer, Algemeen Bestuursrecht (2de uitgave), 2019, blz. 436, § 949. 51 I. Opdebeek et A. Colsaet, Justification formelle des actes administratifs, 2013, blz.. 435, § 944. Beslissing ten gronde 103/2022 - 44/76 voorschriften, naar de uitleg van de Inspectiedienst in zijn nota voor de hoorzitting, die is gebaseerd op artikel 48 van het Reglement van interne orde en die vooraf aan verweerder is meegedeeld om hem in staat te stellen zijn verweer ter zake te voeren. Uit het procesverbaal van de hoorzitting blijkt dat verweerder deze nota heeft kunnen lezen en zijn antwoord ter zake vóór de zitting heeft kunnen voorbereiden. 96. Wat ten slotte de bewijslast betreft dat de door verweerder geplaatste cookies inderdaad strikt noodzakelijke of aanvaarde cookies zijn, herinnert de Geschillenkamer verweerder aan zijn "verantwoordingsplicht" krachtens artikel 24 van de AVG: “Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd”. 97. Tijdens de hoorzitting benadrukte de verweerder dat zijn plicht om zijn eigen website met betrekking tot cookies te inventariseren en te documenteren niet zo gedetailleerd is als die van een transactie- of banksite52. De Geschillenkamer is bereid rekening te houden met de specifieke kenmerken van mediasites in dit verband, maar stelt vast dat verweerder in geen enkel stadium van de procedure een lijst van de ten tijde van het onderzoek gebruikte inspectieverslagen over de plaatsing van cookies op de eindapparatuur van de gebruikers en de verzoeken van de Geschillenkamer in het kader van een uitnodiging om te concluderen om de noodzaak van deze cookies te rechtvaardigen. De Geschillenkamer neemt ook nota van de verduidelijkingen die de Inspectiedienst in dit verband in zijn nota voorafgaand aan de hoorzitting heeft gegeven: «Als zij goede IT-beheerpraktijken zouden volgen, zoals ITIL V3, zou het veranderingsbeheerproces hen in staat stellen de omgeving te reconstrueren om hun eigen tests te doen en de feiten (vaststellingen) in te brengen om de door de inspectiedienst genoemde feiten te weerleggen. De Inspectiedienst kan niet verantwoordelijk worden gesteld voor het onvermogen van de verweerders om hun veranderingen te beheren en hun onvermogen om de omgeving te reproduceren op het moment van de vaststellingen”. 98. Het is niet aan de Geschillenkamer om de technische beoordeling van de Inspectiedienst met betrekking tot de door de AVG vereiste stand van de techniek van het inventariseren en documenteren van de door websites gebruikte cookies in twijfel te trekken, gelet op de grenzen van haar marginale controle op de onderzoekshandelingen van de Inspectiedienst. 52 Zie PV van de hoorzitting, blz. 6. Beslissing ten gronde 103/2022 - 45/76 99. De Geschillenkamer merkt op dat de Inspectiedienst binnen het wettelijke kader van de WOG vrij is in de keuze van zijn onderzoeksmethoden. Alleen een marginale toetsing van de eventuele niet-naleving van de beginselen van behoorlijk bestuur (bijvoorbeeld het ontbreken van misbruik van bevoegdheid), quod non in dit geval, kan door de Geschillenkamer worden verricht. ➢ Onzekerheden in het rechtskader 100. Verweerder beroept zich ten slotte op de onzekerheid van het rechtskader met betrekking tot de volgende hypotheses die Inspectiedienst aanvoert als aanwijzingen voor een inbreuk, en verzoekt om seponering wegens gebrek aan rechtsgrondslag op deze punten : o Geen enkele derdepartijcookie zou waarschijnlijk van toestemming zijn vrijgesteld ; o ‘further browsing’ zou de toestemming van de bezoeker niet garanderen; o op legitiem belang en zouden dus nog steeds onderworpen zijn aan toestemming. 101. In dit verband verwijst de Geschillenkamer naar de onderstaande punten waarin het toepasselijke rechtskader uitvoerig wordt toegelicht. De Geschillenkamer onderstreept ook dat volgens het verantwoordingsbeginsel (artikel 24 van de AVG), het de verantwoordelijkheid van de verweerder is om ervoor te zorgen en te kunnen aantonen dat de verwerking van via cookies verzamelde gegevens in overeenstemming met de AVG wordt uitgevoerd, ongeacht de mogelijke onzekerheden in verband met bepaalde aspecten van de tenuitvoerlegging van de AVG. II.5. Ten gronde ▪ Vaststelling 1: plaatsing van niet strikt noodzakelijke cookies alvorens de toestemming werd verkregen o Inspectieverslag: 102. De Inspectiedienst constateert het plaatsen van cookies voordat betrokkenen toestemming hebben kunnen geven, waaronder derdepartijcookies. 103. Voor het plaatsen en/of uitlezen van cookies is toestemming van de betrokkene vereist, tenzij kan worden aangetoond dat zij strikt noodzakelijk zijn (artikel 6, lid 1, onder a), van Beslissing ten gronde 103/2022 - 46/76 de AVG juncto artikel 129 van de WEC). De Inspectie verwijst in dit verband naar de uitleg van het begrip toestemming in het arrest "Planet 49" van het Hof van Justitie53. 104. De Inspectiedienst verwijst naar de volgende definitie van "strikt noodzakelijke" cookies op de website www.gdpr.eu, gefinancierd door de Europese Unie in het kader van het programma Horizon 2020 : « Strictly necessary cookies - These cookies are essential for you to browse the website and use its features, such as accessing secure areas of the site. Cookies that allow web shops to hold your items in your cart while you are shopping online are an example of strictly necessary cookies. These cookies will generally be firstparty session cookies. While it is not required to obtain consent for these cookies, what they do and why they are necessary should be explained to the user. 54’ » 105. Het inspectieverslag merkt op dat onder de aanwezige cookies "gedragscookies " zijn en verwijst daarbij qua definitie naar de terminologie in het eigen cookiebeleid van de websites (de Autoriteit vertaalt): «Met de cookies in deze categorie kunnen we advertenties aanbieden die relevant zijn en aansluiten bij de interesses van onze gebruikers. Zij streven ernaar hun surfervaring te verbeteren en te personaliseren ». Deze cookies omvatten Outbrain en Rubicon voor Sudinfo en Le Soir, 55 Doubleclick voor Sudpresse Editions Digitales, evenals cookies voor sociale netwerken (Facebook) en statistische cookies (Google Analytics, Gemius). 106. Deze cookies die vóór toestemming op de betrokken sites worden geplaatst, zijn : ▪ derdepartijcookies omdat ze “geplaatst zijn door een ander domein dan deze die door de gebruiker wordt bezocht”; ▪ en "niet noodzakelijk" zijn in die zin dat dergelijke cookies het "doorgaans" mogelijk maken het gedrag van internetgebruikers op verschillende websites te volgen en op basis van deze gegevens profielen van personen op te stellen (profilering), met name om preciezere en meer gerichte marketing te kunnen toepassen wanneer deze aldus getraceerde internetgebruiker in de toekomst surfen, met name wanneer het gaat om 107. De Inspectiedienst stelt vast dat verweerder niet het bewijs heeft geleverd van het noodzakelijke karakter van elke cookie waarop de vaststellingen betrekking hebben, en 53 HvJEU, 1 oktober 2019, Planet49, C-673/17, ECLI:EU:C:2019:801. 54 De Geschillenkamer merkt op dat er geen officiële definitie van de verschillende soorten cookies bestaat in de Belgische of Europese wetgeving en neemt kennis van de uitleg die de Inspectiedienst geeft op basis van de beschikbare bronnen. 55 Inspectieverslag, blz. 16. Beslissing ten gronde 103/2022 - 47/76 concludeert dat er sprake is van een inbreuk op artikel 6.1.
- a)van de AVG en op artikel 129 WEC56. o Standpunt van de verweerder 108. Verweerder betwist niet dat bij sommige van de door de Inspectiedienst aangetroffen vanwege de voor het onderzoek gebruikte methodiek (een vaststelling in een reële sitautie zou een ander resultaat hebben opgeleverd, aldus verweerder). 109. Verweerder betwist dat “de cookie die toestemming ontwijkt noodzakelijkerwijs een eerstepartijcookie [is]: geen enkele derdepartijcookie zal waarschijnlijk onder de vrijstelling vallen”. Dit vermoeden volstaat niet om vast te stellen dat de betrokken in verband staan met de door de site verleende dienst, aldus verweerder. 110. Verweerder betoogt dat sommige van de cookies die voorafgaand aan de toestemming worden geplaatst, statistische cookies zijn, waarvoor volgens verweerder geen toestemming nodig is. (Verweerder legt in dit verband een brief van de sector aan de voorzitter van de Gegevensbeschermingsautoriteit van 26 november 2020 over, waarin sectorvertegenwoordigers van Belgische digitale ondernemingen die met name actief zijn op het gebied van onlinereclame, om verduidelijking vragen met betrekking tot de regels die van toepassing zijn op analytische cookies 57). o Beslissing van de Geschillenkamer: 111. Wat de aanwezigheid van onnodige cookies voorafgaand aan de toestemming betreft, neemt de Geschillenkamer nota van de prejudiciële erkenning door verweerder dat op de onderzochte websites bepaalde onnodige cookies worden geplaatst voorafgaand aan de toestemming van de internetgebruiker. 112. Met betrekking tot het argument van verweerder dat voor statistische cookies toestemming vereist is, en de procedurele weerleggingen van de vaststellingen van de Inspectiedienst, verwijst de Geschillenkamer van de zaak naar haar bovenstaande ontwikkelingen ter ondersteuning van de gedane vaststellingen. ➢ Verduidelijking voor wat betreft eerstepartij- en derdepartijdcookies 56 Zie de analyse van de Geschillenkamer over de bevoegdheid van de GBA inzake cookies in haar beslissing ten gronde 12/2019 van 17 december 2019, blz. 17-20, beschikbaar op de webpagina https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/BETG_12-2019_NL.pdf. . 57 Stuk 9 van de verweerder (brief ACC, BAM, BeCommerce, etc. aan GBA, 26 november 2020. Beslissing ten gronde 103/2022 - 48/76 113. Met betrekking tot de gevolgen van de herkomst van de betrokken cookies preciseert de Geschillenkamer dat de kwalificatie van een cookie als "derde partj " of "eerste partij" in beginsel geen direct causaal verband impliceert met de al dan niet noodzaak van de aannemelijk is dat veel cookies van derden niet als noodzakelijk kunnen worden aangemerkt omdat zij het mogelijk zouden kunnen maken personen te volgen voor de eigen doeleinden van de derde rechtspersoon. 114. Zoals de Geschillenkamer in haar eerste beslissing over cookies heeft gesteld, verduidelijkt zij dat de kwalificatie van een cookie als "derde partij" of "eerste partij" volgens haar "een nauwkeurige analyse van de betrokken website en van de onderliggende IT- en juridische omgeving vereis”58. 115. In dit verband herinnert de Geschillenkamer eraan dat vanuit het oogpunt van haar bevoegdheid, namelijk het toezicht op de verwerking van persoonsgegevens, en zoals uiteengezet door Groep 29 middels Advies 04/2012 van 7 juni 2012 over de vrijstelling van toestemming voor cookies, het begrip "derdepartijcookies" of "eerstepartijcookies" alleen relevant is voor zover het verwijst naar het juridische onderscheid tussen cookies die worden geplaatst door een verantwoordelijke die identiek is aan de verantwoordelijke voor de bezochte site (eerstepartijcookie) versus cookies die door een afzonderlijke verantwoordelijke worden geplaatst (derdepartijcookie) 59. Met name moet worden vastgesteld of persoonsgegevens al dan niet worden verwerkt door entiteiten die als "verwerkers" voor de website optreden voor doeleinden die strikt noodzakelijk zijn voor de door de website verleende dienst, of als verwerkingsverantwoordelijken van gegevens voor hun eigen doeleinden60. Het technische onderscheid tussen cookies geplaatst door de eigenaar van de website en cookies geplaatst door een derde domein zegt op zich niets over de rol van de verschillende partijen die betrokken zijn bij de verwerking van cookies. 58 Geschillenkamer, Beslissing 12/2019 van 17 december 2019, blz. 34. WP29, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, goedgekeurd op 7 juni 2012, blz. 4: “De term “cookie van derden” kan misleidend zijn: in het kader van de gegevensbescherming in de EU wordt in Richtlijn 95/46/EG onder “derde” verstaan: “de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam, niet zijnde de betrokkene, noch de voor de verwerking verantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de voor de verwerking verantwoordelijke of de verwerker gemachtigd zijn om de gegevens te verwerken». Een “cookie van derden” zou dus een cookie zijn dat is geplaatst door een andere voor de verwerking verantwoordelijke dan die welke de door de gebruiker bezochte website exploiteert (zoals blijkt uit de URL die in de adresbalk van de browser te zien is); voor de browser wordt het begrip “derde” echter uitsluitend geïdentificeerd aan de hand van de structuur van de URL die in de adresbalk van de browser wordt weergegeven. "Cookies van derden” zijn in dit geval echter cookies die geplaatst zijn door een website die tot een ander domein behoort dan het domein dat in de adresbalk wordt weergegeven, ongeacht of er sprake is van een andere voor de verwerking verantwoordelijke Hoewel deze twee noties elkaar vaak overlappen, zijn zij niet altijd gelijkwaardig. In dit advies volgen we de eerste aanpak: we gebruiken “cookie van derden” voor cookies die geplaatst worden door een andere voor de verwerking verantwoordelijke dan de voor de verwerking verantwoordelijke die de bezochte website exploiteert. De term “cookie van de eerste partij” wordt gebruikt voor een cookie dat is geplaatst door de voor de verwerking verantwoordelijke (of een daaraan gelieerde verwerker) die de door de gebruiker bezochte website exploiteert (zoals blijkt uit de URL die in de adresbalk van de browser te zien is.)» 59 60 Geschillenkamer, Beslissing 12/2019 van 17 december 2019, blz. 34. Beslissing ten gronde 103/2022 - 49/76 116. Het wettelijke onderscheid tussen "derde partij" en "eerste partij" cookies kan echter een parameter zijn bij de beoordeling of een cookie strikt noodzakelijk is voor de levering van een dienst61: Eerstepartijcookies zijn inderdaad veel vaker noodzakelijk en vrijgesteld van toestemming dan derdepartijcookies. In dit verband volgt de Geschillenkamer het standpunt van de Inspectiedienst dat cookies van derden "over het algemeen" niet strikt noodzakelijk zijn voor het bezoek van de site door de gebruiker, aangezien zij over het algemeen gekoppeld zijn aan een andere dienst dan die waarom de gebruiker uitdrukkelijk heeft verzocht62. 117. De Geschillenkamer onderschrijft ook de conclusie van de Groep 29 (de Autoriteit vertaalt) : afgezien van de vraag welke entiteit verantwoordelijk is voor het plaatsen van de cookies, is het doel van de verwerking van de door de cookie verzamelde gegevens het doorslaggevende element bij deze kwalificatie of een cookie al dan niet wordt beschouwd als "strikt noodzakelijk" voor het verlenen van een dienst 63. 118. Ongeacht de herkomst van elke cookie waarop de vaststellingen betrekking hebben, d.w.z. eerste of derde partij, is het aan de verweerder om de noodzaak ervan aan te tonen. Aangezien dit bewijs niet werd geleverd, concludeert de Geschillenkamer dat er sprake is van schending van artikel 6.1.a van de AVG en van artikel 129 WEC. 119.Zoals vermeld in haar eerste cookiebeslissing 12/2019 van 17 december 201964, is er bij de huidige stand van het recht geen wettelijke uitzondering op toestemming voor "eerste partij analyse cookies", zodat voorafgaande toestemming voor het plaatsen van dergelijke cookies wel degelijk vereist is. In dit verband verwijst de Geschillenkamer naar een advies van de Commissie voor de bescherming van de persoonlijke levenssfeer, die in haar richtsnoeren inzake cookies stelt dat het “aan de wetgever is om de problematiek op te helderen van de niet-vrijstelling van de toestemming van de gebruikers in verband met de cookies voor analyse van de herkomst."65 120. In zijn eerste bovengenoemde cookiebeslissing 12/2019 sloot de Geschillenkamer niet uit dat eerste of derde statistische cookies "noodzakelijk kunnen zijn om een door de betrokkene gevraagde dienst (bijvoorbeeld informatief) te verlenen bijvoorbeeld om surfproblemen op te sporen". De Inspectiedienst herinnert in haar verslag aan dit beginsel66. De Inspectiesienst is van oordeel dat daarvan in het onderhavige geval geen 61 Groep Gegevensbescherming artikel 29, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, goedgekeurd op 7 juni 2012, blz. 5 . 62 Ibid. 63 Ibid. 64 Geschillenkamer Beslissing 12/2019 van 17 december 2019. 65 CBPL, Aanbeveling uit eigen beweging nr. 01/2015 van 4 februari 2015 betreffende het gebruik van cookies, ibid, punt 311, blz. 64, https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/aanbeveling_01_2015_2015.pdf. 66 Insepctieverslag, stuk 13 van het GBA-dossier, blz. 21. Beslissing ten gronde 103/2022 - 50/76 sprake is en verweerder geen bewijs levert van een dergelijke noodzaak voor de statistische cookies die zonder toestemming op zijn site zijn geplaatst. Het ontbreken van richtsnoeren ter zake in België heeft geen juridische gevolgen, gelet op de in artikel 24 van de AVG vastgelegde verantwoordelijkheid van de verwerkingsverantwoordelijken om de rechtmatigheid en de geschiktheid van de door hen verrichte gegevensverwerking aan te tonen. Zo beroept verweerder zich niet op de noodzaak om analytische cookies te plaatsen om te voldoen aan wettelijke of contractuele verplichtingen, zoals een met een publieke media-instantie gesloten beheersovereenkomst die de media verplicht hun publiek te analyseren 67. Voor zover een publieksmetingscookie strikt noodzakelijk is om aan een wettelijke verplichting te voldoen (om de omvang van het publiek te meten), is de naleving van die verplichting noodzakelijk om de door de gebruiker gevraagde dienst te verlenen (mits kan worden aangetoond dat de cookie geen gegevens verwerkt die verder gaan dan wat nodig is om aan die verplichting te voldoen). In een dergelijk geval zou het gebruik van cookies voor publieksanalyse, onder voorbehoud van een onderzoek van de precieze voorwaarden die de Belgische wet aan de media oplegt 68, als noodzakelijk voor de levering van de openbare dienst kunnen worden beschouwd, op voorwaarde dat de betrokken media aantonen dat, rekening houdend met de bijzondere omstandigheden van de verwerking (bijvoorbeeld de voorwaarden van hun beheerscontract), de geplaatste cookies noodzakelijk en evenredig zijn om te voldoen aan de verplichting om dergelijke cookies te plaatsen teneinde te voldoen aan een wettelijke verplichting voor de door de gebruiker van de betrokken technologie gevraagde dienst. Dit werd hier niet aangetoond. 121. Sommige gegevensbeschermingsautoriteiten hebben voorwaarden ontwikkeld waaronder trackers voor publieksmeting kunnen worden vrijgesteld van toestemming. De Geschillenkamer verwijst er in alle transparantie naar in haar beslissingen, zonder evenwel gebonden te zijn aan het standpunt van een Europese tegenhanger (zie met name de praktische fiche die de CNIL ter zake heeft opgesteld69 en waarnaar met name wordt verwezen in beslissing 11/2022 van 21 januari 2022 van de Geschillenkamer) 70. 122. De Geschillenkamer is immers verplicht een autonome interpretatie te geven, omdat op Europees niveau geen geharmoniseerde norm wordt opgelegd met betrekking tot een of ander type cookie, zoals statistische of analytische cookies. 67 Zie bijvoorbeeld de uitleg die de RTBF op haar website geeft over de commerciële advertenties die worden georganiseerd in het beheerscontract dat met de publieke controle-instantie is gesloten volgens een besluit van de regering van de Franse Gemeenschap dat in het Belgisch Staatsblad van 12 december 2018 is gepubliceerd (https://www.rtbf.be/article/commentfonctionne-la-publicite-a-la-rtbf-10910493). 68 Ibid. 69 https://www.cnil.fr/fr/cookies-et-traceurs-comment-mettre-mon-site-web-en-conformite. 70 Geschillenkamer, beslissing 11/2022 van 21 januari 2022, voetnoet 10. Beslissing ten gronde 103/2022 - 51/76 123. Hoewel Groep 29 al in 2012 een genuanceerd standpunt heeft ingenomen over het toestemmingsvereiste voor statistische cookies van de eerste partij. De Groep 29 is duidelijk van mening dat "analytische cookies van de eerste partij" niet zijn vrijgesteld van het toestemmingsvereiste, aangezien zij niet strikt noodzakelijk zijn om een strikt noodzakelijke of uitdrukkelijk door de gebruiker van de computerapparatuur gevraagde functionaliteit te bieden. De Groep 29 preciseert zelfs dat deze gebruiker zonder problemen toegang kan krijgen tot alle functies die de website biedt, ook als dergelijke analytische eerstepartijcookies privacyrisico opleveren, indien zij strikt word en beperkt tot geaggregeerde statistieken ten behoeve van de website-exploitant en worden ingezet door websites die in hun privacybeleid al duidelijke informatie geven over deze 124. Bij die gelegenheid preciseerde de Groep 29 verder nog dat "Mocht artikel 5, lid 3, van Richtlijn 2002/58/EG worden herzien, dan is het passend dat de Europese wetgever overweegt een derde ontheffingscriterium toe te voegen voor cookies die strikt beperkt zijn tot cookies van de eerste partij ten behoeve van geanonimiseerde en geaggregeerde statistieken. Analyses door de website-exploitant zelf moeten duidelijk worden onderscheiden van analyse door derden; laatstgenoemde maken gebruik van een gemeenschappelijk cookie voor het verzamelen van gegevens over de wijze waar op de gebruiker van website naar website navigeert, en leveren daardoor een veel groter privacyrisico op”72. 125. In dit verband kan de Geschillenkamer niet vooruitlopen op de uitkomst van de debatten over een mogelijke toekomstige wijziging en versoepeling op Europees niveau van de regels van de e-privacyrichtlijn. De Geschillenkamer heeft evenwel nota genomen van de verzoeken om verduidelijking die verschillende actoren uit de onlinereclame sector aan het Directiecomité van het GBA hebben gericht. Met deze beslissing vestigt de Geschillenkamer de aandacht van het Directiecomité van de GBA op het probleem van de analytische cookies, waarvoor nog geen geharmoniseerde aanpak op EDPB-niveau bestaat, en het is aan het Directiecomité om via de werkgroepen van de EDPB de nodige uitleg en verduidelijking te vragen, teneinde richtsnoeren te verstrekken die door alle betrokken actoren goed begrepen en aanvaard worden met betrekking tot trackingtechnologieën voor analytische doeleinden. De Geschillenkamer sluit niet uit dat dergelijke beslissingen in de toekomst aan de coherentiemechanismen van de EDPB worden voorgelegd. Onder de huidige stand van de Europese en Belgische wetgeving 71 Groep Gegevensbescherming artikel 29, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, 7 juni 2012, WP194, blz. 11. 72 Groep Gegevensbescherming, artikel 29 Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, 7 juni 2012, WP194, blz.12. Beslissing ten gronde 103/2022 - 52/76 inzake het plaatsen van cookies, die de GBA thans uitdrukkelijk belast is met het toezicht op en de interpretatie van die wetgeving, is voor het plaatsen van analytische cookies nog steeds toestemming vereist, zodat het gebrek aan toestemming een inbreuk vormt op artikel 6 en artikel 7 juncto artikel 4.11 van de AVG, gelezen in samenhang met artikel 129 van het WEC. 126. In dit geval bevat het bij de Geschillenkamer ingediende dossier geen enkel bewijs dat de toestemming van de gebruikers van de site is verkregen vóór de plaatsing van analytische cookies. 127. De Geschillenkamer oordeelde dan ook dat verweerder artikel 6.1.a van de AVG had geschonden door onnodige cookies, waaronder analytische cookies, te plaatsen voordat toestemming was verkregen. 128. De Geschillenkamer zal bij het bepalen van de sanctie rekening houden met het feit dat verweerder verklaart dat hij inmiddels een toestemmingsoplossing heeft ontwikkeld die een rechtsgrondslag biedt voor het plaatsen van statistische cookies zonder voorafgaande toestemming op zijn sites 73. ▪ Vaststelling 2: gebruik van ‘further browsing’ o Het Inspectieverslag 129. Uit het verslag van de technische analyse blijkt dat de websites van Sudinfo, Le Soir en Sudpresse Editions Digitales de techniek van "further browsing" gebruiken om vooraf toestemming te verkrijgen voor het plaatsen van cookies, door middel van een vluchtige 130. Deze banner verdwijnt als de gebruiker verder surft zonder enige actie te ondernemen. Een screenshot van " Sudinfo.be " wordt ter illustratie gegeven. 131. In het inspectierapport zelf staat dat voortdurend browsen niet kan worden beschouwd als een geldige toestemming in de zin van artikel 4.11 van de AVG voor het plaatsen en uitlezen van cookies die niet strikt noodzakelijk zijn. Volgens deze bepaling moet de toestemming bestaan uit «een ondubbelzinnige wilsuiting» die niet kan worden afgeleid uit het loutere feit dat de internetgebruiker verder surft. Het stilzwijgen of de inactiviteit van de betrokkene, alsmede het enkele feit dat hij gebruik blijft maken van een dienst, kan niet worden beschouwd als een actieve indicatie van keuze, aldus de Inspectiedienst, die in dit geval verwijst naar de Richtsnoeren inzake toestemming in de zin van Groep 73 Eindconclusies van verweerder, blz. 25. Beslissing ten gronde 103/2022 - 53/76 2974, Verordening 2016/679 en de EDPB Richtsnoeren 05/2020 inzake toestemming 75. De Inspectie herinnert er in dit verband aan dat het arrest "Planet49" van het Hof van Justitie van de Europese Unie het vereiste van toestemming voor het plaatsen van overweging 32 van de verordening uitdrukkelijk toestemming uitsluit in geval van stilzwijgen of standaard aangevinkte vakjes of inactiviteit. 132. Door deze praktijk van "further browsing" merkt de Inspectiedienst ook op dat de verwerkingsverantwoordelijke niet voldoet aan de verplichting van artikel 7.1 van de AVG, dat bepaalt dat hij moet aantonen dat de betrokkene toestemming heeft gegeven voor het plaatsen van cookies die niet strikt noodzakelijk zijn. o Standpunt van de verweerder 133. Verweerder betwist dat hij een "further browsing"-techniek heeft misbruikt om voorafgaande toestemming voor het plaatsen van cookies te verkrijgen, en wel om de volgende technische en juridische redenen: - technisch argument: het gebruik van een "WEC" tool voor vaststellingen zou door het systeem zijn geïnterpreteerd als een uiting van toestemming, met als gevolg dat "opt-in" (voorafgaande aanvaarding) ; - juridisch argument: het Hof van Justitie in zijn arrest “Planet 4”»76 vereist“actief gedrag”, hetgeen het verzamelen van de toestemming door middel van vooraf aangevinkte vakjes uitsluit, maar niet uitsluit dat deze toestemming wordt gegeven «door middel van een andere verklaring of een andere gedraging waaruit in deze context duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegeven”77. 134. Volgens verweerder impliceert het arrest "Planet 49" niet dat het blijven surfen op een site niet zou kunnen worden beschouwd als actief gedrag dat de toestemming aangeeft, en wel om de volgende redenen: "Voor zover het arrest Planet49 actief gedrag en objectivering van de toestemming centraal stelt, kan niet worden uitgesloten dat further browsing wordt toegelaten, aangezien dit - anders dan het vooraf aangevinkte vakje objectiveerbaar actief gedrag impliceert: gewaarschuwd door de banner voor de juridische gevolgen van zijn gedrag, besluit de bezoeker verder te gaan door van link naar 74 Richtsnoeren van de Groep Gegevensbescherming Artikel 29 inzake toestemming overeenkomstig Verordening 2016/679, 28 november 2017, blz. 18: 75 EDPB-richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, punt 7 (Engelse versie). 76 HvJEU, 1 oktober 2019, Planet49,C-673/17, ECLI:EU:C:2019:801. 77 Ibid., §11. Beslissing ten gronde 103/2022 - 54/76 link te gaan of door naar beneden te scrollen op de pagina waarop hij actief is, gedurende zijn hele navigatie op de site. In een dergelijke situatie kan, afhankelijk van de grootte van de banner, de lengte van de vertoning en de inhoud van de tekst, niet worden uitgesloten dat het gedrag van de bezoeker als geldige toestemming wordt beschouwd. De situatie is vergelijkbaar met de toestemming die wordt verkregen door het plaatsen van een bord bij de ingang van een bedrijf, hetgeen in de jurisprudentie regelmatig wordt bevestigd”. o Beslissing van de Geschillenkamer: 135. Wat de kwestie van de toepasselijke beginselen betreft, herinnert de Geschillenkamer eraan dat volgens de EDPB-richtsnoeren inzake toestemming, "further browsing" geen adequate uitdrukking van toestemming vormt in de zin van de AVG omdat het niet kan worden beschouwd als een actieve aanwijzing van een keuze 78. De Geschillenkamer merkt op dat het vereiste van een voldoende "actief" karakter van de toestemming op zich niet betekent dat "further browsing" kan worden uitgesloten als een aanvaardbare vorm van toestemming in de zin van de AVG en verwijst hoofdzakelijk naar het tweede criterium dat de EPDB in haar richtsnoeren heeft ontwikkeld, namelijk het vereiste van een duidelijke (ondubbelzinnige) positieve handeling die de uitdrukking van een vrije toestemming in de zin van artikel 7.1 van de AVG mogelijk maakt. 136. In dit verband deelt de Geschillenkamer de twijfel van verweerder over de vraag of het al dan niet mogelijk is een actieve keuze te maken door op een site te blijven surfen. De Geschillenkamer sluit, bij wijze van uitzondering op de interpretatieve lijn van de EDPB, niet uit dat het actieve of niet-actieve karakter van de "further browsing"-benadering niet mag worden beïnvloed door de lay-out van de informatie (bijvoorbeeld de grootte van de banner en de wijze waarop de verstrekte informatie wordt gepresenteerd met het oog op het verkrijgen van toestemming door verder te surfen), en de wijze waarop de weigering van cookies op andere manieren tot uitdrukking kan worden gebracht. 137. Voorts kan de Geschillenkamer niet uitsluiten dat het blijven surfen op een site niet als actief gedrag kan worden beschouwd, mede gelet op de wijze waarop "further browsing" is uitgedrukt: Wanneer bijvoorbeeld het scrollen met het wieltje van een muis geen voldoende duidelijke en onbetwistbaar vrijwillige handeling van de gebruiker zou vormen, zou het feit dat dit "further browsig" ten minste een computeractie (muisklik) met zich meebrengt, van invloed kunnen zijn op de beoordeling of er al dan niet sprake is van toestemming. 138. Uit het dossier van de aan de Geschillenkamer overgelegde documenten kan echter niet worden opgemaakt dat de door verweerder via "further browsing" gevraagde 78 Richtsnoeren inzake transparantie als bedoeld in de Verordening (EU) 2016/679, §. 79. Beslissing ten gronde 103/2022 - 55/76 toestemming " actief " zou zijn om redenen die verband houden met de presentatie van informatie in concreto. 139. In elk geval verwijst de Geschillenkamer naar het beginsel dat de toestemming "moet worden gegeven door duidelijke actieve handeling, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt" (vgl. overweging 32 van de AVG), zodat het verdere gebruik van een site door eenvoudigweg door een webpagina te scrollen geen voldoende duidelijke handeling is die van een daad van toestemming kan worden onderscheiden : «Verwerkingsverantwoordelijken moeten mechanismen voor toestemming op een dusdanige manier ontwerpen dat ze voor de betrokkenen duidelijk zijn. Verwerkingsverantwoordelijken moeten dubbelzinnigheid vermijden en ervoor zorgen dat de handeling waarmee toestemming wordt verleend, kan worden onderscheiden van andere handelingen. Het louter blijven gebruiken van een website is daarom geen gedrag dat kan worden opgevat als een wilsuiting waarmee de betrokkene kenbaar maakt dat hij toestemming geeft voor een voorgenomen gegevensverwerking”79. 140. Dit tweede criterium betreffende de noodzaak van specifieke toestemming toegepast op "further browsing" sluit de mogelijkheid uit om via deze techniek toestemming te geven. De noodzaak om "specifieke" toestemming te geven maakt inderdaad deel uit van de voorwaarden voor toestemming krachtens artikel 4.11 van de AVG. 141. Artikel 4.11 AVG omschrijft "toestemming" van de betrokken persoon als “elke vrije specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt” In zijn arrest "Planet 49" van 1 oktober 2019 heeft het Hof van Justitie verduidelijkt dat "de wilsuiting" als bedoeld in artikel 2.h, van Richtlijn 95/46 "specifiek" moet zijn in die zin dat deze “precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft”80. 142. Zoals de Geschillenkamer eerder heeft opgemerkt in haar beslissing 19/2021 van 12 februari 202181, wijst het feit dat men op een site blijft surfen enerzijds op de wil om gebruik te maken van de door de site aangeboden informatieve (of andere) diensten en anderzijds, in voorkomend geval, op de aanvaarding van voorwaarden die verband houden met de plaatsing van cookies. Deze toestemming is niet specifiek, aangezien de gebruiker door middel van een enkele handeling toestemming geeft voor het gebruik van 79 Ibid, § 84. 80 HvJEU , 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801. 81 Beslissing 19/2021 van 12 februari 2021, § 103-109. Beslissing ten gronde 103/2022 - 56/76 de op de website aangeboden informatie of diensten en voor de verwerking van zijn persoonsgegevens via cookies. 143. In dit geval is de Geschillenkamer van oordeel dat deze techniek voor de aanvaarding van Inspectieverslag is weergegeven, de gebruiker van de site niet in staat stelde zijn "specifieke toestemming" uit te drukken, zoals voorgeschreven in artikel 4.11 van de AVG. 144. Kortom, door de toestemming van de internetgebruiker te koppelen aan zijn of haar keuze om de dienst te blijven gebruiken, is er geen sprake van een afzonderlijke en specifieke toestemming zoals vereist door artikel 4.11 van de AVG. Om die reden stelt de Geschillenkamer een schending vast van de artikelen 4.11) juncto 6.1.a en 7.1 van de AVG. ▪ Vaststelling 3: sociale netwerkcookies en statistische cookies zonder toestemming o Sociale netwerkcookies 145. De Inspectie stelde vast dat er op de websites van verweerder geen voorafgaande toestemming was voor het plaatsen van sociale netwerkcookies. De screenshots die de inspectiedienst in zijn technische verslagen heeft genomen zijn in dit opzicht duidelijk : Op de Sudpresse-website bijvoorbeeld nodigt de startpagina de gebruiker uit om de instellingen te wijzigen of te klikken voor meer informatie. Bijvoorbeeld, op de Sudpresse website, de home page. Door in het beginscherm de keuze "cliquer ici" te selecteren, komt de internetgebruiker terecht in een “Gérez ici vos cookies"-venster waar hem wordt aangeboden de sociale cookies te deactiveren ("désactiver ces cookies dégrade les partages sur réseaux sociaux"). Hetzelfde traject wordt op de site aangeboden met betrekking tot gedragscookies (“désactiver ces cookies ne nous permet pas de vous offrir une personnalisation des annonce”). Ten slotte worden soortgelijke vaststellingen gedaan op de andere twee onderzochte sites met betrekking tot het gebrek aan voorafgaande toestemming voor het plaatsen van cookies die worden beschreven als “cookies de réseau sociau”» ou “cookies comportementaux”. 146. De Geschillenkamer stelt vast dat verweerder op dit punt geen uitdrukkelijk verweer ontwikkelt, naast de voornaamste argumenten betreffende de door de Inspectiedienst toegepaste methode. De Geschillenkamer is derhalve van oordeel dat zij zich kan beroepen op een nadelige erkenning van verweerder en concludeert dat artikel 6.1.a van het AVG is geschonden. De door verweerder aangevoerde nietigheidsgronden met betrekking tot de procedure doen geen afbreuk aan de zeer duidelijke vaststellingen van Beslissing ten gronde 103/2022 - 57/76 de Inspectiedienst op dit punt, die in de conclusies van verweerder niet uitdrukkelijk worden tegengesproken. 147. Verweerder stelt in het algemeen dat de verwerking van persoonsgegevens door ondersteuning van dit argument beroept zij zich op het arrest "Fashion ID" van het Hof van Justitie van de Europese Unie van 29 juli 201982, waarin het Hof van Justitie niet uitsluit dat een gerechtvaardigd belang kan volstaan als rechtsgrondslag voor de verwerking van persoonsgegevens door cookies van sociale netwerken, met dien verstande dat het uitspraak doet wanneer de betrokken cookie van het sociale netwerk tot doel heeft het sociale netwerk in staat te stellen inhoud op de partnersite weer te geven. Verweerder zelf merkt in zijn pleidooi op dat deze veronderstelling “volledig losstaat van de onderhavige zaak en losstaat van de statistishe cookies”83. 148. In dit verband wenst de Geschillenkamer te verduidelijken dat het beroep van het Hof van Justitie op het gerechtvaardigd belang als rechtsgrondslag in de zaak "Fashion ID" betrekking heeft op de overdracht van persoonsgegevens die zijn verzameld door middel van cookies: een dergelijke verwerking is inderdaad onderworpen aan de vereisten van een rechtsgrondslag krachtens artikel 6 van de AVG. Het Hof van Justitie stelt in hetzelfde arrest echter uitdrukkelijk dat de vraag naar de rechtsgrondslag voor de verdere verwerking van via cookies verzamelde gegevens alleen relevant is indien de door artikel 5.3 van de e-privacyrichtlijn 2002/58 vereiste toestemming is verkregen, hetgeen in dit geval niet is aangetoond. 149. Voor educatieve doeleinden geeft de Geschillenkamer hieronder de door het Hof van Justitie in het Fashion ID-arrest ontwikkelde redenering weer, waaruit volgt dat de verwerkingsverantwoordelijken verantwoordelijk blijven voor het verkrijgen van toestemming voor het plaatsen van cookies, overeenkomstig de ePrivacy-richtlijn, terwijl de extractie van gegevens uit via cookies verzamelde persoonsgegevens en de doorgifte daarvan aan derden in voorkomend geval onder de rechtsgrondslag van gerechtvaardigd belang kunnen vallen (de Autoriteit vertaalt) : “Met zijn vierde vraag wenst de verwijzende rechter in wezen te vernemen of in een situatie als die in het hoofdgeding, waarin de exploitant van een internetsite op die site een sociale module invoegt waarmee de browser van de bezoeker van die site inhoud kan opvragen bij de aanbieder van die module en daartoe persoonsgegevens van de bezoeker aan die aanbieder kan doorgeven, voor de toepassing van artikel 7, sub f, van richtlijn 95/46 rekening moet worden gehouden 82 HvJEU Arrest van 29 juli 2019, Fashion ID, C-40/17; ECLI:EU:C:2019:629. 83 Eindconclusies van verweerder, blz. 8. Beslissing ten gronde 103/2022 - 58/76 met het door die exploitant nagestreefde rechtmatige belang of met het door die aanbieder nagestreefde rechtmatige belang. Vooraf zij opgemerkt dat deze vraag volgens de Commissie niet relevant is voor de oplossing van het hoofdgeding, aangezien de door artikel 5, § 3, van richtlijn 2002/58 vereiste toestemming van de betrokkenen niet is verkregen. In dit verband zij erop gewezen dat artikel 5, lid 3, van laatstgenoemde richtlijn bepaalt dat de lidstaten ervoor moeten zorgen dat de opslag van informatie of het verkrijgen van toegang tot reeds opgeslagen informatie in de eindapparatuur van een abonnee of gebruiker alleen is toegestaan op voorwaarde dat de abonnee of gebruiker zijn toestemming heeft gegeven, na overeenkomstig Richtlijn 95/46 duidelijke en volledige informatie te hebben ontvangen over onder meer de doeleinden van de verwerking. Het is aan de verwijzende rechter om na te gaan of, in een situatie als die in het hoofdgeding, de aanbieder van een sociale module, zoals Facebook Ireland, toegang heeft, zoals de Commissie stelt, tot informatie die is opgeslagen in de eindapparatuur, in de zin van artikel 5, § 3, van richtlijn 2002/58, van de bezoeker van de website van de exploitant van deze site”84. 150. De Geschillenkamer herinnert eraan dat de inspectieverslagen gericht zijn o