← België

Beslissing ten gronde nr. 12/2019

1/43 Geschillenkamer Beslissing ten gronde 12/2019 van 17 december 2019 Dossiernummer : DOS-2019-01356 Betreft : Boete voor schending door website van verplichtingen inzake transparantie en toestemming in termen van cookies De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Dirk Van Der Kelen en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene verordening gegevensbescherming), hierna AVG ; Gelet op de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (hierna “WOG”) ; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; . . . Beslissing ten gronde 12/2019 - 2/43 heeft de volgende beslissing genomen inzake: - de verwerkingsverantwoordelijke : X, handelend onder de benaming “Y”; hebbende als raadsman mr. Z, advocaat in het kantoor W;

  1. Feiten en procedure Onderzoek Inspectiedienst Op 27 februari 2019 besliste het Directiecomité van de GBA om de zaak aanhangig te maken bij de Inspectiedienst van de Gegevensbeschermingsautoriteit (hierna “GBA”) op basis van artikel 63, 1° van de WOG. De aanleiding voor de voormelde aanhangigmaking was het privacybeleid (onder andere de privacyverklaring en daarmee gepaard gaande informatiebanners) en het cookiebeheer van de website beheerd door de verweerder (“Y”, hierna “website”). Deze website is gespecialiseerd in juridisch nieuws van, voor en over rechtsbeoefenaars, met een zelfverklaard maandelijks bereik van 35.000 lezers. De Inspectiedienst van de GBA informeerde de verweerder over deze beslissing van het Directiecomité van de GBA bij brief van 26 maart
  2. De Inspectiedienst heeft vervolgens onderzoek verricht naar de website en daarbij op 12 maart 2019 een eerste versie van de website aangetroffen (“ eerste versie”), op 29 april 2019 een tweede versie (“tweede versie”) en op 29 mei 2019 een derde versie (“derde versie”). De Inspectiedienst stuurde twee brieven dd. 26 maart 2019 en 29 april 2019 aan de verweerder met vaststellingen i.v.m. vermeende inbreuken op de AVG, samen gelezen met de Wet van 13 juni 2005 betreffende de elektronische communicatie (hierna “WEC”). In het eindverslag dd. 29 mei 2019 (hierna “Inspectieverslag”) stelde de Inspectiedienst vast dat de verweerder tussen de eerste contactopname van 26 maart 2019 en de vaststellingen dd. 29 mei 2019 aanpassingen heeft doorgevoerd die ervoor gezorgd hebben dat - op de derde versie van de website - haar privacybeleid en cookiebeheer méér – doch niet volledig - AVG-conform zijn geworden. In de loop van het onderzoek van de Inspectiedienst werden verschillende inbreuken op de AVG vastgesteld, waarvan de voornaamste – inclusief ondertussen opgeloste inbreuken - hieronder opgesomd worden: Beslissing ten gronde 12/2019 - 3/43 o Vaststellingen inzake transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene (art. 12 AVG):  Op 12 maart 2019 stelde de Inspectiedienst vast dat de privacyverklaring op de website enkel in het Engels beschikbaar was, daar waar de website zich tot een Nederlandstalig en Franstalig publiek richtte; de informatie was niet eenvoudig toegankelijk voor de betrokkenen en er werd verwezen naar “US privacy law”. Daarenboven was de vermelding dat “uw IP-adres” geen persoonsgegevens zijn niet in overeenstemming met artikel 12 van de AVG, omdat deze vermelding in strijd is met de definitie van persoonsgegevens in artikel 4.1 en overweging 30 van de AVG. Deze mankementen werden door de verweerder stapsgewijs opgelost1 .  Op 12 maart 2019 stelde de Inspectiedienst vast dat het privacybeleid en  Op 29 april 2019 stelde de Inspectiedienst vast dat de startpagina van de website een hyperlink “Privacy Policy” bevatte en dat de verwijzing naar de “US privacy law” (en naar de “California Online Privacy Protection Act”) verwijderd werd. o Vaststellingen inzake te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld (art. 13 AVG):  De privacyverklaring op de eerste versie van de website bevatte geen vermelding van de identiteit en contactgegevens van de verwerkingsverantwoordelijke. De verweerder heeft pas op 29 mei 2019 expliciet in de privacyverklaring vermeld dat “X” verantwoordelijk is voor de verwerking en haar contactgegevens vermeld, nadat de Inspectiedienst bij brief duidelijk maakte dat de eerste aanpassing van de privacyverklaring dd. 29 april 2019 naar haar oordeel onvoldoende duidelijk was (melding was gemaakt van “X” en haar contactgegevens zonder expliciete vermelding dat deze vennootschap de verwerkingsverantwoordelijke was);  De privacyverklaring op de eerste versie van de website vermeldde noch de rechten die de betrokkenen kunnen inroepen, noch de rechtsgrond voor de verwerking, noch de verwerkingsdoeleinden, noch het recht van de betrokkenen om een klacht in te dienen bij de Gegevensbeschermingsautoriteit, en evenmin een bewaartermijn voor de door cookies vergaarde persoonsgegevens).2 1 Inspectieverslag, p.
  3. 2 Vaststellingen van de Inspectiedienst dd. 12 maart
  4. Beslissing ten gronde 12/2019 - 4/43 o Vaststellingen in verband met de verplichting inzake toestemming (artikel 6 van de AVG, artikelen 4, 11 juncto 7 van de AVG alsook overweging 32 AVG, samen gelezen met artikel 129 WEC), waaronder:  In de eerste twee versies van de website werd in de privacyverklaring geen toestemming gevraagd voor het gebruik van cookies, en dit, noch voor  In de laatste versie van de website die door de Inspectiedienst vóór zijn eerste verslag onderzocht werd, werden weliswaar de voorkeuren voor het gebruik van cookies aan de website gebruiker gevraagd, maar de toestemming werd op basis van reeds aangekruiste vensters verkregen, wat volgens overweging 32 van de AVG niet als een geldige toestemming kan gelden. Op 29 april 2019 stelde de Inspectiedienst vast dat het privacybeleid en cookiebeheer nog niet in overeenstemming was met artikel 13 van de AVG, zoals blijkt uit kolom 2 van onderstaande opsomming: - de vermelde informatie verduidelijkt niet expliciet wie de verwerkingsverantwoordelijke is; - voor het indienen van een klacht wordt verwezen naar de Nederlandse Autoriteit Persoonsgegevens die in België niet bevoegd is. Op 29 mei 2019 was het privacybeleid en cookiebeheer op de webpagina https://Y/privacy-policy/ volgens de Inspectiedienst verantwoord in het licht van artikel 13 van de AVG. De Inspectiedienst verwijst in dat verband naar kolom 3 van de onderstaande tabel.3 3 Kolom 1 Kolom 2 Kolom 3 Privacybeleid en Privacybeleid en Privacybeleid en webpagina webpagina webpagina https://Y/privacy-policy/ https://Y/privacy-policy/ https://Y/privacy-policy/ op 12/3/2019 (stukken 4 op 29/4/2019 (stukken 8 op 29/5/2019 (stukken 13 en en 7) en 9) 14) a. De identiteit van de a. Er wordt melding verwerkingsverant gemaakt van “X” vermeld woordelijke en zijn zonder expliciete verantwoordelijk Inspectieverslag, p.
  5. a. Er wordt expliciet dat “X” is Beslissing ten gronde 12/2019 - 5/43 contactgegevens vermelding dat dit voor de verwerking worden de van niet vermeld; verwerkings- verantwoordelijke b. De is; verwerkingsdoeleinden b. De waarvoor de persoonsgegevens; b. De verwerkings- verwerkingsdoelein- doeleinden en de den de rechtsgrond rechtsgronden persoonsgegevens worden vermeld, worden zijn maar met weinig toegelicht. bestemd, alsook de rechtsgrond de toelichting. voor de duidelijk Zo wordt er verwezen verwerking worden en naar niet “onze dienstverlening” vermeld; en naar “wettelijke verplichting”, zonder preciseren te over welke diensten en wetgeving het concreet gaat. c. c. De periode Er wordt melding De bewaartermijnen van worden duidelijk bewaartermijnen, gekoppeld aan de maar met weinig verwerkingsactivitei- persoonsgegevens toelichting. ten. zullen wordt er verwezen gedurende dewelke de worden gemaakt c. opgeslagen, of de naar criteria ter bepaling “toepasselijke van termijn administratieve niet verplichtingen”, die worden vermeld; zonder Zo te specificeren over welke verplichtingen het concreet gaat. d. Er wordt d. Er wordt melding gemaakt gemaakt van de rechten melding van de van Beslissing ten gronde 12/2019 - 6/43 d. De rechten die de rechten van betrokkenen betrokkenen kunnen inroepen verschillende worden niet vermeld; in alinea’s die telkens voorzien titel. om verschillende alinea’s zijn van een eigen titel. e. Er wordt melding gemaakt van het e. Er wordt melding betrokkenen in die telkens voorzien zijn van een eigen e. Het recht van de betrokkenen recht van de gemaakt van het betrokkenen om een recht van klacht in te dienen betrokkenen om bij de een klacht in te Gegevensbescher- dienen mingsautoriteit bij de een klacht in te Autoriteit (“GBA”) met daarbij dienen Persoonsgege- een hyperlink naar bij de Gegevensbescher vens. mingsautoriteit benaming is niet webpagina van de correct, want in GBA. wordt vermeld. niet België Die is de betreffende de Gegevensbescher mingsautoriteit bevoegd. Op 29 mei 2019 was het privacybeleid en cookiebeheer op de website volgens de Inspectiedienst “nog niet in overeenstemming met artikelen 4, 11) juncto 7 van de AVG en met artikel 129 van de WEC”, zoals blijkt uit kolom 3 van onderstaande tabel en uit de onderstaande commentaren van de Inspectiedienst4: - “er wordt verwezen naar “ons gerechtvaardigd belang” als rechtsgrond voor vereenvoudigen en om statistische gegevens met betrekking tot het gebruik van de website te verzamelen” (stukken 13 en 14), terwijl daarvoor toestemming vereist is omdat die cookies niet noodzakelijk zijn. Dit volgt uit de toelichting op pagina 11 onder de titel “4.3 Analyse door de eerste partij” van het Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies van de Groep gegevensbescherming artikel 29 dat kan worden geconsulteerd op de webpagina 4 Inspectieverslag, p. 9, onder de titel “vaststelling inzake de verplichting inzake toestemming (artikelen 4,11), 6 en 7 van de AVG en artikel 129 van de WEC”. Beslissing ten gronde 12/2019 - 7/43 https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2012/wp194_nl.pdf en uit de tekst van artikel 129 van de WEC. Bijgevolg is er voor de verwerking van persoonsgegevens in deze specifieke context geen rechtsgeldige rechtsgrond voorzien zoals opgelegd door artikel 6 van de AVG ; - het cookievenster op de website https://Y/ (idem op de Franstalige versie https://Y/fr/) bevat in strijd met artikel 4, 11) en artikel 7 van de AVG reeds aangekruiste vakjes (wat volgens overweging 32 van de AVG niet geldt als toestemming), en bevat geen knop om cookies te weigeren; - de tekst op de voormelde Franstalige versie wordt in het Nederlands vermeld ” Kolom 1 Kolom 2 Privacybeleid op en Privacybeleid de Kolom 3 op en Privacybeleid de en op de webpagina webpagina webpagina https://Y/privacy-policy/ https://Y/privacy-policy/ https://Y/privacy-policy/ op 12/3/2019 (stukken 4 op 29/4/2019 (stukken 8 op 29/5/2019 (stukken 13, en 7) en 9) 14 en 15) a. De toestemming a. De toestemming a. Er wordt in het voor het voor het privacybeleid en gebruiken van gebruiken van op de verwerkings- verwerkings- https://Y/privacy- verantwoordelijke verantwoordelijke policy/ terecht of of vermeld dat door Google wordt niet door Google wordt niet webpagina toestemming gevraagd aan de gevraagd aan de wordt gevraagd betrokkenen; betrokkenen; voor het gebruik van cookies die niet strikt noodzakelijk zijn. Er wordt echter ten verwezen onrechte naar “ons gerechtvaardigd belang” als Beslissing ten gronde 12/2019 - 8/43 rechtsgrond voor die gebruikt worden “met het oogmerk om uw gebruik van de website te vereenvoudigen en om statistische gegevens met betrekking tot het gebruik van de website te verzamelen” (stukken 13 en 14). Een andere tekortkoming betreft het cookievenster dat verschijnt onderaan het scherm indien men de website https://Y/ of de Franstalige versie https://Y/fr/ voor het eerst opent (stuk 15): - reeds aangekruiste vakjes bij de voorkeuren inzake cookies (wat volgens overweging 32 van de AVG niet geldt Beslissing ten gronde 12/2019 - 9/43 als toestem- ming); - er staat een knop “OK” om te aanvaarden, maar er staat geen knop om te weigeren; - de tekst van het op de Franstalige versie https://Y/fr/ wordt vermeld in het Nederlands. b. Er wordt niet b. Er wordt niet b. Er wordt vermeld vermeld hoe de vermeld hoe de hoe betrokkenen een betrokkenen een betrokkenen een gegeven gegeven gegeven toestemming voor toestemming voor toestemming het gebruiken van het gebruiken van kunnen intrekken onder een aparte verwerkings- verwerkings- titel in de tekst. verantwoordelijke verantwoordelijke of of door Google kunnen intrekken. (Inspectieverslag, p. 9) door Google kunnen intrekken. de Beslissing ten gronde 12/2019 - 10/43 De Inspectiedienst vermeldt in het Inspectieverslag de stelling dat de verweerder een voorbeeldfunctie heeft wat betreft de naleving van de AVG, gelet op de juridische expertise die door de website verspreid wordt. De Inspectiedienst maakte zijn verslag dd. 3 juni 2019 aan de Geschillenkamer over, op basis van artikel 92, 3° van de WOG. De procedure voor de Geschillenkamer Ter zitting van 26 juni 2019 besliste de Geschillenkamer op grond van artikel 98 van de WOG dat het dossier gereed voor behandeling ten gronde was. Op 28 juni 2019 werd de verweerder per aangetekende zending in kennis gesteld van deze beslissing, alsook van het Inspectieverslag en van de inventaris van de stukken van het dossier dat door de Inspectiedienst aan de Geschillenkamer werd overgemaakt. Tevens werd de verweerder in kennis gesteld van de bepalingen zoals vermeld in artikel 98 van de WOG en werd verweerder op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om zijn verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd op 29 juli 2019 vastgesteld. Op 29 juli 2019 ontving de Geschillenkamer de conclusie van antwoord van de verweerder. De verweerder erkende dat bepaalde verplichte vermeldingen niet opgenomen waren in één of meer van de opeenvolgende versies van de privacyverklaring van de website die door de Inspectiedienst onderzocht werden. De verweerder legde uit dat deze ontbrekende vermeldingen ondertussen (in de loop van het eerste onderzoek of na het afsluiten van het eerste Inspectieverslag) in de Privacyverklaring toegevoegd werden (vierde versie van de website – juli 2019). In zijn conclusie trok de verweerder de vaststellingen van de Inspectiedienst in twijfel wat betreft het werkelijk verloop van toestemmingsproces op de website. De verweerder stelde immers dat cookies voor de verzameling van statistische gegevens enkel verzameld waren “ na de toestemming van de betrokkenen” en dit, ondanks de tegenovergestelde vermelding in de vorige versie van de Privacyverklaring (mei 2019) in dat verband. De verweerder stelt dat de Privacyverklaring van de website inmiddels aan de realiteit aangepast werd. Voorts vermeldt de conclusie van verweerder als volgt, voor zover relevant voor de beslissing van de Geschillenkamer: Beslissing ten gronde 12/2019 - 11/43

(1)Wat betreft de vaststellingen van de Inspectiedienst dat er geen toestemming gevraagd was voorafgaandelijk aan het plaatsen van bepaalde cookies, met name van “Google Analytics”, “Google Tag manager” en “Google Adsense”:5 “Voor de aanpassing van de website werden bezoekers enkel geïnformeerd over het gegeven dat de website cookies gebruikte. Het cookievenster dat [sic] op de website kon enkel gesloten worden. De cookies die op dat moment gebruikt werden, waren identiek aan de cookies die thans nog op de website gebruikt worden (cf. overzicht in de cookieverklaring). Deze cookies hadden dan ook louter als doel
(1)de werking van de website mogelijk te maken,
(2)bepaalde diensten (afspelen filmpjes, delen van artikelen op Linkedin, etc.) mogelijk te maken en
(3)het analyseren van het gebruik van de website en het opmaken van statistieken)” . De verweerder legt een overzicht neer van de cookies die op 6 juli 2019 op de website aanwezig waren. Deze lijst werd door de verweerder opgemaakt aan de hand van de “Cookiebot” applicatie die een scan van de cookies op de website verstrekt 6. De verweerder beweert dat deze opsomming een weerspiegeling geeft van de cookies die voor de aanpassing van de website gebruikt werden, i.e. voor het afsluiten van het eerste Inspectieverslag (“De de website gebruikt worden”) 7.
(2)Wat betreft de recente aanpassingen aan de website: de verweerder vraagt om de eventuele sanctie te bepalen rekening houdend met het feit dat de website steeds bijkomende maatregelen heeft genomen naar aanleiding van de vaststellingen van de Inspectiedienst. Zij wijst op “de intentie om haar verplichtingen die voortvloeien uit de AVG (en de nationale wetgeving) strikt na te leven” en op “de aanpassingen die [de website] geïmplementeerd heeft (en in het bijzonder de gevolgen die deze aanpassingen als gevolg hebben) getuigen van deze intentie” . De zaak is voor de eerste maal inhoudelijk besproken door de Geschillenkamer in haar zitting van 15 oktober 2019. De Geschillenkamer stelde vast dat de lijst onder 1) bepaalde cookies niet bevat, waarvan de Inspectiedienst de aanwezigheid op de website vastgesteld had, met name de cookies van “Google Analytics”, “Google Tag Manager” en “Google Adsense”. Gelet op de prima facie discrepantie tussen het Inspectierapport en de conclusie enerzijds, en gelet op de door de verweerder nieuw ingeroepen feiten (de aanpassing van de website met het oog op 5 Stuk 2 van het Inspectieverslag. 6 Zie de Cookiebot diensten zoals op de volgende webpagina aangeboden: https://www.cookiebot.com/en/functions/. 7 Conclusie verweerder, p. 8. Beslissing ten gronde 12/2019 - 12/43 het naleven van de AVG) anderzijds, heeft de Geschillenkamer ter zitting besloten dat voor de beslechting van deze zaak bijkomende informatie nodig was in verband met (
  1. a)de cookies die door de website gebruikt werden/worden en (
  2. b)met betrekking tot de manier waarop de meest recente versie van de website de AVG verplichtingen inzake toestemming (inclusief het intrekken ervan) alsook zijn informatieverplichtingen inzake cookies naleefde. De Geschillenkamer besloot ook om de aandacht van de verweerder te vestigen op het arrest “Planet49” van het Europees Hof van Justitie d.d. 1 oktober 20198, dat onder andere betrekking heeft op de manier waarop de toestemming voor het gebruiken van cookies onder artikel 7 AVG verkregen moet worden, alsook een duidelijke interpretatie geeft wat betreft de omvang van de informatieverplichtingen onder artikel 13 AVG (o.a. hoe lang de cookies actief blijven en of derden al dan niet toegang tot de door cookies vergaarde persoonsgegevens kunnen hebben). De Geschillenkamer informeerde de verweerder ervan dat ze met dit nieuwe arrest in haar beslissing rekening zou houden en gaf de verweerder de kans om zijn opvattingen hierover mee te delen. Gelet op de mogelijkheid voor de Geschillenkamer om bepaalde inbreuken op de AVG (zoals inbreuken op de basisbeginselen inzake verwerking, met inbegrip van de voorwaarden voor toestemming overeenkomstig de artikelen 5, 6, 7 en 9) aan een administratieve geldboete te onderwerpen dat met een percentage van de jaaromzet in het voorgaande boekjaar overeenstemt, heeft de Geschillenkamer tevens besloten om de drie meest recente jaarrekeningen van verweerders als stuk in de procedure op te nemen, en de verweerder in casu de mogelijkheid te geven om haar zo nodig over de juistheid van de erin vervatte gegevens, meer bepaald m.b.t. het omzetcijfer, in te lichten. Tot slot besliste de Geschillenkamer op grond van art. 98 en 99 van de WOG om de verweerder voor een hoorzitting uit te nodigen. Bij brief van 17 oktober 2019 stelde de Geschillenkamer de verweerder in kennis van de datum en uur van de hoorzitting (6 november 2019). In deze brief verzocht de Geschillenkamer de verweerder om vragen voor te bereiden met het oog op de hoorzitting, met de mogelijkheid om desgevallend bijkomende stukken vóór of tijdens de hoorzitting neer te leggen. Bij deze brief werd de verweerder tevens ingelicht dat de Inspectiedienst nog de mogelijkheid had om met betrekking tot één of meerdere van deze vragen uit eigen initiatief een bijkomend verslag op te stellen overeenkomstig artikel 63 6° WOG, en dat dit verslag in voorkomend geval ten minste vijf werkdagen voor de zitting bij email zou worden toegestuurd. 8 HvJEU, 1 oktober 2019, C-673/17, Bundesverband der Verbraucherzentralen und Verbraucherverbande – Verbraucherzentrale Bundesverband tegen Planet49 GmbH, ECLI:EU:C:2019:801 (“Planet49“). Beslissing ten gronde 12/2019 - 13/43 De Geschillenkamer bezorgde een kopie van deze brief aan de Inspectiedienst. Op 24 oktober 2019 maakte de Inspectiedienst zijn bijkomend verslag aan de Geschillenkamer over. Dit Inspectieverslag werd per e-mail van 29 oktober 2019 aan de verweerder meegedeeld. In dit verslag wordt de volgende informatie verstrekt met betrekking tot de vragen die de Geschillenkamer aan de verweerder stelde : - De Inspectiedienst bezorgde een screenshot van de “Cookiebot” informatie die ze op de website op 17 en 20 oktober 2019 kon waarnemen, met de volgende uitleg: “Effectief, al de vast te stellen volstaat het om de cookies vermeld in de Consent Management Page van 20/10/2019 werden waargenomen door de Inspectiedienst op de website en waarvan hierboven een kopie staat te vergelijken. Welnu als we kijken naar de tabel die vermeld wordt in het onderstaande antwoord van de Inspectiedienst bij vraag 2 van de Geschillenkamer, stellen we vast dat er meer cookies zijn dan aangekondigd. 50 cookies worden vermeld in die tabel. Verschillende daarvan worden niet aangegeven ; Als antwoord op de tweede vraag van de Geschillenkamer “welke eerste partij/derde partij Youtube.com, Google.com, Linkedin.com, Twitter.com, doubleclick.net. etc. - Met betrekking tot de derde vraag van de Geschillenkamer aangaande de verplichtingen inzake toestemming op de huidige website (artikelen 4.11 en 7 AVG samen gelezen met artikel 129 van de WEC) en de manier waarop de internetgebruiker informatie krijgt m.b.t. het recht om zijn toestemming naderhand in te trekken (art. 7.3 AVG), brengt de Inspectiedienst de volgende informatie: “De toestemming van gebruikers van de website […] voor het plaatsen en raadplegen van website voor het eerst wordt bezocht. […] De startpagina presenteert een contextueel venster (CMP) dat de gebruiker de keuze geeft om hetzij het geheel van cookies te aanvaarden, hetzij om enkel de noodzakelijke cookies te aanvaarden die standaard actief zijn. Er zijn twee problemen daarmee :  de gebruiker kan zich niet uitspreken over een individuele keuze, cookie per cookie. Bijgevolg voldoet de toestemming hier niet aan de vereisten van toestemming zoals opgelegd door artikel 4, punt 11 van de AVG aangezien ze niet specifiek is. De Inspectiedienst verwijst in dat verband naar de overwegingen 61 en 62 van het arrest van Beslissing ten gronde 12/2019 - 14/43 het Hof van Justitie van 1 oktober 2019 in de zaak C-673/179. Tot slot verwijst de Inspectiedienst in dit verband naar de Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 van het Europees Comité voor gegevensbescherming 10. Daarin wordt op pagina’s 13 en 14 benadrukt dat de toestemming om rechtsgeldig te zijn in de zin van de AVG specifiek moet zijn; ook de andere voorwaarden waaraan een rechtsgeldige toestemming in de zin van de AVG moet voldoen worden uitgelegd in de voormelde Richtsnoeren.  zelfs indien de gebruiker de website onmiddellijk verlaat aangezien hij niet wil dat er gebruiker verwittigd wordt en zich heeft uitgesproken door de website te verlaten. Er worden dus cookies geplaatst zonder zijn toestemming. […] - Met betrekking tot de vierde vraag van de Geschillenkamer aan de verweerder “Hoe wordt de Internetgebruiker door de […] website geïnformeerd over de vraag hoe lang de cookies actief blijven en of derden al dan niet toegang tot de door cookies vergaarde persoonsgegevens kunnen hebben”, brengt de Inspectiedienst de volgende informatie: “[…] Na het klikken op de voormelde link “ons cookiebeleid” komt de betrokkene op de webpagina https://Y/cookies/. Daar wordt enkel in het Engels uitleg gegeven over cookies, is er de link “Change your consent” en worden in een tabel verschillende cookies vermeld onder de kolomnamen “Name”, “Provider”, “Purpose”,“Expiry” en ““Type […] “. De Inspectiedienst verstrekt vervolgens een geprinte versie van de lijst van cookies die door de website ter beschikking gesteld wordt (“Cookie declaration last updated on 06/10/2019 by Cookiebot ”). De Op 31 oktober 2019 verzocht de verweerder – overeenkomstig artikel 95 WOG - om inzage in het dossier van de Geschillenkamer alsook daar een kopie van te nemen. Op 31 oktober 2019 stuurde de Geschillenkamer een kopie van het dossier per e-mail aan de verweerder. 9 Overwegingen 61 en 62 van het arrest Planet49 luiden als volgt: “61 De bewoordingen waarmee in artikel 4, punt 11, van verordening 2016/679 voor de toepassing van deze verordening het begrip „toestemming van de betrokkene” is gedefinieerd en in het bijzonder de bewoordingen van artikel 6, lid 1, onder a), ervan, op welke bepaling de eerste vraag onder c), betrekking heeft, blijken, zoals de advocaat-generaal in punt 70 van zijn conclusie in wezen heeft vastgesteld, immers nog strikter dan die van artikel 2, onder h), van richtlijn 95/46, aangezien hier een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene wordt vereist, in de vorm van een verklaring of een „ondubbelzinnige actieve handeling” die zijn toestemming voor een hem betreffende verwerking van persoonsgegevens weergeeft. 62 In verordening 2016/679 wordt nu dus uitdrukkelijk actieve toestemming voorgeschreven. In dit verband moet worden opgemerkt dat volgens overweging 32 van deze verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een bezoek aan een website. Daarentegen sluit deze overweging uitdrukkelijk uit dat „stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” als toestemming mogen gelden.” 10 Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259. Beslissing ten gronde 12/2019 - 15/43 Bij brief van 4 november 2019 stelde de Geschillenkamer de verweerder in kennis van het feit dat de hoorzitting die op 6 november 2019 gepland was, omwille van organisatorische redenen uitgesteld moest worden. Op 7 november 2019 stelde de Geschillenkamer de verweerder in kennis van een nieuwe datum van de hoorzitting, i.e. 25 november 2019. De hoorzitting Op 25 november 2019 werd de zaak hernomen en vond de hoorzitting plaats. De volgende personen zijn op de zitting aanwezig om de verweerder te vertegenwoordigen:  Mevr. V, zaakvoerster;  De heer Z, advocaat;  Mevr. U, personeelslid;  De heer T, personeelslid. De hoorzitting wordt – met instemming van de verweerder - opgenomen, ten einde een PV op te stellen. De opname wordt vernietigd zodra er over de inhoud van het verslag overeenstemming is. De verwerkingsverantwoordelijke legt een “aanvullende nota naar aanleiding van de vragen van de geschillenkamer” neer, een stukkenbundel met onder meer print outs van de website, alsmede een overzichtstabel van de vaststellingen van inbreuken van de inspectiedienst en de datum waarop hieraan verholpen werd. De verweerder geeft uitleg m.b.t. de oprichting en werking van zijn bedrijf en verklaart dat hij naar aanleiding van de inspectieverslagen geïnvesteerd heeft om de cookies op de website in orde te brengen. Hij heeft de website tot en met de vorige zaterdag aangepast. Veel cookies werden van de website afgehaald. De knoppen met rechtstreekse links naar sociale media websites werden van de website afgehaald, dit, uit voorzorg, want hij wil geen doorgeefluik zijn voor derden die deze door hen verzamelde gegevens mogelijks zouden kunnen misbruiken. Volgens de overzichtstabel werd de toestemming voor het gebruik van niet strikt noodzakelijke cookies pas vanaf mei 2019 op de website gevraagd, terwijl er in de website versie van maart en april 2019 geen toestemming gevraagd was voor het gebruik van cookies door de verwerkingsverantwoordelijke of door Google. De verwerkingsverantwoordelijke legt met verwijzing naar door hem overgelegde documentatie uit dat de gegevensverwerking door cookies van “Google Analytics” “volledig anoniem” gebeurt door Beslissing ten gronde 12/2019 - 16/43 middel van de toekenning van een willekeurig gekozen identificatienummer aan elke unieke bezoeker. Op vraag van de Geschillenkamer wordt erkend dat de omschrijving “anoniem” een materiële vergissing is en uit de tekst gehaald moet worden. De verweerder stelt ook dat hij zeer voorzichtig wenst te blijven wat betreft de kwalificatie als “ eerste partij” of “derde partij” cookie van de “Google Analytics” cookies. Daarom verwijst de verweerder voorzichtigheidshalve naar de “privacy policy” van Google. De verweerder legt de opeenvolgende aanpassingen van zijn “privacy policy” voor en legt uit dat de manier om toestemming in te trekken in de cookieverklaring te vinden is, en dat die verklaring op de website een meer prominentere plaats heeft gekregen. Onderaan in elke pagina verschijnt nu een “cookiebeheer pop-up”. De bewaringstermijn wordt steeds vermeld alsook of de cookies al dan niet informatie met derde partijen delen en of de cookies door de website of door derde partijen geplaatst worden. De verweerder legt uit dat de problemen omtrent het bijwerken van de lijst van aanwezige cookies aan de “Cookiebot” applicatie te wijten zijn, en dat hij ondertussen van technologie veranderd is om hieraan te verhelpen. Hij verklaart dat er in de toekomst altijd met de monitoring van cookies rekening zal gehouden worden. Volgens verweerder verduidelijkt de website in een cookievenster dat bepaalde media (b.v. video’
  3. s)niet beschikbaar zijn indien marketingcookies niet aanvaard worden. Alle marketing cookies (en niet enkel de cookies nodig voor elk bepaald filmpje) moeten aanvaard worden, omdat het systeem zo eenvoudiger is en dat het bekijken van de film ingewikkeld zou worden als de kijker slechts enkele Wat betreft de cookies die nog zonder voorafgaandelijke toestemming op de laatste (oktober) versie van de website geplaatst worden, legt de verwerkingsverantwoordelijke uit dat het om essentiële De verwerkingsverantwoordelijke verklaart dat de omzet van de website verwaarloosbaar is. De Geschillenkamer vraagt vervolgens aan de verwerkingsverantwoordelijke om zijn omzetcijfer voor de laatste 3 boekjaren mee te delen. Op 29 november 2019 stuurde de verwerkingsverantwoordelijke een boekhoudkundig document dat de omzet als volgt weergeeft: - boekjaar 2018: 1.710.319,69; - boekjaar 2017: 1.175.066,83; - boekjaar 2016: 1.144.830,17. Beslissing ten gronde 12/2019 - 17/43 De Geschillenkamer stuurde op 29 november 2019 het ontwerp aan de verweerder. Op 4 december 2019 meldde de verwerkingsverantwoordelijke per e-mail dat hij geen inhoudelijke opmerkingen had met betrekking tot de inhoud van het ontwerp PV. De verwerkingsverantwoordelijke stuurde een nieuw document als bijlage bij deze laatste e-mail: een weergave van de aangepaste bepaalde gegevens rechtgezet”. 2. Motivering 2.1 Bevoegdheid van de Gegevensbeschermingsautoriteit Zoals ook erkend door de verweerder, verzamelt de website persoonsgegevens door middel van de De Geschillenkamer is bevoegd om te oordelen in zaken betreffende het verwerken van persoonsgegevens, op grond van artikel 4 § 1 van de WOG12, art. 55 van de AVG13, en met inachtneming van artikel 8 van het Handvest van de grondrechten van de Europese Unie 14. Aan het voorgaande doet niet af dat ingevolge Belgisch nationaal recht, het BIPT is aangewezen als toezichthouder voor de WEC, inclusief artikel 129 WEC dat artikel 5.3 van de Richtlijn 2002/58 15 (hierna, “ePrivacy Richtlijn”) implementeert, overeenkomstig artikel 14, § 1 van de Wet van 17/01/2003 met betrekking tot het statuut van de regulator van de Belgische post- en telecommunicatiesector. In zijn Advies 5/2019 m.b.t. de interactie tussen de ePrivacy Richtlijn en de AVG (welke op grond van artikel 64.2 AVG werd uitgevaardigd) heeft het Europees Comité voor de Gegevensbescherming (hierna: “EDPB”) bevestigd dat gegevensbeschermingsautoriteiten bevoegd 11 Volgens het advies 04/2012 van de Groep Gegevensbescherming over ontheffing van de toestemmingsverplichting voor personen aan online-identificatoren zoals identificatiecookies gekoppeld kunnen worden. Art. 4 § 1 WOG: “De Gegevensbeschermingsautoriteit is verantwoordelijk voor het toezicht en de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens”. 12 Art. 55 AVG: “Elke toezichthoudende autoriteit heeft de competentie op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening is toegekend”. 14 Art. 8 van het Handvest van de grondrechten van de Europese Unie (het “Handvest”): “1. Eenieder heeft recht op bescherming van zijn persoonsgegevens. 2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan. 3. Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd”. 13 15 Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (Richtlijn betreffende privacy en elektronische communicatie, zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009, hierna, de “ePrivacy Richtlijn”). Beslissing ten gronde 12/2019 - 18/43 zijn om de AVG op gegevensverwerkingen toe te passen, ook in de context waar andere overheden krachtens nationale implementatie van de ePrivacy Richtlijn bevoegd zouden zijn om over bepaalde delen van de verwerking van persoonsgegevens te waken 16. Daarenboven heeft de Nederlandstalige rechtbank van eerste aanleg van Brussel in een vonnis van 16 februari 2018 17 al geoordeeld dat de rechtsvoorganger van de GBA bevoegd was om een vordering aan de rechtbank voor te leggen “ in zoverre deze betrekking heeft op beweerde schendingen van de Privacywet van 8 december 1992, waarnaar art. 129 WEC, die daarvan een precisering en aanvulling is, overigens uitdrukkelijk verwijst”18. De bevoegdheid van het BIPT om toezicht te houden op bepaalde delen van de verwerking – zoals op het plaatsen van cookies op de eindapparatuur van een internetgebruiker - doet geen afbreuk aan de algemene bevoegdheid van de GBA. Zo is de GBA bevoegd om na te gaan of het vereiste van toestemming voor het plaatsen van cookies (indien van toepassing), al dan niet in overeenstemming is met de toestemmingsvoorwaarden uit de AVG. Bovendien is de GBA bevoegd om toe te zien of aan alle andere door de AVG verplicht gestelde voorwaarden - zoals de transparantie van de verwerking (art. 12 AVG) of de te verstrekken informatie (art. 13 AVG) – bij het plaatsen van cookies, en bij de verwerking van de hiermee vergaarde gegevens, is voldaan. Ook de rechtsvoorganger van de EDPB (de groep gegevensbescherming artikel 29, verder: Groep gegevensbescherming) heeft gesteld dat de vereisten van de AVG voor het verkrijgen van een geldige toestemming van toepassing zijn in situaties die binnen de werkingssfeer van de e-Privacy-richtlijn vallen19. 16 EDPB Advies 5/2019 met betrekking tot de interactie tussen de ePrivacy Richtlijn en de AVG, in het bijzonder wat betreft de competentie, taken en bevoegdheden van gegevensbeschermingsautoriteiten : “When the processing of personal data triggers the material scope of both the GDPR and the ePrivacy Directive, data protection authorities are competent to scrutinize subsets of the processing which are governed by national rules transposing the ePrivacy Directive only if national law confers this competence on them. However, the competence of data protection authorities under the GDPR in any event remains unabridged as regards processing operations which are not subject to special rules contained in the ePrivacy Directive. This demarcation line may not be modified by national law transposing the ePrivacy Directive (e.g. by broadening the material scope beyond what is required by the ePrivacy Directive and granting exclusive competence for that provision to the national regulatory authority)”. 17 In de zaak Facebook Ireland Limited, Facebook Inc. en Facebook Belgium BVBA tegen de Commissie voor de bescherming van de persoonlijke levenssfeer. 18 Rb. Brussel, 24ste kamer burgerlijke zaken, 16 februari 2018, Rolnr. 2016/153/A, randnr. 26, p. 51, beschikbaar op de volgende webpagina: https://www.gegevensbeschermingsautoriteit.be/nieuws/de-gegevensbeschermingsautoriteit-verdedigt-haarargumentatie-voor-het-hof-van-beroep-te-brussel-de-facebook-zaak. 19 Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, p. 4: “Met betrekking tot de bestaande e-Privacy-richtlijn, merkt WP29 op dat verwijzingen naar de ingetrokken Richtlijn 95/46/EG moeten worden gelezen als verwijzingen naar de AVG8. Dit geldt ook voor verwijzingen naar toestemming in de huidige Richtlijn 2002/58/EG, omdat de e-Privacy-verordening op 25 mei 2018 (nog) niet van kracht is. Volgens artikel 95 AVG worden geen aanvullende verplichtingen opgelegd met betrekking tot verwerking in verband met het verstrekken van openbare elektronische communicatiediensten in openbare communicatienetwerken in de Unie, voor zover zij op grond van de e-Privacy-richtlijn onderworpen zijn aan specifieke verplichtingen met dezelfde doelstelling. WP29 merkt op dat de vereisten voor toestemming krachtens de AVG niet worden beschouwd als een "aanvullende verplichting", maar als randvoorwaarde voor rechtmatige verwerking. Daarom zijn de vereisten van de AVG voor het verkrijgen van geldige toestemming van toepassing in situaties die vallen binnen de werkingssfeer van de e-Privacy-richtlijn.” Beslissing ten gronde 12/2019 - 19/43 Het Europees Hof van Justitie heeft in het arrest Planet49 onder andere bevestigd dat het verzamelen van gegevens door middel van cookies als verwerking van persoonsgegevens kan worden aangemerkt20. Derhalve heeft het Hof artikel 5.3 van de ePrivacy Richtlijn geïnterpreteerd aan de hand van de AVG21, meer in het bijzonder op basis van art. 4.11 en art. 6.1.a AVG (toestemmingsvereiste) alsook art. 13 AVG (te verstrekken informatie). Zoals hierna uitgelegd is de GBA ook bevoegd om na te gaan of de uitzonderingen op het vereiste van toestemming voor het plaatsen van cookies als dan niet in overeenstemming met het gegevensbeschermingsrecht toegepast worden. Hierboven werd de verhouding tussen de AVG en art. 5.3 van de ePrivacy Richtlijn uitgelegd, in de gevallen waarin art. 5.3 een toestemming vereist, welke aan de eisen van de AVG moet voldoen. Artikel 5.3 van de ePrivacy Richtlijn (en art. 129 WEC) bevat echter uitzonderingen, en laat toe dat zonder voorafgaandelijke toestemming in de eindapparatuur van een communicatienetwerkgebruiker opgeslagen worden, wanneer die cookies als “uitsluitend doel” hebben (
  4. a)“de verzending van een communicatie via een elektronische-communicatienetwerk uit te voeren” of (
  5. b)“een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit hiervoor strikt noodzakelijk is”. De uitzonderingen op het in art. 5.3 ePrivacy Richtlijn vervatte toestemmingsvereiste moeten worden gelezen in het licht van art. 6 AVG (b.v. het gerechtvaardigd belang van de verwerkingsverantwoordelijke en/of van de eindgebruiker van het communicatienetwerk 22), in de context waarin de bepalingen van ePrivacy Richtlijn een specificatie van en een aanvulling op de AVG vormen23. Mocht men echter aannemen dat bepaalde regels in de ePrivacy Richtlijn afwijken van de AVG en de wettelijke grondslag “gerechtvaardigd belang” niet omvatten24, dan zijn de uitzonderingen van de “technische opslag” of “door de abonnee […] gevraagde dienst” van art. 5.3 van de ePrivacy 20 Arrest Planet49, ro 45. Alsook aan de hand van de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen. 22 De uitzondering “uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst” in art. 129 WEC (5.3 ePrivacy Richtlijn) heeft geen echte tegenhanger in de AVG. Art. 6.1.b AVG houdt het vereiste in van een verwerking die “noodzakelijk” is voor de uitvoering van een overeenkomst. Art. 129 WEC hanteert het criterium “strikt noodzakelijk”. 23 Zie art. 1 van de ePrivacy Richtlijn: “1.Deze richtlijn harmoniseert de regelgeving van de lidstaten die nodig is om een gelijk 21 niveau van bescherming van fundamentele rechten en vrijheden - met name het recht op een persoonlijke levenssfeer - bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen en om te zorgen voor het vrij verkeer van dergelijke gegevens en van elektronische-communicatieapparatuur en -diensten in de Gemeenschap. 2. Voor op de doelstellingen van lid 1 vormen de bepalingen van deze richtlijn een specificatie van en een aanvulling op Richtlijn 95/46/EG. […]” [Onderstreping door Geschillenkamer]. 24 Zie ook een aanbeveling van de EDPS:“Some Amendments propose an additional exemption to the confidentiality of communications based on legitimate interest of service providers and other parties to process electronic communications data. Neither the current ePrivacy Directive nor the Proposed Regulation contain such exemption and the Draft Report also did not propose any such exemptions, neither for metadata nor for content” (EDPS Recommendations on specific aspects of the proposed ePrivacy Regulation, p. 2, 05_edps_recommendations_on_ep_amendments_en.pdf). https://edps.europa.eu/sites/edp/files/publication/17-10- Beslissing ten gronde 12/2019 - 20/43 Richtlijn als een wettelijke grondslag op zich te beschouwen. De ePrivacy Richtlijn is dan voor deze bepalingen een “lex specialis” die van de AVG afwijkt. Wat er ook van zij, wat betreft de uitzondering voor de levering van een “ uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst […] wanneer dit hiervoor strikt noodzakelijk is”, valt op te merken dat het criterium “noodzakelijk” conform de beschermingsdoeleinden van het Europese gegevensbeschermingsrecht geïnterpreteerd wordt 25, gelet op het feit dat het gebruikt wordt als een uitzondering op het toestemmingsvereiste dat AVG-conform uitgelegd moet worden. De Geschillenkamer is derhalve als orgaan van de GBA bevoegd om de uitzonderingen op het toestemmingsvereiste van artikel 129 WEC te interpreteren 26. 2.2 Vastgestelde inbreuken De verklaringen van de verweerder in zijn conclusie van antwoord en tijdens de hoorzitting bevestigen de vaststelling dat er een aantal inbreuken zijn begaan. 2.2.1 Gebrek aan transparante informatie inzake de privacyverklaring in de oorspronkelijke website (artikel 12 AVG) en inbreuken op de regels inzake de te verstrekken informatie (artikel 13 AVG) Artikel 12.1 AVG bepaalt dat de verwerkingsverantwoordelijke passende maatregelen moet nemen, opdat de betrokkenen de door o.a. artikel 13 van de AVG verplicht gestelde informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in een duidelijke en eenvoudige taal ontvangt. Artikel 12.2 AVG bepaalt dat de verwerkingsverantwoordelijke de rechten van de betrokkene moet faciliteren. Artikel 13.1 en 13.2 AVG bepalen als volgt: Over het begrip “noodzakelijk” in een gegevensbeschermingscontext, zie mutatis mutandis de EDPB Richtsnoeren 2/2019 over de verwerking van persoonsgegevens onder artikel 6.1.b AVG in de context van het verstrekken van online diensten”, randnr. 23-25,: “Necessity of processing is a pre-requisite for both parts of Article 6
(1)(b). At the outset, it is important to note that the concept of what is ‘necessary for the performance of a contract’ is not simply an assessment of what is permitted by or written into the terms of a contract. [...]The concept of necessity has an independent meaning in European Union law, which must reflect the objectives of data protection law. Therefore, it also involves consideration of the fundamental right to privacy and protection of personal data, as well as the requirements of data protection principles including, notably, the fairness principle. The starting point is to identify the purpose for the processing, and in the context of a contractual relationship, there may be a variety of purposes for processing. Those purposes must be clearly specified and communicated to the data subject, in line with the controller’s purpose limitation and transparency obligations.” https://edpb.europa.eu/sites/edpb/files/consultation/edpb_draft_guidelines-art_6-1-final_public_consultation_version_en.pdf:. 25 26 Zie ook Groep Gegevensbescherming, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, WP208, het daarin gestelde over analyse https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2012/wp194_nl.pdf. Beslissing ten gronde 12/2019 - 21/43 1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:
  1. a)de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
  2. b)in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming; c)de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
  3. d)de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
  4. e)in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
  5. f)in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
  6. a)de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;
  7. b)de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
  8. c)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
  9. d)wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
  10. e)dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
  11. f)of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt; Beslissing ten gronde 12/2019 - 22/43
  12. g)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. In het arrest Planet49 heeft het Hof van Justitie geoordeeld dat de verwerkingsverantwoordelijke, voor het plaatsen van cookies, informatie moet geven over hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben, om een behoorlijke en transparante informatie te waarborgen (artikel 5.3 ePrivacy Richtlijn m.b.t. het plaatsen van juncto de informatieverplichtingen uit art. 13.2 (
  13. a)en (
  14. e)AVG) ) . 27 De verwerkingsverantwoordelijke moet ingevolge de artikelen 5.2 en 24 AVG passende technische en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking van persoonsgegevens aan de hand van cookies in overeenstemming met artikelen 12 en 13 AVG wordt uitgevoerd. De verweerder erkent in zijn conclusie dat bepaalde verplichte vermeldingen in de oorspronkelijke privacyverklaring van de website ontbraken, zoals de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, de rechtsgrond voor de verwerking, de bewaartermijn voor de verwerkte gegevens, de rechten die de betrokkenen kunnen inroepen of de mogelijkheid om een klacht bij de Gegevensbeschermingsautoriteit in te stellen. De Geschillenkamer stelt vast dat bepaalde oorspronkelijke gebreken aan informatie in latere versies van de website opgelost werden, zoals hieronder gespecificeerd:  de informatie met betrekking tot de verwerkingsdoeleinden en bewaartermijn van de cookies is in de derde versie van de cookieverklaring per cookie beschikbaar, in tegenstelling tot de vaststellingen m.b.t. de onderzochte versie van 29 april 2019.28  inzake de toegang van derden tot de cookies: reeds in de juli 2019 versie van de website (vierde versie) en steeds in de oktober 2019 versie (vijfde versie) wordt informatie in dat verband verschaft: de naam van de derde partij die de cookie plaatst wordt vermeld, alsook de naam van de derde partij die de cookie gebruikt, in gevallen waarin deze partij verschilt van de partij die de cookie op de website plaatst.29 27 Zoals door het Hof van Justitie in het arrest Planet49 uitgelegd, moet artikel 5 lid 3 van richtlijn 2002/58 zoals gewijzigd bij richtlijn 2009/136 (de zogenoemde “cookiebepaling” uit de ePrivacy Ricthtlijn) “aldus worden uitgelegd dat de aanbieder van diensten de gebruiker van een website onder meer moet informeren over de vraag hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben”, ro 81. 28 Inspectieverslag, p. 6. 29 Conclusie van de verweerder en bijkomend Inspectieverslag, p. 15 en volgende. Beslissing ten gronde 12/2019 - 23/43 Desalniettemin oordeelt de Geschillenkamer dat de verweerder een onzorgvuldige houding aannam ten opzichte van meerdere aspecten van zijn transparantieverplichtingen uit hoofde van art. 12 en 13 AVG. Ten eerste, de tekst van de door de Inspectiedienst onderzochte privacyverklaring dd. 12 maart 2019 strookte niet met de werkelijkheid; analysecookies werden, volgens de beweringen van de verweerder in zijn conclusie, enkel na de toestemming van de betrokken personen gebruikt, dit, in tegenstelling tot de informatie die in de genoemde privacyverklaringen op de website meegedeeld werd.30 De verwerkingsverantwoordelijke moet echter garant staan voor de waarachtigheid en de transparantie van de informatie die hij op zijn website krachtens artikel 12 en 13 AVG ter beschikking stelt. Ten tweede, de oorspronkelijke website voorzag geen middel (bv. een link) om de privacyverklaring gemakkelijk aan de betrokken personen beschikbaar te stellen. De verweerder heeft nu onder elke pagina een cookiebeheer pop-up voorzien, waardoor de internetbezoeker de mogelijkheid krijgt om toegang te krijgen tot de cookieverklaring.31 Ten derde, het verstrekken van informatie in talen die niet met de taal van de doelgroep overeenstemt. Het privacybeleid en het cookiebeheer van de website (versie 12 maart 2019) waren slechts in het Nederlands beschikbaar, terwijl de website zich ook tot Franstaligen richt. 32 Hieraan doet niet af dat de verweerder dit deel van de privacy gerelateerde informatie na een tweede brief van de Inspectiedienst heeft bijgesteld.33 Uit het bijkomend Inspectieverslag dd. 24 oktober 2019 blijkt bovendien ook dat de informatie m.b.t. klikken op de voormelde link “ons cookiebeleid” komt de betrokkene op de webpagina https://Y/cookies/. Daar wordt enkel in het Engels uitleg gegeven over cookies, is er de link “Change your consent” en worden in een tabel verschillende cookies vermeld onder de kolomnamen “Name”, “Provider”, “Purpose”, “Expiry”, en “Type”; die kolomnamen zijn enkel zichtbaar op één van de onderstaande schermafdrukken”.” Ten vierde verwezen eerdere versies van de website naar “US Privacy Law” en de “California Privacy Protection Act”. De verweerder verklaart dat dit het gevolg was van een IT-bug, te weten het inzetten 30 Conclusie van de verweerder, p. 7. 31 PV van de hoorzitting. De Inspectiedienst stelde dat informatie in de eerste versie van de website dd. 12 maart 2019 “enkel beschikbaar is in het Nederlands, terwijl uit de vermelding “Français” links bovenaan blijkt dat die (en bij uitbreiding de website https://Y) zich ook richt tot Franstaligen” (Inspectieverslag, p. 4). 32 33 Op 29 mei 2019 stelt de Inspectiedienst vast dat de vermelde informatie beschikbaar is in het Nederlands en in het Frans. Beslissing ten gronde 12/2019 - 24/43 van een verkeerde “plug-in” bij het terugzetten van een back-up van de website34. De Geschillenkamer verwijst er in dit verband op dat de verweerder in zijn hoedanigheid van verantwoordelijke voor de verwerking de plicht heeft om te waken over de juistheid van de juridische informatie m.b.t. de rechten van de betrokkenen inclusief het rechtskader waarin ze deze rechten kunnen inroepen. Ten vijfde, er bestaat onduidelijkheid omtrent de gebruikte cookies. De lijst van cookies die de verweerder overlegt valt niet samen met de vaststellingen van de Inspectiedienst, met name wat betreft de aanwezigheid van “Google Adsense ”, “Google Tag Manager ” en “Google Analytics ”.35 Dit is te wijten aan het feit dat deze vaststellingen aan de hand van verschillende applicaties werden verricht en dat de “Cookiebot” applicatie volgens de verklaringen van de verweerder tijdens de hoorzitting, er niet in slaagde om een correcte weergave van de geplaatste cookies te geven. De verweerder is dus overgegaan tot het gebruik van een nieuwe technologie om dit te verhelpen. Ten zesde, niet alle onnauwkeurigheden zijn verholpen. In het aanvullende Inspectieverslag stelde de Inspectiedienst bij voorbeeld vast dat de versie van de website (oktober 2019) geen afdoende informatie verstrekte inzake het recht van de betrokkene om zijn toestemming in te trekken. De Inspectiedienst stelde immers vast dat de betrokkene uitgenodigd wordt om daarvoor een schriftelijk bewijs of elektronisch verzoek met bewijs van zijn identiteit “ aan ons” te richten, zonder duidelijke vermelding van de elektronische of andere contactgegevens die daarvoor gebruikt moeten worden. 36. Bovendien bevatte de website de verkeerde vermelding dat bepaalde gegevensverwerkingen “anoniem” verliepen alhoewel er sprake was van de toekenning van een “ willekeurig gekozen identificatienummer” aan elke bezoeker, wat een vorm van pseudonimisatie in de zin van art. 4.1.5 AVG37 is. Van anonimisatie kan er echter slechts sprake zijn als het niet meer mogelijk is om de betrokken gegevens direct of indirect – zo nodig aan de hand van andere informatie - aan een individu toe te schrijven38. Na de hoorzitting heeft de verweerder op dit punt zijn website aangepast. De Geschillenkamer stelt hiermee vast dat de verweerder op een aantal punten onzorgvuldig heeft gehandeld. Hij wijst er daarbij wel op dat de verweerder inspanningen heeft geleverd om de uit hoofde 34 Conclusie van de verweerder, p. 2. 35 N.a.v. onderzoek Inspectiedienst d.d. Maart 2019 (Zie conclusie 9 van de verweerder). Zie ook Stuk 2 van het Inspectieverslag. 36 Bijkomend Inspectieverslag, p. 10. Volgens artikel 4.1.5 AVG is “Pseudonimisering” gedefinieerd als “het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld”. 37 38 Groep Gegevensbescherming, Opinie 05/2014 m.b.t. anonimisatie technieken, WP216, https://ec.europa.eu/justice/article29/documentation/opinion-recommendation/files/2014/wp216_nl.pdf. Beslissing ten gronde 12/2019 - 25/43 van artikel 12 en 13 AVG te verstrekken informatie bij te stellen, weliswaar na ontvangst van de opmerkingen van de Inspectiedienst en/of van de Geschillenkamer. De verweerder gaat er ten onrechte van uit dat de doelgroep van de website, i.e., “ advocaten, fiscalisten, juristen, notarissen, gerechtsdeurwaarders, paralegals, magistraten of rechtenstudenten ” hem van de transparantieverplichtingen uit art. 12 en 13 AVG kan ontslaan. In dat verband stelt de verweerder immers dat de bezoekers van de website een zeer “beknopte” privacyverklaring zouden begrijpen, in de context waarin de doelgroep van de website uit “ advocaten, fiscalisten, juristen, notarissen, gerechtsdeurwaarders, paralegals, magistraten en rechtsstudenten ” bestaat.39 De Geschillenkamer kan dit verweer niet aanvaarden. De privacy informatie moet krachtens artikel 12 AVG weliswaar “begrijpelijk” zijn, wat betekent dat het bericht onder andere qua taalniveau (“duidelijke en eenvoudige taal”) aan de doelgroep aangepast moet worden40. Dat de privacy informatie aldus artikel 12 AVG “beknopt” moet zijn, betekent echter niet dat er afbreuk mag worden gedaan aan het vermelden van krachtens artikel 13 AVG verplichte informatie, zoals de duidelijke aanwijzing van de verantwoordelijke voor de verwerking, zelfs al is de betrokken doelgroep van universitair niveau. Teneinde te voldoen aan het vereiste van het verstrekken van voorafgaandelijke informatie over de identiteit en contactgegevens van de verwerkingsverantwoordelijke conform artikel 13, lid 1 onder
  15. a)AVG, volstaat het bij voorbeeld niet om te vermelden dat de website een “initiatief is van X”. Zoals door de Groep gegevensbescherming nader toegelicht, dient deze informatie “telefoonnummer, email, postadres, enz.) te zorgen voor een gemakkelijke identificatie van de [verwerkingsverantwoordelijke]”41. De Geschillenkamer leidt uit de hierboven opgesomde vaststellingen van inbreuken af dat de verweerder zijn transparantieverplichtingen uit artikel 12 AVG en zijn informatieverplichting uit artikel 13 AVG oorspronkelijk niet naleefde, en dat dit verzuim aan laakbare onzorgvuldigheid te wijten is, in strijd met de verantwoordingsplicht. Hierbij benadrukt de Geschillenkamer dat het de verantwoordelijkheid van de verwerkingsverantwoordelijke is om zelf ervoor te zorgen dat de op de website verstrekte informatie met de werkelijkheid strookt, in overeenstemming met artikel 12 en 13 van de AVG. De Geschillenkamer verwijst hier nadrukkelijk op de in de artikelen 5.2 en 24 AVG vastgelegde verantwoordingsplicht. 39 Conclusie van de verweerder, p. 5. Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, p. 4.; Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260, p. 7: “De vereiste dat informatie 40 “begrijpelijk” moet zijn betekent dat de informatie begrepen moet kunnen worden door een gemiddeld lid van het beoogde publiek. Begrijpelijkheid houdt nauw verband met de vereiste om duidelijke en eenvoudige taal te gebruiken. Een verwerkingsverantwoordelijke die het beginsel van de verantwoordingsplicht in acht neemt zal beschikken over kennis van de personen van wie informatie wordt verzameld en kan deze kennis gebruiken om te bepalen wat de doelgroep waarschijnlijk zal begrijpen. Zo kan een verwerkingsverantwoordelijke die persoonsgegevens van werkende professionals verzamelt ervan uitgaan dat zijn of haar doelgroep een hoger niveau van begrip heeft dan de doelgroep van een verwerkingsverantwoordelijke die persoonsgegevens van kinderen verzamelt. […]”. 41 Groep gegevensbescherming, WP260, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, p. 41. Beslissing ten gronde 12/2019 - 26/43 2.2.2 Verplichtingen inzake toestemming (“opt-in”) (art. 5, art. 6.1.a en art. 4.11 juncto art. 7 AVG, samen gelezen met art. 129 WEC) en verplichtingen inzake de intrekking van de toestemming (art. 5, art. 6.1.a en art. 4.11 juncto art. 7.3 en 13.2.c AVG, samen gelezen met art. 129 WEC) (
  16. a)Herhaling van de toepasselijke AVG-regels a.1 Het recht inzake toestemming Art. 5.3 van de ePrivacy Richtlijn, zoals omgezet in art. 129 WEC, stelt de voorwaarde dat de gebruiker “toestemming heeft verleend” voor het plaatsen en raadplegen van cookies op zijn eindapparatuur, met uitzondering van de technische opslag van informatie of de levering van een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst wanneer het plaatsen van een cookie daarvoor strikt noodzakelijk is. Overweging 17 van deze Richtlijn verduidelijkt dat voor de toepassing ervan het begrip “ toestemming” dezelfde betekenis moet hebben als “toestemming van de betrokkene” zoals gedefinieerd en nader bepaald in de Gegevensbeschermingsrichtlijn 95/4642, welke nu door de AVG vervangen is. Het Europees Hof van Justitie heeft in het arrest Planet49 het toestemmingsvereiste voor het plaatsen van cookies ten gevolge van de inwerkingtreding van de AVG verduidelijkt, als volgt uitgelegd, in deze zin dat een uitdrukkelijke actieve toestemming voortaan voorgeschreven is : “In verordening 2016/679 wordt nu dus uitdrukkelijk actieve toestemming voorgeschreven. In dit verband moet worden opgemerkt dat volgens overweging 32 van deze verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een bezoek aan een website. Daarentegen sluit deze overweging uitdrukkelijk uit dat „stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” als toestemming mogen gelden. Hieruit volgt dat de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, niet rechtsgeldig is verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.” (De Geschillenkamer onderlijnt)43. 42 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. 43 Arrest Planet49, ro. 61 en 62. Beslissing ten gronde 12/2019 - 27/43 De toestemming moet bovendien “specifiek” zijn. De Geschillenkamer verwijst naar de Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 44 die door de EDPB zijn bekrachtigd: “Artikel 6, lid 1, onder
  17. a)bevestigt dat de toestemming van de betrokkene verleend moet worden met betrekking tot "een of meer specifieke" doeleinden, en dat een betrokkene een keuze heeft ten aanzien van elk van deze doeleinden”45. Dit betekent “dat een verwerkingsverantwoordelijke die toestemming wil krijgen voor een aantal verschillende doeleinden, voor elk doel een afzonderlijke opt-in moet aanbieden om gebruikers in staat te stellen om specifieke toestemming te verlenen voor specifieke doeleinden.”.46 Meer in het bijzonder geldt dat de website gebruiker o.a. informatie moet krijgen over de manier waarop hij zijn wilsuiting ten aanzien van cookies kan uitdrukken en hoe hij alle, bepaalde of geen Groep Gegevensbescherming m.b.t. de manier waarop de toestemming verkregen moet worden. Volgens de Groep Gegevensbescherming moet de toestemming per cookie of per categorie van cookie verkregen worden48. a.2 Het recht inzake de intrekking van de toestemming Art. 7.3 AVG stelt strenge voorwaarden aan het intrekken van een geldige toestemming (art. 7.3 AVG): (
  18. a)de betrokkene heeft het recht zijn toestemming te allen tijde in te trekken, (
  19. b)hij moet daarvan op voorhand in kennis worden gesteld, en (
  20. c)het intrekken van de toestemming moet even eenvoudig zijn als het geven ervan. Ingevolge art. 129 WEC, laatste lid is de verwerkingsverantwoordelijke verplicht om de eindgebruikers van de betrokken apparatuur “gratis” de mogelijkheid te bieden om “op eenvoudige wijze de gegeven toestemming in te trekken” . Dit recht op het intrekken van de toestemming moet dus het voorwerp van een voorafgaandelijke kennisgeving uitmaken (art. 7.3.b), en moet ook samen gelezen worden met de eis van een behoorlijke en transparante verwerking in de zin van artikel 5 en 13.2.c AVG. Een onbestaande of gebrekkige informatie inzake het recht om de toestemming in te trekken zou tot gevolg hebben dat de toestemming de facto voor oneindige duur gegeven wordt, en dat de betrokkene van zijn recht wordt beroofd wordt om zijn toestemming in te trekken. 44 Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, p. 4. 45 Ibid., p. 14. 46 Ibid., p. 14. 47 Groep Gegevensbescherming, Working Document 02/2013, providing guidance on obtaining consent for cookies”, p. 3, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp208_en.pdf. 48 Ibid. Beslissing ten gronde 12/2019 - 28/43 Deze regels gelden zowel voor wat betreft zogenoemde “eerste partij” als voor “derde partij” cookies, zoals hieronder uiteengezet. (
  21. b)Vaststellingen Zoals hierna verder uiteengezet stelt de Geschillenkamer aan de hand van het eerste Inspectieverslag d.d. 29 mei 2019 vast dat - er op de website geen toestemmingsproces voorzien was voorafgaand aan het plaatsen van “eerste partij” analyse cookies op de eindapparatuur van de websitegebruikers, dit, volgens de privacyverklaring dd. 12 maart 2019 en dd. 29 april 2019, en dat de verweerder onterecht de wettelijke basis “gerechtvaardigd belang” in dat verband inroept (inbreuk op artikelen 5, 6.1.a en 4.11 juncto art. 7 AVG); - de website vooraf aangevinkte vakjes voor het bekomen van de toestemming voor cookies gebruikte; - de twee eerst onderzochte versies van de website dd. 12 maart 2019 en 29 april 2019 niet vermeldden hoe de betrokkene een gegeven toestemming voor het gebruiken van cookies door de verwerkingsverantwoordelijke of door derden kan intrekken (inbreuk op artikel 7.3 AVG). (
  22. c)Verweer wat betreft het toestemmingsproces In zijn eerste Inspectieverslag stelde de Inspectiedienst vast dat er op de website geen toestemming gevraagd was voorafgaand aan het plaatsen van analyse cookies (zonder onderscheid tussen “eerste partij” en “tweede partij” analyse cookies) op de eindapparatuur, en dat de verweerder naar “ons gerechtvaardigd belang” als rechtsgrond verwijst voor cookies die gebruikt worden “met het oogmerk om uw gebruik van de website te vereenvoudigen en om statistische gegevens met betrekking tot het gebruik van de website te verzamelen”.49 De verweerder stelde in zijn brief dd. 29 mei 2019 aan de Inspectiedienst dat de website naar aanleiding van de vaststellingen van 12 maart 2019 aangepast werd, wat betreft de toestemming voor het gebruik van cookies en het intrekken van de toestemming. De verweerder stelde in zijn conclusie van 29 juli 2019 dat de website (versie van mei 2019) wel degelijk een toestemming vroeg voorafgaandelijk aan het plaatsen van analyse cookies, en dit, in 49 Inspectieverslag, p. 9. Beslissing ten gronde 12/2019 - 29/43 tegenstelling tot de toenmalige verspreide privacy informatie. De verweerder betwist ook niet dat op de eerste twee versies van de website geen toestemming werd gevraagd. Dit wordt bevestigd in de overzichtstabel die door de verweerder tijdens de hoorzitting werd overgelegd. De Geschillenkamer stelt vast dat de toestemming voor het gebruik van niet strikt noodzakelijke cookies in maart en april 2019 niet werd gevraagd. Wat betreft de website versie van mei 2019 stelde de verweerder in zijn conclusie dat de toestemming wel degelijk gevraagd was, in tegenstelling tot de vermeldingen in de privacyverklaring van de website: “Ondanks de vermelding van de verwerking van cookies voor de vereenvoudiging van het gebruik van de website en de verzameling van statistische gegevens, werden deze gegevens enkel verzameld na de toestemming van de betrokkene. […] Uit stuk 10 blijkt dat de analysecookies niet ingeladen worden zonder dat de toestemming gegeven wordt (cf. cookievenster op de achtergrond).”. De Geschillenkamer kan echter uit de door de verweerder voorgelegde stukken niet opmaken of de toestemming van de betrokkenen wel degelijk en in concreto voorafgaandelijk aan het plaatsen van “eerste partij” analysecookies gevraagd werd in de versie van de website dd. 29 mei 2019. De voorgelegde stukken bevatten geen datum waaruit zou blijken dat de toestemming wel degelijk gevraagd werd in de betrokken periode. Meer fundamenteel is er geen beschrijving voorhanden van het door de verweerder beweerde toestemmingsproces. De Geschillenkamer oordeelt derhalve dat verweerder er niet in slaagt de volgende vaststellingen van de Inspectiedienst te weerleggen: - “de toestemming voor het gebruiken van cookies door de verwerkingsverantwoordelijke of door Google wordt niet gevraagd aan de betrokkenen” (vaststellingen van 12 maart 2019 en 29 april 2019); - in het privacybeleid van de website wordt er verwezen naar “ons gerechtvaardigd belang” als “rechtsgrond voor cookies die gebruikt worden met het oogmerk om uw gebruik van de website te vereenvoudigen en om statistische gegevens met betrekking tot het gebruik van de website te verzamelen” (vaststelling van 29 mei 2019) .50 (
  23. d)Wat betreft “eerste partij” analyse cookies: De verweerder stelt dat de cookies voor het analyseren van het gebruik van de website en het opmaken van statistieken “essentiële” cookies zijn “voor het platform en het aantrekken van (in het 50 Inspectieverslag, p. 11. Beslissing ten gronde 12/2019 - 30/43 bijzonder vaste) auteurs”. De Geschillenkamer begrijpt dat de verweerder daarmee bedoelt dat deze verstande dat geen toestemming vereist is voor het plaatsen van dergelijke “ strikt noodzakelijke” Verweerder stelt in zijn conclusie dat de “statistische en analytische cookies” onontbeerlijk zijn om aan de auteurs van de website “essentiële inzichten met betrekking tot de door hen geschreven artikelen ” te bezorgen want “de auteurs zijn en blijven immers enkel bereid om artikels aan [de website] te bezorgen indien blijkt dat zij een groot aantal lezers bereiken”. (d.1) Definities van “eerste partij” versus “derde partij” cookies Of een cookie al dan niet van de “eerste partij” of van de “derde partij” is hangt af van de website of het domein dat de cookie plaatst en verwerkt. Eerste partij cookies worden rechtstreeks geplaatst door de website die door de Internet gebruiker bezocht wordt. […]. “Derde partij” cookies worden geplaatst door een domein dat verschilt van het domein dat door de Internet gebruiker bezocht wordt. Dit gebeurt typisch wanneer de website elementen incorporeert vanuit andere websites zoals beelden, sociale media “plugins” of advertenties. Wanneer deze elementen door de browser of andere software vanuit andere websites gehaald worden, kunnen ze ook cookies plaatsen. 52 “Derde partij” cookies maken het mogelijk “dat er persoonsgegevens worden verzonden naar derden hetzij direct (bv. door een actief bestanddeel dat aan een banner is gekoppeld of een spionpixel), hetzij indirect door cookies te plaatsen die toegankelijk zijn voor andere websites dan deze van de adverteerder”53. Deze gegevensdoorgiftes gebeuren impliciet tijdens het opladen van de pagina “en dus zonder medeweten van de internetgebruiker” 54. “Eerste partij” cookies veronderstellen geen doorgifte van persoonsgegevens aan derde partijen, maar kunnen van een derde verwerker gebruik maken, bij voorbeeld voor het opmaken van statistieken. Op voorwaarde dat de derde verwerker deze gegevens niet gebruikt voor zijn eigen doeleinden, zijn dergelijke cookies in principe minder privacy-intrusief. Dit neemt niet weg dat ze een verwerking van Voor zover van belang luidt art. 129 WEC als volgt: “De opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker is slechts toegestaan op voorwaarde dat : […] 2° de abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn overeenkomstig de bepalingen in 1°. Het eerste lid is niet van toepassing voor de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie via een elektronische-communicatienetwerk uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit hiervoor strikt noodzakelijk is.” [Onderstreping door Geschillenkamer]. 51 Gebaseerd op ICO, Guidance on the use of cookies and similar technologies, onder de titel “What are ‘first party’ and ‘third https://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-use-of-cookies-and-similartechnologies/what-are-cookies-and-similar-technologies/#cookies. 52 party’ 53 CBPL, Aanbeveling over het gebruik van cookies nr. 01/2015 van 4 februari 2015, p. https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_01_2015.pdf. 54 Ibid. 21, Beslissing ten gronde 12/2019 - 31/43 (al dan niet gepseudonimiseerde) persoonsgegevens veronderstellen, en dat deze verwerking aan de AVG regels inzake toestemming (en aan artikel 129 WEC) onderworpen is. (d.2) Analyse cookies Analyse cookies “verzamelen informatie over de technische gegevens van de uitwisseling of over het gebruik van de website (bezochte pagina’s, gemiddelde duur van het bezoek,...) om de werking ervan te verbeteren [dit is te zeggen om het gebruik van de website te leren kennen]. De gegevens die op die manier door de website worden verzameld, zijn in principe samengevoegd en worden anoniem verwerkt maar kunnen ook voor andere doeleinden worden verwerkt .” 55 Het feit dat de gegevens door analyse cookies vaak anoniem verwerkt worden betekent niet dat het verwerkingsproces vanaf het begin volledig anoniem is. (d.3). “Eerste partij” analyse cookies De verweerder verwijst naar de opinie van de Groep gegevensbescherming over de vrijstellingen van het toestemmingsvereiste voor cookies (WP 194) ter ondersteuning van zijn standpunt dat de toepasselijke wetgeving geen toestemming voor dergelijke vereist. De groep gegevensbescherming stelde dat “eerste partij” analyse cookies onder bepaalde voorwaarden geen privacy risico opleveren: “Volgens de groep is het echter niet waarschijnlijk dat analysecookies van de eerste partij een privacyrisico opleveren, indien zij strikt worden beperkt tot geaggregeerde statistieken ten behoeve van de website-exploitant en worden ingezet door websites die in hun privacybeleid al duidelijke informatie geven over deze cookies en passende privacywaarborgen bieden”56. De Geschillenkamer betwist deze vaststelling van de Groep Gegevensbescherming niet, maar stelt vast dat deze geen gevolg heeft voor het vereiste van toestemming. Volgens de huidige stand van de wetgeving bestaat geen uitzondering voor toestemming voor “eerste partij analytische cookies”, zodat een voorafgaandelijke toestemming voor het plaatsen van dergelijke cookies wel degelijk vereist is. De Geschillenkamer wijst in dit verband op een advies van de rechtsvoorganger van de GBA (Commissie Bescherming Persoonlijke Levenssfeer) dat stelde dat het “ aan de wetgever is om de problematiek op te helderen van de niet-vrijstelling van de toestemming van de gebruikers in verband met de cookies voor analyse van de herkomst” 57. 55 Ibid., p. 23. Zie ook: Groep gegevensbescherming, Advies 4/2012 over ontheffing van de toestemmingsverplichting voor 56 Groep Gegevensbescherming, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, WP208, p. 10. 57 CBPL, Aanbeveling uit eigen beweging over het gebruik van cookies nr. 01/2015, Ibid, randnr. 311, p. 64. Beslissing ten gronde 12/2019 - 32/43 De Geschillenkamer kan in dat verband niet vooruitlopen op de uitkomst van de debatten over een mogelijke toekomstige wijziging en eventuele versoepeling op Europees niveau van de regels vervat in de ePrivacy Richtlijn 2002/58/EC58, en stelt vast dat toestemming nog steeds vereist is voor het plaatsen van analyse cookies, zodat het gebrek aan toestemming een inbreuk op artikel 6, en 7 juncto art. 4.11 AVG, samen gelezen met artikel 129 WEC, uitmaakt. De Geschillenkamer is van oordeel dat “eerste partij” statistische cookies niet onder de uitzondering “strikt noodzakelijke cookies” uit artikel 5.3 lid 2 van de ePrivacy Richtlijn vallen, welke uitzondering zoals hierboven uiteengezet op de AVG rechtsgrond “gerechtvaardigd belang” zou kunnen steunen in de mate dat de ePrivacy Richtlijn de AVG op dat punt specificeert en aanvult 59. De Geschillenkamer oordeelt dat statistische cookies niet beschouwd kunnen worden als cookies die strikt noodzakelijk zijn om een door een abonnee gevraagde dienst te leveren, in de zin van artikel 129 lid 2 WEC. Het begrip “noodzakelijk” moet conform de beschermingsdoeleinden van het Europese gegevensbeschermingsrecht geïnterpreteerd worden60, in de zin dat deze uitzondering enkel in het belang van de betrokkenen (website bezoekers) en niet in het exclusief belang van de verstrekkers van de informatiedienst ingeroepen mag worden. Ook al vinden website operators dat deze cookies voor het verstrekken van hun dienst onontbeerlijk zijn, zijn ze per se niet absoluut noodzakelijk om de door de website bezoeker gevraagde informatieve dienst te leveren. 61 De Geschillenkamer sluit niet uit dat bepaalde statistische cookies onder bepaalde voorwaarden wel degelijk strikt noodzakelijk zouden zijn voor het verstrekken van een door de betrokkene gevraagde (bij voorbeeld informatieve) dienst, om bij voorbeeld navigatieproblemen te detecteren. Daarvan is echter in deze zaak geen sprake. 58 Voorstel voor een Verordening van het Europees Parlement en de Raad met betrekking tot de eerbiediging van het privéleven en de bescherming van persoonsgegevens in elektronische communicatie, en tot intrekking van Richtlijn 2002/58/EG (richtlijn betreffende privacy en elektronische communicatie), COM/2017/010 final. 59 Zie uitleg onder titel 2.1 “bevoegdheid van de Geschillenkamer”. De Geschillenkamer kan zich niet meer vinden in de (hiermee strijdige) stelling van de CBPL in de inmiddels verouderde aanbeveling nr. 1/2015 dat “overeenkomstig de diverse standpunten, kan worden gesteld dat deze verwerking [eerste partij statistische (analyse) cookies] beantwoordt aan een gerechtvaardigd belang van de verantwoordelijke voor de verwerking op voorwaarde dat de cookies eigen zijn aan de bezochte website en dat de statistieken strikt anoniem zijn” (p. 63, randnr 308). 60 Over het begrip “noodzakelijk” in een gegevensbeschermingscontext, EDPB Richtsnoeren 2/2019, aangehaald in voetnoot 25. 61 Zie in dezelfde zin, Groep Gegevensbescherming, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor zijn zij niet strikt noodzakelijk om een door de gebruiker of abonnee uitdrukkelijk gevraagde functie aan te bieden. De gebruiker kan namelijk toegang krijgen tot alle functies die de website biedt, ook als dergelijke cookies uitgeschakeld zijn. Deze cookies vallen dus niet onder een ontheffing op grond van [artikel 5.3 lid 3]”, p.11. Zie ook ICO, “How do the exemptions apply to different types of cookies”: “You are likely to view analytics as ‘strictly necessary’ because of the information they provide about how visitors engage with your service. However, you cannot use the strictly necessary exemption for these. Consent is required because analytics cookies are not strictly necessary to provide the service that the user requests. For example, the user can access your online service whether analytics cookies are enabled or not.”, https://ico.org.uk/for-organisations/guide-topecr/guidance-on-the-use-of-cookies-and-similar-technologies/how-do-we-comply-with-the-cookie-rules/COlytics, Beslissing ten gronde 12/2019 - 33/43 Wat betreft alle cookies die niet strikt noodzakelijk zijn voor het verstrekken van de betrokken dienst van de informatiemaatschappij, is de Geschillenkamer van oordeel dat de toestemming in de zin van artikel 7 en 6.11 AVG wel degelijk vereist is voorafgaandelijk aan het plaatsen van de cookie op de eindapparatuur van de betrokkene. (d.4) Beslissing wat betreft de “eerste partij” analyse cookies op de website Ook al is de Geschillenkamer bereid om rekening te houden met de mogelijk geringe impact van de “eerste partij” analytische cookies van de website op het vlak van mogelijke sancties 62, dit, onder voorbehoud van een onderzoek naar het doeleinde van de verwerking door eventuele verwerkers die de gegevens in opdracht van de verwerkingsverantwoordelijke zouden verwerken, dan nog kan de Geschillenkamer de argumenten van de verweerder in verband met het “ essentiële” karakter van de betrokken “eerste partij” cookies niet aanvaarden. Immers, uit de conclusie van de verweerder blijkt dat de desbetreffende cookies niet “strikt noodzakelijk” zouden zijn om de informatieve dienst aan de betrokkenen te verstrekken, maar wel gebruikt zouden worden om geaggregeerde informatie aan derden te verstrekken. Derhalve stelt de Geschillenkamer vast dat de AVG is overtreden. Ten overvloede herinnert de Geschillenkamer de verweerder eraan dat de uitzondering van toestemming uit artikel 129 WEC enkel geldt voor het verstrekken van diensten aan de abonnees of eindgebruikers van een informatiedienst - zoals de dienst die door de website aan zijn internetbezoekers verstrekt wordt - en dat deze vrijstelling enkel geldt voor de abonnees of eindgebruikers op wiens eindapparatuur de cookie geplaatst wordt. Deze vrijstelling is derhalve niet van toepassing op het plaatsen van cookies die – volgens de verklaringen van de verweerder zelf het leveren van analytische diensten aan de auteurs/bijdragers van de website beogen, vermits die auteurs geen abonnees of eindgebruikers zijn van de betrokken informatiedienst, die volgens de beschrijving van de website zelf op het verstrekken van juridische informatie slaat.63 De Inspectiedienst heeft vastgesteld dat de website op 12 maart 2019 en op 29 april 2019 cookies van “Google Analytics” gebruikte, zonder daar toestemming voor te vragen. Ten overvloede wijst de Geschillenkamer er nog op dat in de laatst beschikbare cookieverklaring (versie van de website zoals na de hoorzitting voorgelegd), deze cookie door de verweerder als een “eerste partij” cookie wordt beschreven. Aangezien de Inspectiedienst de aard van de betrokken cookies alsook de onderliggende gegevensstromen op de website niet heeft onderzocht, zal de Geschillenkamer zich onthouden van 62 Zie ICO:“Although the ICO cannot rule out the possibility of formal action in any area, this may not always be the case where the setting of a first-party analytics cookie results in a low level of intrusiveness and low risk of harm to individuals.”, Ibid. 63 Conclusie verweerder, p. 6. Beslissing ten gronde 12/2019 - 34/43 enige kwalificatie van deze “Google Analytics” cookies als “eerste partij” (met al dan niet analyse door een derde verwerker) of “derde partij” in concreto. Dit zou immers een nauwkeurige analyse van de betrokken website en de achterliggende IT en juridische omgeving vereisen. De Geschillenkamer kan enkel vaststellen dat de betrokken versies van de website d.d. 12 maart 2019 en 29 april 2019 geen toestemmingsproces voorzagen voor het gebruiken van niet essentiële cookies door de verwerkingsverantwoordelijke. In de derde versie van de website (29 mei 2019) wordt er volgens het Inspectieverslag en de verklaringen van de verweerder tijdens de hoorzitting wel in een toestemmingsproces voorzien voor het gebruik van cookies die niet strikt noodzakelijk zijn64. De Inspectiedienst heeft vastgesteld dat de website op 13 maart 2019 en op 29 april 2019 analyse Nochtans stelde de verweerder in zijn conclusie met betrekking tot deze twee versies van de website dat “de cookies die op dat moment gebruikt werden, identiek [waren] aan de cookies die thans nog op de website gebruikt worden”. 65 De verwerkingsverantwoordelijke legde tijdens de hoorzitting uit dat de problemen omtrent het bijwerken van de lijst van aanwezige cookies aan de “Cookiebot” technologie te wijten was, en dat hij ondertussen van technologie veranderd is om dit te verhelpen. De Geschillenkamer neemt akte van de aangepaste cookieverklaring die door de verweerder na de zitting werd neergelegd. Hierin verklaart verweerder dat er wel degelijk een voorafgaandelijk toestemmingsproces voorzien is wat betreft “eerste partij” analyse cookies, die de verweerder tot twee soorten cookies beperkt heeft: de cookies van “Google Analytics” en “Pikwik”. De Geschillenkamer heeft echter dit toestemmingsproces in concreto niet kunnen onderzoeken en deze blijft dan ook buiten beschouwing in deze beslissing. (
  24. e)Wat betreft “derde partij” cookies De verweerder heeft een lijst neergelegd van cookies die in de websiteversie van juli gebruikt waren, waaronder cookies die door het domein van derde partijen zoals “ doubleclick.net” of “youtube.com” (beide gerelateerd aan Google) geplaatst worden. Gelet op het gebrek aan nauwkeurigheid van de door de “Cookiebot” technologie bijgewerkte lijsten, volgens de latere verklaringen van de verweerder, kan de Geschillenkamer geen definitieve vaststelling 64 65 Inspectieverslag, p. 10. In zijn conclusie (p. 7 en 8) verwijst de verweerder naar de versie van de website die dateert van voor de aanpassing waardoor toestemming voor cookies gevraagd werd. Beslissing ten gronde 12/2019 - 35/43 maken noch wat betreft de derde partij cookies die aanwezig waren op de twee eerste versies van de website noch wat betreft het ontbreken van een toestemming voor het plaatsen van “derde partij” (
  25. f)Beslissing met betrekking tot het toestemmingsvereiste (“opt-in”) inzake cookies De Geschillenkamer moet dus vaststellen dat de verweerder in de onderzochte versies van de website dd. 12 maart 2019 en 29 april 2019 geen toestemming vroeg daar waar toestemming was vereist, voor het vergaren en verwerken van persoonsgegevens aan de hand van “eerste partij” cookies. Daarenboven heeft de Inspectiedienst op de website d.d. 29 mei 2019 vastgesteld dat er reeds aangekruiste vakjes bij de voorkeuren inzake cookies waren, wat volgens overweging 32 AVG niet als toestemming geldt. In dit verband zij ook gewezen naar het arrest Planet 49, waarin het Europees Hof van Justitie stelt “dat volgens overweging 32 van deze verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een bezoek aan een website ”. Daarentegen sluit deze overweging uitdrukkelijk uit dat „stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” als toestemming mogen gelden.” 66 De verweerder legt in zijn conclusie uit dat hij bewust gekozen heeft om van een “opt-in” systeem over te stappen naar een “opt-out” systeem met vooraf aangevinkte vakjes (met alle vakjes vooraf aangevinkt met het oog op de aanvaarding van het gebruik van cookies). Hiermee staat de inbreuk op art. 6 en 7 juncto 4.11 van de AVG vast. (
  26. g)Verweer met betrekking tot het recht om de toestemming in te trekken De Geschillenkamer gaat niet in op de vaststelling uit het eerste Inspectieverslag dat de derde onderzochte versie van de website een knop “OK” bevat om cookies te aanvaarden, maar geen knop om cookies te weigeren. In zijn conclusie merkt de verweerder terecht op dat dergelijke “opt-out” knop op zich niet vereist is en dat de website van de GBA – die in principe een voorbeeldfunctie heeft - trouwens eveneens geen expliciete “opt-out” functie” naast de “opt-in” functie bevat. Bij zijn conclusie legt verweerder een stuk neer, waaruit zou moeten blijken dat de bezoeker van de website “op een eenvoudige wijze het gebruik van (niet-noodzakelijke) cookies eenvoudig (impliciet) [kan] weigeren”. Het gaat om een cookie-banner waarop het volgende te lezen is: “Sommige cookies zijn noodzakelijk om de website goed te doen functioneren en kan u niet weigeren indien u deze 66 Arrest Planet49, ro. 62. Zie ook ro. 63-64. Beslissing ten gronde 12/2019 - 36/43 website wilt bezoeken. Andere cookies gebruiken we voor analysedoeleinden. Deze kan u weigeren indien u dit wenst. Meer info.” De verweerder toont echter niet aan hoe eenvoudig het vervolgens is om de toestemming voor de cookies te weigeren, nadat op “meer info” geklikt werd. In de laatst door de Inspectiedienst onderzochte versie van de website blijkt dat de informatie voor de betrokkene over het recht om zijn toestemming in te trekken niet voldoende is om een effectieve uitoefening van het recht toe te laten. De Inspectiedienst stelde immers op 17 oktober 2019 vast dat de betrokkene die zijn toestemming wil intrekken daarvoor een schriftelijk of elektronisch verzoek met bewijs van zijn identiteit “aan ons” moet richten, zonder dat daarbij verwezen wordt of melding gemaakt wordt van de contactgegevens die de betrokkene daarvoor moet overmaken. De Geschillenkamer herinnert de verweerder eraan dat de betrokkene krachtens artikel 7.3 het recht heeft om zijn toestemming ten allen tijde in te trekken, en moet het intrekken van de toestemming even eenvoudig zijn als het geven ervan. Daarbij moet de betrokkene krachtens dezelfde AVG-bepaling in kennis van dit recht gesteld worden, dit, alvorens hij zijn toestemming geeft (art. 7.3 AVG). In zijn aanvullende nota legt de verwerkingsverantwoordelijke uit dat de cookieverklaring en privacyverklaring naar aanleiding van het aanvullend verslag van de Inspectiedienst aangepast werd “om de mogelijkheid tot intrekking van de toestemming m.b.t. cookies duidelijker te maken ”.67 De Geschillenkamer oordeelt dat de verweerder in de laatst onderzochte versie van de website (d.d. oktober 2019) een inbreuk op artikel 7.3 van de AVG pleegt, doordat het intrekken van de toestemming daar niet even gemakkelijk is dan het geven ervan, en omdat de betrokkene er niet voldoende informatie krijgt over de manier waarop hij zijn toestemming kan intrekken (vaagheid over de te gebruiken contactgegevens en contactmiddelen). (
  27. h)Overige vaststellingen van het laatste Inspectieverslag dd. oktober 2019 wat betreft het plaatsen van 4 cookies zonder toestemming en wat betreft de voorwaarde van een “specifieke” toestemming In het bijkomend Inspectieverslag stelt de Inspectiedienst vast dat de website 4 cookies plaatst voordat de gebruiker verwittigd wordt en zich heeft uitgesproken om de cookies al dan niet te aanvaarden.68 Het gaat om 3 cookies geplaatst door de website zelf en 1 cookie geplaatst vanuit het Cloudflare.com domein. De Inspectiedienst legt niet uit in welke mate dit een inbreuk op de AVG zou uitmaken, onder andere omdat er niet wordt aangetoond dat dergelijke cookies wel degelijk een voorafgaandelijke toestemming vereisen en niet onder één van de uitzonderingsgevallen uit artikel 5.3 67 Aanvullende nota van de verwerkingsverantwoordelijke, p. 5 en 6. 68 Bijkomend Inspectieverslag, p. 9. Beslissing ten gronde 12/2019 - 37/43 van de ePrivacy Richtlijn (en art. 129 WEC) vallen (zoals bij voorbeeld een technische opslag of cookies die essentieel zouden zijn voor de door de abonnee gevraagde dienst). De Geschillenkamer houdt dus geen rekening met deze vaststellingen. Het bijkomend Inspectieverslag beschrijft het concreet toestemmingsproces op de website d.d. 17 oktober 201969, en stelt vast dat de gebruiker zich niet kan uitspreken over een individuele keuze, “cookie per cookie”. De Inspectiedienst vindt dat de manier waarop de toestemming verkregen wordt, met enkel de keuze om hetzij het geheel van cookies te aanvaarden, hetzij om enkel de noodzakelijke door artikel 4, punt 11 [juncto art. 7] van de AVG “aangezien ze niet specifiek is” (Ibid., p. 8). De Geschillenkamer stelt vast dat de Groep 29 in zijn eerdere richtsnoeren inzake cookies een dergelijke granulariteit in de toestemming niet expliciet vereist en dat het volstaat om een keuze aan te bieden per “soort cookie of categorie doeleinden van deze cookies ”.70 Deze richtsnoeren dateren echter van de periode voorafgaand aan de AVG. In zijn Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 van 10 april 2018 heeft de Groep gegevensbescherming uitgelegd dat de voorwaarde van een “ specifieke” toestemming door de AVG niet gewijzigd is: “De eis dat de toestemming "specifiek" moet zijn, beoogt te zorgen voor een zekere mate van controle en transparantie voor de betrokkene. Deze eis is door de AVG niet gewijzigd, en blijft nauw verbonden aan de eis van "geïnformeerde" toestemming. Tegelijkertijd moet dit worden geïnterpreteerd in overeenstemming met de eis van "granulariteit" om "vrije" toestemming te verkrijgen. Kortom, om te voldoen aan het element van "specifiek" moet de verwerkingsverantwoordelijke het volgende toepassen: (
  28. i)Specificatie van doeleinden als een bescherming tegen 'function creep', (
  29. ii)Granulariteit in toestemmingsverzoeken, en (iii) Een duidelijke scheiding van informatie met betrekking tot het verkrijgen van toestemming voor verwerkingsactiviteiten van informatie over andere zaken.” 71 Rekening houdend met de tot nu toe interpretatie en beschikbare informatie m.b.t. het vereiste van een “specifieke” toestemming onder artikel 4, punt 11 [juncto art. 7] van de AVG, oordeelt de 69 Bijkomend Inspectieverslag, p. 8. Richtsnoeren m.b.t. de manier waarop de toestemming m.b.t. cookies verkregen moet https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp208_en.pdf, p. 3. 70 71 worden, Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP260, p. 13. Beslissing ten gronde 12/2019 - 38/43 Geschillenkamer dat er op dit specifieke punt geen inbreuk is op het toestemmingsvereiste van de AVG. In casu gebruikte de website in juli 2019 bij voorbeeld 47 cookies.72 Het kan niet de bedoeling van de AVG zijn om per se een toestemming voor elk van deze 47 cookies te eisen. De AVG vereist echter wel een meer granulaire keuze dan een simpele “alles” of “niets”. De Geschillenkamer oordeelt dus dat de toestemming in eerste instantie niet per cookie maar per soort cookie verkregen moet worden, gelet op het belang om het vereiste van specifieke toestemming met het vereiste van een duidelijke informatie af te wegen. De website (versie oktober 2019) geeft een keuze tussen soorten van cookies, met de mogelijkheid voor de betrokkenen om informatie te krijgen over de individuele cookies die onder elke categorie van bepaalde cookies onder dezelfde categorie (b.v. “marketing cookies” of “statistische cookies”) al dan niet te aanvaarden, wat volgens de Geschillenkamer verantwoord is. De Geschillenkamer sluit evenwel niet uit dat een keuze per cookie toch relevant zou zijn, maar dan in tweede instantie, in de context van een tweede informatieve laag. Nadat de betrokkene zijn toestemming per categorie van cookie heeft kunnen uitdrukken zou hij in de toekomst idealiter ook zijn toestemming desgewenst per type cookie, binnen elke categorie, moeten kunnen uitdrukken. Weliswaar moet de interpretatie van de AVG en van het toestemmingsvereiste ook rekening houden met de evolutie van de maatschappij inclusief de verwachtingen van idealiter steeds meer ITonderlegde en privacy-bewuste doorsnee internetgebruikers, die hun voorkeuren zouden willen uitdrukken tussen verschillende cookies afhankelijk b.v. van het al dan niet intrusief karakter van bepaalde cookies en/of afhankelijk van de reputatie van de derde partij die de cookie op de website zou plaatsen. 2.2.3 Overige verweermiddelen van de verwerkingsverantwoordelijke In zijn uiteenzetting van de feiten stelt de verweerder dat bepaalde vaststellingen van de Inspectiedienst “buiten het oorspronkelijke toepassingsgebied van de aanwijzingen vallen” (conclusie, p. 2). De Geschillenkamer wenst hierbij te benadrukken dat de Inspectiedienst krachtens de WOG niet gebonden is aan de draagwijdte van zijn eerste vaststellingen en ad nutum al dan niet bijkomende vaststellingen mag verrichten op grond van zijn initiatiefrecht. 72 Conclusie van de verweerder. Beslissing ten gronde 12/2019 - 39/43 De aanhangingmaking bij de Inspectiedienst mag immers gebeuren “uit eigen beweging wanneer zij ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens” (artikel 63, 6° WOG). De Geschillenkamer kan vervolgens door de Inspectiedienst naar aanleiding van zijn nieuwe vaststellingen krachtens artikel 92, 3° WOG gevat worden. Ze zorgt ervoor dat alle door de Inspectiedienst opgeworpen grieven m.b.t. aanwijzingen van een inbreuk op de AVG, aan een tegensprekelijk debat met eerbiediging van de rechten van de verdediging onderworpen worden. Voor alle duidelijkheid is de bevoegdheid van de Geschillenkamer niet beperkt tot de feiten waarvan ze door de Inspectiedienst bij toepassing van artikel 92, 3° op de hoogte wordt gesteld. De Geschillenkamer is dus vrij om, onder eerbiediging van de rechten van de verdediging, de aan zijn beoordeling voorgedragen feiten, door middel van vragen aan de verweerder, te toetsen aan de toepasselijke grondbeginselen van de bescherming van de persoonsgegevens krachtens artikel 4 § 1 WOG. Verweerder stelt zich op het standpunt dat gelijkwaardige praktijken worden gebezigd op andere websites die juridische informatie verstrekken.73 Dit verweer gaat niet op. Een verwerkingsverantwoordelijke kan zich niet op het gelijkheidsbeginsel beroepen in zaken waarin een overtreding op de AVG wordt vastgesteld. Verweerder stelt verder dat de website weliswaar in de publicatie van juridisch nieuws gespecialiseerd is maar zelf geen bijzondere juridische expertise heeft. Deze juridische expertise zou eerder bij de auteurs van de publicaties liggen, waardoor de website geen voorbeeldfunctie inzake privacyverklaring zou hebben, in tegenstelling tot de vaststellingen van de Inspectiedienst in dat verband. De Geschillenkamer neemt daar nota van. In een context waar de essentie van de activiteiten van de website bestaat uit het verspreiden van juridische informatie, gaat de Geschillenkamer ervan uit dat de verweerder op de hoogte is van het belang van de juistheid van de juridische informatie die op diens website geplaatst wordt, alsook van de plicht om wettelijke vereisten na te leven. Zoals iedere verwerkingsverantwoordelijke is de verweerder aan artikel 24 AVG onderworpen, wat de verplichting inhoudt om passende technische en organisatorische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG verloopt. Anderzijds is de Geschillenkamer van mening dat het feit dat de verwerkingsverantwoordelijke algemene juridische diensten verstrekt, geen zwaardere sanctie zou rechtvaardigen. Volgens verweerder heeft de inbreuk op de informatieverplichting (uit artikelen 12 en 13 AVG) “ geen echte impact” op de rechten van de betrokkenen “aangezien de verwerking voornamelijk gericht was 73 Conclusie verweerder, p. 4. Beslissing ten gronde 12/2019 - 40/43 op het bekomen van statistische informatie” (conclusie van de verweerder, p. 10). Dit argument overtuigt niet. Het recht op gegevensbescherming is een grondrecht van een ieder en als zodanig opgenomen in artikel 8 van het Handvest van de Grondrechten van de Europese Unie. De verwerkingsverantwoordelijke heeft geen beoordelingsbevoegdheid over de omvang van dit recht in functie van de beweerde geringe impact van de inbreuk, daar waar de AVG een positieve verplichting oplegt, zoals b.v. het vermelden van de verwerkingsverantwoordelijke (art. 13 AVG) of het verstrekken van transparante informatie (art. 12 AVG). Het Hof van Beroep van Brussel heeft dit principe als volgt verduidelijkt in zijn recente arrest dd. 9 oktober 2019, in het kader van een geschil waarin de betrokkene tevergeefs om rectificatie van zijn persoonsgegevens had verzocht : “Het thans (anno 2019!) stellen dat het aanpassen van een computerprogramma een aantal maanden werk zou vergen en/of financiële meerkosten voor de bankinstelling zou uitmaken, laat de […] niet toe om de rechten van de betrokkene te miskennen. De rechten die aan de persoon worden toegekend zijn gelijk te stellen met resultaatsverbintenissen in hoofde van de verwerker van de persoonsgegevens. Van een correct werkende bankinstelling mag verwacht worden dat zij – wanneer zij een computerprogramma gebruikt zij over een computerprogramma beschikt dat beantwoordt aan de huidige normen, waartoe het voornoemde recht op correcte schrijfwijze van de naam behoort. Het recht op rectificatie is een grondrecht. […] De vraag of […] schade zou lijden ten gevolge van de verkeerde vermelding van zijn familienaam, is niet relevant. Een dergelijke voorwaarde wordt noch door de AVG, noch door de Kaderwet privacy, noch door de WOG opgelegd, en zou in tegenspraak zijn met artikel 8, lid. 3 Handvest EU, dat het recht op rectificatie expliciet noemt als een onderdeel van de kern van het grondrecht van eenieder op de bescherming van zijn persoonsgegevens”74. Dat “alle persoonsgegevens die door middel van cookies verzameld werden “ aldus de verweerder “steeds geanonimiseerd” werden (conclusie van de verweerder, p. 10), is geen overtuigend verweer: de AVG - inclusief de transparantie en informatieverplichtingen - blijft van toepassing zolang de gegevens niet werkelijk “anoniem” worden gemaakt, i.e. als het nog mogelijk is om de betrokken gegevens direct of indirect – zo nodig aan de hand van andere informatie - aan een individu toe te schrijven75. Zolang de gegevens niet anoniem zijn is er nog steeds een risico op lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals het verlies van controle over hun persoonsgegevens, de beperking van hun rechten, verlies van vertrouwelijkheid van door 74 Hof van Beroep Brussel, 9 oktober 2019, 2019/AR/1006, p. 15 en 16, beschikbaar op de GBA website. 75 Groep gegevensbescherming, WP216, Opinie 05/2014 m.b.t. anonimisatie technieken, WP216. Beslissing ten gronde 12/2019 - 41/43 beroepsgeheim beschermde persoonsgegevens of enig ander aanzienlijk economisch of 76 maatschappelijk nadeel voor de persoon in kwestie . Derhalve moet de internetgebruiker soeverein kunnen beslissen op basis van transparante informatie, of hij al dan niet op de betrokken website verder surft, laat staan zijn toestemming geeft voor bepaalde verwerkingen wanneer dergelijke toestemming vereist is. Anonimisatie is ook een verdere verwerking van persoonsgegevens77, en als dusdanig moet de oorspronkelijke verwerking alle AVG-vereisten naleven, inclusief wat betreft het voorhanden zijn van een wettelijke basis. Ten overvloede legt de verweerder bovendien geen bewijs voor van zijn bewering dat de betrokken gegevens uiteindelijk “geanonimiseerd” (en niet louter gepseudonimiseerd) werden, zodat de Geschillenkamer hiermee evenmin rekening kan houden. 2.2.4 Beslissing wat betreft de sancties De Geschillenkamer is van oordeel dat de inbreuk op artikelen 6, 7 juncto 4.11°, 12 en 13 AVG bewezen is, en gaat over tot het opleggen van sancties. Krachtens artikel 100 WOG is de Geschillenkamer bevoegd om administratieve geldboetes op te leggen (art. 100.13°, 101 en 102 WOG) en om de beslissing bekend te maken op de website van de Gegevensbeschermingsautoriteit (art. 100.16° WOG). Wat betreft “eerste partij” analytische cookies houdt de Geschillenkamer rekening met het feit dat verweerder niet langer voorhoudt dat het gebruik van “eerste partij” analytische cookies op basis van de rechtsgrond “gerechtvaardigd belang” kan plaatsvinden. In zijn hoedanigheid van verwerkingsverantwoordelijke draagt de verweerder de verantwoordelijkheid om te kunnen garanderen en aantonen dat analytische cookies van de “ eerste partij” wel degelijk onder de uitzondering “strikt noodzakelijke” cookies van artikel 128 WEC vallen met dien verstande dat het begrip “noodzakelijk” conform de AVG uitgelegd moet worden, i.e. ten bate van de betrokkenen wiens persoonsgegevens verwerkt worden en niet exclusief ten bate van de website.. De verwerkingsverantwoordelijke heeft ook conform art. 24.1 AVG de plicht om alle passende maatregelen te nemen om te waarborgen en te kunnen aantonen dat de verwerking in Zie overweging 85 AVG : « Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals verlies van controle over hun persoonsgegevens of de beperking van hun rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaanmaking van pseudonimisering, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, of enig ander aanzienlijk economisch of 4.5.2016 L 119/16 Publicatieblad van de Europese Unie NL maatschappelijk nadeel voor de natuurlijke persoon in kwestie”. 76 77 Groep Gegevensbescherming, Opinie 05/2014 m.b.t. anonimisatie technieken, WP216, p. 3. Beslissing ten gronde 12/2019 - 42/43 overeenstemming met deze verordening wordt uitgevoerd, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de mogelijke risico’s voor de rechten en vrijheden van de betrokkenen. Wat betreft het toestemmingsproces voor het aanvaarden van cookies stelt de Geschillenkamer vast dat de verweerder met het vooraf aanvinken van de gekozen cookies gestopt is. De Geschillenkamer is echter van oordeel dat het opleggen van een boete gepast is gelet op de nalatige aard van de inbreuk en het voorhanden zijn van duidelijke richtsnoeren in dat verband in de overwegingen van de AVG zelf (hierboven aangehaalde overweging 32 van de AVG). Bij het bepalen van het niveau van de geldboete moet de Geschillenkamer rekening houden met de criteria uitgestippeld in artikel 83 AVG al naar gelang de omstandigheden. In casu houdt de Geschillenkamer rekening met de volgende omstandigheden die zij voldoende acht om de beslissing m.b.t. de sanctie te schragen :
  30. a)duur van de inbreuk: meerdere inbreuken werden pas na een tweede verwittiging van de Inspectiedienst opgelost, wat niet aanvaardbaar is in de context van artikel 24 AVG (zie hierboven, onder de titel 2.2.1);
  31. b)aantal getroffen betrokkenen: zelfverklaard maandelijks bereik van 35.000 lezers;
  32. c)opzettelijke of nalatige aard van de inbreuk: de Geschillenkamer stelt de herhaalde onzorgvuldigheid van de verweerder vast wat betreft de transparantieverplichtingen onder artikel 12 en 13 AVG (zie hierboven, onder de titel 2.2.1); de Geschillenkamer merkt ook op dat de verweerder uit eigen beweging van een “ AVG-conforme” naar een bewuste “niet- conforme” methode overgeschakeld is wat betreft het vooraf aanvinken van de voorgestelde belang” die onterecht m.b.t. statistische cookies door de verwerkingsverantwoordelijke ingeroepen wordt, beperkt de Geschillenkamer zich tot een herhaling en verduidelijking van de gangbare principes (zie hierboven, onder titel 2.2.d); wat betreft de verplichting om een gemakkelijke wijze aan te bieden om de toestemming in te trekken, blijft de verweerder in gebreke na herhaling van de toepasselijke regels door de Inspectiedienst in zijn eerste verslag (zie hierboven, onder titel 2.2.2.g);
  33. d)door de verwerkingsverantwoordelijke genomen maatregelen: latere verbeteringen aan de privacyverklaring doorgevoerd door de verweerder doen geen afbreuk aan de oorspronkelijke vaststellingen van inbreuken op artikel 12 en 13 AVG dd. 12 maart 2019 en 29 april 2019;; In deze context is de onzorgvuldigheid van de verweerder i.v.m. de transparantie en juistheid van de privacyverklaring alsook het plaatsen van cookies zonder toestemming laakbaar is, zodat een boete Beslissing ten gronde 12/2019 - 43/43 van 15.000 Euro gerechtvaardigd is, voor de inbreuken op de artikelen 12 en 13 AVG, alsmede op de artikelen 6, 7 juncto 4.11 AVG. De Geschillenkamer is van mening dat dit bedrag niet buiten proportie is gelet op de zelfverklaarde omzet van 1.710.319,69 EUR voor het boekjaar 2018 EUR. Dat verweerder steeds rekening heeft gehouden met de opmerkingen van de Inspectiedienst neemt niet weg dat de website van meet af aan correcte informatie diende te verspreiden. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de maatschappelijke benaming van de verwerkingsverantwoordelijke, rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om ten aanzien van de verweerder: - op grond van art. 101 van de WOG, een administratieve geldboete van 15.000 EUR voor deze inbreuken op te leggen; - op grond van art. 100, 1, 16° van de wet van 3 december 2017, deze beslissing bekend te maken op de website van de Gegevensbeschermingsautoriteit, weliswaar zonder bekendmaking van de maatschappelijke benaming van de verwerkingsverantwoordelijke. Tegen deze beslissing kan op grond van art. 108, §1 van de wet van 3 december 2017, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de betekening van de kennisgeving, bij het Marktenhof, tegen de Gegevensbeschermingsautoriteit als verweerder. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.