Beslissing ten gronde nr. 22/2024

1/17 Geschillenkamer Beslissing ten gronde 22/2024 van 24 januari 2024 Dossiernummer : DOS-2021-06483 Betreft: klacht over een niet-conforme cookiebanner De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Christophe Boeraeve en Dirk Van Der Kelen, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken in het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, vertegenwoordigd door noyb – European Center for Digital Rights, Goldschlagstraße 172/4/3/2, 1140 – Wenen (AT), ingeschreven in (..), hierna "de klager" De verweerder: Y, vertegenwoordigd door meester Nicolas Berthold, hierna "de verweerder" Beslissing ten gronde 22/2024 — 2/17 I. 1. Feiten en procedure Op 10 augustus 2021 dient de klager via de vereniging zonder winstoogmerk NOYB European Center for Digital Rights (hierna “noyb”) een klacht in bij de Gegevensbeschermingsautoriteit (hierna "GBA") tegen de verweerder. 2. De klacht heeft betrekking op verschillende elementen van de cookiebanner op de website van de beklaagde. Deze zouden in strijd zijn met de beginselen van de AVG. 3. Op 21 mei 2021 bezoekt de klager de website van de verweerder. Dit bezoek begint om 15:28:49 en eindigt om 15:32:37 op dezelfde dag. Naar aanleiding van dit bezoek stelt de klager verschillende stromen van persoonsgegevens vast. 4. Op 30 mei 2021 stuurt noyb een "precontentieuze brief" aan de verweerder, waarin deze in kennis wordt gesteld van de bovengenoemde beschuldigingen en voorstellen worden opgeworpen tot naleving. Deze voorstellen worden gedaan onder de dreiging van het neerleggen van een klacht bij de GBA als de verweerder niet voldoet aan de "precontentieuze brief" van noyb. 5. Op 29 juni 2021 vraagt de verweerder het Directiecomité van de GBA om verduidelijking bij de van noyb ontvangen e-mail. Hij wil het standpunt van de GBA weten over de punten die noyb heeft opgeworpen met betrekking tot de overeenstemming van zijn cookiebanner met de AVG en de wetten inzake bescherming van persoonsgegevens. 6. Op 2 augustus 2021 ondertekent de klager een mandaatovereenkomst met noyb als opdrachtgever. 7. Het klachtenformulier bevat beschuldigingen tegen de beklaagde die als volgt kunnen worden samengevat: • Inbreuk van het type A: "Er is geen optie "weigeren" op het eerste informatieniveau van de cookiebanner"; • Inbreuk van het type C: de knop waarmee de betrokken verwerkingsactiviteiten kunnen worden geweigerd, gebruikt een link die de betrokkene naar een andere pagina verwijst, terwijl de knop waarmee ze kunnen worden geaccepteerd een "typische" knop gebruikt die de betrokkene laat geloven dat deze laatste de enige echte optie is; • Inbreuk van het type D: de kleuren die worden gebruikt voor de knoppen op de • Inbreuk van het type E: door de contrastverhoudingen tussen de knoppen op de banner wordt de aandacht gevestigd op de knop voor het accepteren van de verwerkingen; Beslissing ten gronde 22/2024 — 3/17 • Inbreuk van het type I: analysecookies zijn geclassificeerd als essentiële cookies, wat een "onnauwkeurige classificatie van verwerkingsactiviteiten en cookies" tot gevolg heeft; • Inbreuk van het type K: "Het intrekken van de toestemming is niet even eenvoudig als het geven ervan." 8. In een latere mededeling verstrekt noyb een screenshot van de cookiebanner op de website van de verweerder waarop een knop "Keuze van cookies" en een knop "Alle cookies toestaan" te zien is. 9. Op 3 november 2021 wordt de klacht op grond van de artikelen 58 en 60 van de WOG door de Eerstelijnsdienst ontvankelijk verklaard, en op grond van artikel 62, § 1, van de WOG aan de Geschillenkamer overgemaakt. 10. Op 2 december 2021 wordt overeenkomstig artikel 96, § 1, van de WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 11. Op 26 augustus 2022 wordt het onderzoek door de Inspectiedienst afgerond, het verslag bij het dossier gevoegd en het dossier door de inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2, van de WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en concludeert: :

1. a)De verweerder is als enige verwerkingsverantwoordelijke in de zin van artikel 4.7 van de AVG.
2. b)Op basis van de feiten die in de klacht aan de kaak worden gesteld, verklaart de ID een aantal schendingen van de AVG vast te stellen binnen de reikwijdte van de klacht: o een inbreuk door de verweerder van de artikelen 5.1.
3. a)en 6.1.
4. a)van de AVG, gelezen in samenhang met de artikelen 4.11 en 25 van de AVG, doordat hij in zijn hoedanigheid van verwerkingsverantwoordelijke een optie "alles aanvaarden" aanbiedt zonder een optie "alles weigeren" aan te bieden; o een inbreuk door de verweerder van de artikelen 5.1.
5. a)en 6.1.
6. a)van de AVG, gelezen in samenhang met artikel 10/2 van de wet van 30 juli 2018 1 (hierna de "kaderwet"), doordat hij in zijn hoedanigheid van verwerkingsverantwoordelijke een onjuiste classificatie van cookies heeft 1 De wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, BS, 5 september 2018, p. 68616. Beslissing ten gronde 22/2024 — 4/17 uitgevoerd, met als gevolg dat "analytische cookies" worden voorgesteld als zijnde strikt noodzakelijk; o een inbreuk door de verweerder van artikel 7.3 van de AVG, gelezen in samenhang met de artikelen 24 en 25 van de AVG, doordat hij "niet de nodige maatregelen heeft genomen om ervoor te zorgen dat het intrekken van de toestemming even eenvoudig is als het geven ervan"; o een inbreuk door de verweerder van de artikelen 5.1.
7. a)en 6.1.
8. a)van de AVG, gelezen in samenhang met de artikelen 4.11 en 25 van de AVG, en artikel 10/2 van de kaderwet, door bewust oneerlijk gebruik te maken van contrasten en kleuren en, meer in het algemeen, door een misleidend ontwerp van links op het eerste niveau van de cookiebanner. De ID stelt ook vast dat de website van de verweerder "enigszins is veranderd, aangezien de 'sociale media cookies' niet meer in het CMP worden genoemd" 2, zonder dat dit echter gevolgen heeft voor de bovengenoemde vaststellingen;
9. c)Verder stelt de ID vast dat de klager stagiair was op het moment dat hij noyb de opdracht gaf, dat het mandaat daarom fictief lijkt te zijn, en concludeert hij dat uit de stukken in het dossier onvoldoende belang blijkt. 12. Op 23 mei 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde.. 13. Op dezelfde datum worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG op de hoogte gebracht van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd op 18 juli 2023, deze voor de conclusie van repliek van de klager op 16 augustus 2023, en deze voor de conclusie van repliek van de verweerder op 13 september 2023. 14. Op 31 mei 2023 aanvaardt de klager alle communicatie met betrekking tot de zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. 15. Op 1 juni 2023 stemt de verweerder ermee in alle communicatie met betrekking tot de zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. In dezelfde email verzoekt hij om een kopie van het dossier (artikel 95, § 2, 3°, WOG), die hem op 6 juni 2023 wordt toegezonden. 2 Afkorting van "Consent Management Platform", in het Nederlands bekend als "platform voor toestemmingsbeheer". Beslissing ten gronde 22/2024 — 5/17 16. Op 18 juli 2023 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. De laatstgenoemde dient een conclusie van dupliek in. Zijn argumenten worden in punt 19 hieronder samengevat. 17. Op 16 augustus 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Samengevat verdedigt de klager het volgende: - De verweerder beroept zich ten onrechte op eerdere beslissingen van de Geschillenkamer (beslissingen 117/2021 en 106/2022), met dien verstande, enerzijds, dat de beslissingen van de Geschillenkamer geen rechtspraak vormen in de zin van de rechtspraak van het Marktenhof3 en zaken derhalve van geval tot geval dienen te worden behandeld en, anderzijds, dat er een fundamenteel verschil bestaat tussen de feiten van voornoemde beslissingen en de onderhavige zaak, in die zin dat de klager in de onderhavige zaak een betrokkene is; - De klager heeft belang bij het instellen van een rechtsvordering met dien verstande dat hij een betrokkene is en dat zijn gegevens onrechtmatig zijn verwerkt, zodat zijn rechten onder de AVG niet zijn geëerbiedigd; - Het mandaat waarin de klager noyb tot vertegenwoordiger aanwijst, was geenszins fictief, aangezien het tot de natuurlijke orde van de dingen behoort dat de totstandkoming van een dergelijk document volgt op de vaststelling van de schending van zijn rechten; het tegendeel is ongeloofwaardig. Bovendien handelde de klager "autonoom"4 bij het selecteren van de website van de verweerder. Het vrije karakter van zijn verbintenissen wordt ondersteund door het feit dat de klager het mandaat niet heeft ingetrokken nadat hij noyb had verlaten; - Ondanks de correcties op de inbreuken van het type A, C, D en E, blijven de andere beschuldigingen - namelijk de inbreuken van het type I en K - bestaan (zie punt 7). Bovendien moet het bestaan van de gecorrigeerde inbreuken worden vastgesteld om te voorkomen dat de verweerder dezelfde inbreuken herhaalt. Ten slotte, en meer in het algemeen, stelt de klager dat de verweerder zich niet kan beroepen op het ontbreken van een duidelijk standpunt van de GBA of de EPDB over de interpretatie van de regels van de AVG, aangezien dit slechts interpretaties zijn en de bepalingen van de AVG niet zijn gewijzigd. 3 Marktenhof, 27 januari 2021, 2021/KB/1333, p. 21. 4 Conclusie van de verweerder, p. 3. Beslissing ten gronde 22/2024 — 6/17 18. Op 13 september 2023 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerder over de vaststellingen met betrekking tot het voorwerp van de klacht. Samengevat verdedigt deze hierin het volgende: - De klacht bevat slechts algemene verwijzingen naar de belangen van de betrokkenen zonder enig rechtstreeks verband met de belangen van de klager, zodat deze onvoldoende belang kan aantonen om in deze zaak een rechtsvordering in te stellen; - Het mandaat waarin noyb wordt aangewezen als vertegenwoordiger van de klager is fictief , aangezien (
10. i)het mandaat is opgesteld na de "precontentieuze brief" die noyb op 21 mei 2021 heeft verstuurd, (
11. ii)de naam van de klager pas bekend is gemaakt toen de klacht werd ingediend bij de GBA, en (iii) de klager stagiair was ten tijde van de feiten en toen het mandaat werd ondertekend; - De klager levert geen bewijs van de uitoefening van zijn rechten bij de verweerder; - De verweerder heeft de hem ten laste gelegde schendingen verholpen (zie punt 7); - De Geschillenkamer heeft artikel 98 van de WOG geschonden door de verweerder niet zo snel mogelijk in kennis te stellen van haar voornemen om de zaak ten gronde te onderzoeken; - Wat de inbreuk van het type A betreft, antwoordt de verweerder dat de GBA in 2021 d.w.z. ten tijde van de betrokken feiten - nog geen beslissing had genomen over de vereiste voor cookiebanners om een optie aan te bieden waarmee alle cookies vanaf het eerste weergaveniveau kunnen worden geweigerd; - Wat de inbreuk van het type I betreft, antwoordt de verweerder dat (
12. i)geen analytische alle gebruikte cookies als noodzakelijk moeten worden beschouwd en (iii) de beginselen van eerlijkheid en transparantie op geen enkele wijze worden geschonden zolang deze analytische cookies specifiek als zodanig worden vermeld; - Met betrekking tot de inbreuk van het type K herhaalt de verweerder dat de GBA ten tijde van de betrokken feiten nog geen beslissing had genomen over de vereiste dat de knop "Alles weigeren" zich op hetzelfde niveau moest bevinden als de knop "Alles accepteren". Sindsdien heeft de verweerder tijd gehad om zich in overeenstemming te brengen; - Wat de inbreuken van het type C, D en E betreft, antwoordt de verweerder dat, enerzijds, de door de verweerder nagestreefde doeleinden voldoende expliciet zijn om ervoor te zorgen dat de door hem gemaakte kleurkeuze op geen enkele wijze de toestemming van de bezoekers van zijn website beïnvloedt, en dat, anderzijds, de kleurkeuze juist helpt de aandacht te vestigen op elk van de voorgestelde keuzes. Bovendien heeft de Beslissing ten gronde 22/2024 — 7/17 verweerder de kleuren van zijn cookiebanner veranderd in overeenstemming met het onderzoeksrapport van de ID. 19. Op 19 oktober 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 22 november 2023. 20. Op 22 november 2023 worden de partijen gehoord door de Geschillenkamer. Tijdens de hoorzitting voor de Geschillenkamer wordt de klager vertegenwoordigd door mevrouw Lisa Steinfeld, advocate te Brussel. 21. Op 6 december 2023 wordt het proces-verbaal van de hoorzitting aan de partijen toegezonden. 22. Op 12 december 2023 en op 13 december 2023 ontvangt de Geschillenkamer enkele opmerkingen van de klager en van de verweerder met betrekking tot het proces-verbaal. II. Motivering II.1. Achtergrond 23. Gelet op de bijzondere kenmerken van deze zaak moet de Geschillenkamer enkele inleidende opmerkingen maken over de context. 24. Op 31 mei 2021 publiceert noyb een artikel 5 over zijn wens om een einde te maken aan de "cookiebannerterreur" en geeft aan 500 "precontentieuze brieven" te hebben gestuurd naar Europese bedrijven die een zekere bekendheid hebben en cookiebanners gebruikten die niet voldeden aan de AVG. Er wordt een automatisch systeem gebruikt om de betrokken 25. Volgens noyb zorgen bedrijven ervoor dat cookiebanners de betrokkenen heel wat hoofdbrekens bezorgen, het tegenovergestelde van wat wordt verwacht onder de bepalingen van de AVG. Meer specifiek zouden de banners zo zijn ontworpen dat ze het voor de betrokkenen niet even gemakkelijk maken om de installatie van onnodige cookies te weigeren als om ze te accepteren. noyb hoopte voor het einde van 2021 naar bijna 10.000 bedrijven precontentieuze brieven te kunnen sturen. 26. Op 9 augustus 2022 publiceert noyb een nieuw artikel6 als vervolg op het bovengenoemde artikel. Het meldt dat 226 klachten zijn ingediend bij 18 toezichthoudende autoriteiten in de zin van artikel 51 van de AVG wegens onvoldoende of niet-naleving. 5 NOYB, « noyb aims to end “cookie banner terror” and issues more than 500 GDPR complaints », 31 mei 2021, beschikbaar op https://noyb.eu/en/noyb-aims-end-cookie-banner-terror-and-issues-more-500-gdpr-complaints, geraadpleegd op 17 januari 2023. 6 NOYB, « 226 complaints lodged against deceptive cookie banners », 9 augustus 2022, beschikbaar op https://noyb.eu/en/226complaints-lodged-against-deceptive-cookie-banners, geraadpleegd op 17 januari 2023. Beslissing ten gronde 22/2024 — 8/17 II.2. Wat betreft de bevoegdheid van de GBA 27. De GBA is in België de autoriteit die verantwoordelijk is voor de controle op de naleving van de AVG in de zin van artikel 8.3 van het Handvest van de grondrechten van de Europese Unie, artikel 16.2 van het Verdrag betreffende de werking van de Europese Unie (VWEU), en artikel 51 van de AVG. 28. Volgens artikel 3.1 is de AVG van toepassing wanneer de verwerkingsverantwoordelijke is gevestigd op het grondgebied van de Europese Unie. 29. Volgens artikel 77 van de AVG heeft de klager - woonachtig in Oostenrijk - het recht om een klacht in te dienen bij de toezichthoudende autoriteit van zijn keuze, zelfs als deze autoriteit is gevestigd in een lidstaat waar de klager niet zijn gewone verblijfplaats of werkplek heeft. 30. In dit geval staan de territoriale bevoegdheid van de GBA en de toepasselijkheid van de Belgische wetgeving niet ter discussie, aangezien de verwerkingsverantwoordelijke die de ID in zijn onderzoeksverslag heeft geïdentificeerd, in België is gevestigd. II.3. Wat betreft de hoedanigheid van de vertegenwoordiger 31. Artikel 80.1 van de AVG bepaalt het volgende: "De betrokkene heeft het recht een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doelstellingen het openbare belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, opdracht te geven de klacht namens hem in te dienen, namens hem de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hem het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet." 32. Artikel 220 van de kaderwet bepaalt dat het orgaan, de organisatie of vereniging zonder winstoogmerk die de betrokkene de opdracht wenst te geven, op geldige wijze moet zijn opgericht naar Belgisch recht en al minstens drie jaar actief moet zijn op het gebied van de bescherming van de rechten en vrijheden van betrokkenen in het kader van de bescherming van persoonsgegevens. De Geschillenkamer merkt op dat er twijfels bestaan over de verenigbaarheid van deze voorwaarden met het EU-recht, aangezien de Europese wetgever niet heeft gevraagd om een dergelijke precisering met betrekking tot artikel 80.1 van de AVG. Dit gezegd zijnde, heeft de Belgische bepaling geen invloed op de onderhavige zaak. Beslissing ten gronde 22/2024 — 9/17 II.4. Wat betreft het belang om een rechtsvordering in te stellen II.4.1. Het standpunt van de Inspectiedienst en de partijen 33. In zijn onderzoeksverslag (zie punt 11) concludeert de ID dat de klager op basis van de stukken in het dossier onvoldoende belang heeft bij het instellen van een rechtsvordering. 34. De ID geeft een aantal verduidelijkingen. Eerst en vooral stelt de ID vast dat "de klager stagiair was bij noyb ten tijde van het mandaat / van de klacht“ 7. Vervolgens merkt de ID op dat de klager ook vier andere klachten tegen vier andere rechtspersonen, op initiatief van noyb, bij de GBA heeft ingediend. Tot slot moet hieraan worden toegevoegd dat de akte waarmee de klager noyb in deze zaak heeft gemachtigd, is opgesteld nadat noyb zijn precontentieuze brief aan de verweerder had verzonden, aangezien de eerste is gedateerd 2 augustus 2021, terwijl de tweede is gedateerd 21 mei 2021. 35. In het licht van deze elementen concludeert de ID dat het mandaat "fictief lijkt te zijn gezien de relatie met noyb ten tijde van het mandaat / van de klachten” 8 en dat de klager bijgevolg onvoldoende belang heeft om een rechtsvordering in te stellen. 36. De verweerder is het eens met het standpunt van de ID. 37. De klager diende zijn klacht tegen de verweerder in op basis van verschillende beweringen. 38. De klager is van mening dat zijn rechten op grond van de AVG zijn geschonden toen hij de website van de verweerder bezocht. Alleen al door deze schending meent de klager aan te tonen dat hij belang heeft bij het instellen van een rechtsvordering. 39. Met betrekking tot het mandaat is noyb verbaasd dat verwacht wordt dat het mandaat wordt ondertekend voorafgaand aan de vaststelling van de inbreuk op de rechten van de klager, aangezien juist na een dergelijke vaststelling de wens van de betrokkene kan ontstaan om ter zake te ageren - en in dit geval dus bij noyb. 40. Bovendien is noyb van mening dat het mandaat ook niet fictief kan zijn, aangezien de klager op geen enkel moment de wens heeft geuit om het mandaat in te trekken. 41. Wat ten slotte de hiërarchische band tussen de klager en noyb betreft, stelt noyb dat de klager weliswaar stagiair binnen noyb was op het moment dat hij het omstreden bezoek aan de website van de verweerder bracht, maar dat hij daarbij volledig autonoom heeft gehandeld. 7 Onderzoeksverslag van de Inspectiedienst, p. 56. 8 Ibid. Beslissing ten gronde 22/2024 — 10/17 II.4.2. Standpunt van de Geschillenkamer 42. De Geschillenkamer wijst er meteen op dat artikel 80.1 iedere betrokkene de mogelijkheid biedt om "een orgaan, organisatie of vereniging zonder winstoogmerk" opdracht te geven noyb is in die laatste vorm opgericht. 43. De Geschillenkamer kwalificeert de klager als betrokkene, aangezien hij de website van de verweerder heeft bezocht en zijn persoonsgegevens in die context zijn verwerkt. 44. Daarnaast merkt de Geschillenkamer op dat op 2 augustus 2021 (zie punt 6) een mandaat in de Duitse en Engelse taal is opgesteld dat noyb als vertegenwoordiger aanwijst om de klager te vertegenwoordigen in de zaken als bedoeld in de artikelen 80.1, 77 en 78 van de AVG. 45. De Geschillenkamer gaat zelfs verder dan het standpunt van de ID (zie punt 35) en is om de hieronder uiteengezette redenen van mening dat het mandaat een fictief karakter heeft: 46. Ten eerste wijst de Geschillenkamer erop dat de klager in feite een stagiair was op het moment dat hij de website van de verweerder bezocht, evenals op het moment dat hij opdracht gaf aan noyb. Meer specifiek, en in het licht van de verklaringen van de klager tijdens de hoorzitting (zie punt 23), blijkt dat het bezoek aan de website van verweerder plaatsvond in het kader van een opdracht die hem was toevertrouwd door noyb - de vereniging waar hij stage liep. Deze opdracht bestond in het bezoeken van 5 Belgische websites - waaronder die van de verweerder - om eventueel de aanwezigheid vast te stellen van een die niet in overeenstemming met de AVG was. Bijgevolg kan de Geschillenkamer het niet eens zijn met de gedachtegang van noyb die in zijn conclusie stelt dat "de klager de website onafhankelijk heeft geselecteerd en geraadpleegd en de inbreuk heeft vastgesteld en gedocumenteerd". 9 Integendeel, de klager gaf tijdens de hoorzitting zelf toe dat hij de website van de verweerder niet had geselecteerd, maar dat deze deel uitmaakte van een van de 5 dossiers was die aan hem waren toegewezen en die hij moest behandelen (zie punt 34). Aangezien de klager in het kader van een stage heeft gehandeld, betwist de Geschillenkamer de bovengenoemde verklaring van noyb, aangezien alles erop wijst dat hij als medewerker van noyb heeft gehandeld. 47. Niettegenstaande deze eerste reden merkt de Geschillenkamer op dat de klager na afloop van zijn opdracht bij noyb zijn vertegenwoordigingsmandaat niet heeft ingetrokken en te kennen heeft gegeven een klacht te willen indienen bij de GBA. De Geschillenkamer betwist dit niet, noch pretendeert zij te oordelen over de motivatie van klagers bij de uitoefening van 9 Conclusie van repliek van de verweerder, p. 3. Beslissing ten gronde 22/2024 — 11/17 hun recht om een klacht in te dienen bij een toezichthoudende autoriteit. Dit is een aparte kwestie. 48. Op het gebied van gegevensbescherming besteedt de Geschillenkamer bijzondere aandacht aan de naleving van de voorwaarden voor het verkrijgen van toestemming in het geval van gegevensverwerking op basis van deze rechtmatigheidsgrond (art. 6.1.
13. a)juncto 4.11 van de AVG). Hoewel de Geschillenkamer in het onderhavige geval niet kijkt naar toestemming als rechtmatigheidsgrond voor de verwerking van persoonsgegevens, biedt het concept toestemming een bruikbare gelijkenis. 49. Om te bepalen of de verkregen toestemming geldig is, onderzoekt de Geschillenkamer onder andere of de betrokkene vrijelijk heeft ingestemd met de verwerking van zijn gegevens (art. 4.11 van de AVG). In dit verband gaat de Geschillenkamer na of de betrokkene de vrije keuze had en of hij zijn toestemming kon weigeren of intrekken zonder nadelige gevolgen (overweging 42 van de AVG). Verder houdt de Geschillenkamer ook rekening met specifieke gevallen die de vrijheid van toestemming in gevaar kunnen brengen, in het bijzonder wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke (overweging 43 van de AVG). 50. In zijn Richtsnoeren 5/2020 over toestemming 10 legt de EDPB uit dat een dergelijke duidelijke wanverhouding die de vrijheid van toestemming kan aantasten, zich kan voordoen in het kader van de arbeidsverhouding. De EDPB is van mening dat het onwaarschijnlijk is dat een werknemer toestemming aan zijn werkgever voor de verwerking van zijn gegevens kan weigeren zonder negatieve gevolgen te ondervinden of te vrezen. De EPDB verduidelijkt dat werknemers "alleen in uitzonderlijke omstandigheden vrijelijk toestemming kunnen geven, wanneer het feit of zij wel of geen toestemming verlenen totaal geen negatieve gevolgen heeft."11 Gezien de wanverhouding tussen een werkgever en zijn werknemers en de daaruit voortvloeiende hiërarchische afhankelijkheid, acht de EPDB het dan ook onwaarschijnlijk dat een werknemer vrijelijk zou kunnen reageren op een verzoek van zijn werkgever zonder zich verplicht te voelen om in te stemmen.12 51. In de onderhavige zaak merkt de Geschillenkamer opnieuw op dat de verweerder in feite stagiair bij noyb was ten tijde van het verstrekken van het mandaat aan noyb en het indienen van de klacht bij de GBA. De Geschillenkamer stelt daarom vast dat er ten tijde van de feiten een hiërarchische band bestond tussen de klager en noyb. De Geschillenkamer merkt ook op dat noyb de klager in het kader van zijn stage de taak had gegeven om websites te bezoeken om mogelijke inbreuken op de AVG te identificeren. En dat naar aanleiding van 10 European Datat Protection Board, Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening (EU) 2016/679, punten 21-23, beschikbaar op: (https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf. 11 Ibid, punt 22. 12 Ibid, punt 21. Beslissing ten gronde 22/2024 — 12/17 deze bezoeken in opdracht van - of op zijn minst gefaciliteerd door - noyb het besluit werd genomen om een klacht in te dienen bij de GBA. De Geschillenkamer merkt dan ook op dat de aan noyb gegeven volmacht werd verleend in een professionele context die de klager kan hebben beïnvloed. 52. Bijgevolg, naar analogie van de regels inzake de bescherming van persoonsgegevens is de Geschillenkamer van oordeel dat het feit dat de klager stagiair was bij noyb, zijn vrijheid om in te stemmen met de uitvoering van het mandaat aanzienlijk kan hebben beïnvloed. De Geschillenkamer houdt in haar beslissing rekening met dit bijkomende element. 53. Ten tweede en tot slot verklaarde de klager tijdens de hoorzitting dat de hem toevertrouwde opdracht deel uitmaakte van een breder "plan" om te controleren of verschillende websites voldeden aan de AVG. Verder voegt de Geschillenkamer eraan toe dat het bezoek aan de website van de verweerder precies 3 minuten en 48 seconden duurde. Op basis van deze twee elementen concludeert de Geschillenkamer dat het bezoek niet spontaan van aard was, maar integendeel geen andere reden had dan de loutere vaststelling dat de geval gevolgd door het sturen van een "precontentieuze brief" (zie punt 4) naar de verweerder en, in voorkomend geval gevolgd door het indienen van een klacht bij de GBA. 54. De Geschillenkamer oordeelt dan ook dat noyb niet optreedt als gemachtigde op grond van artikel 80.1 van de AVG, maar als klager op grond van artikel 80.2 van de AVG, waarin het volgende is bepaald: "De lidstaten kunnen bepalen dat een orgaan, organisatie of vereniging als bedoeld in lid 1 van dit artikel, over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat klacht in te dienen bij de overeenkomstig artikel 77 bevoegde toezichthoudende autoriteit en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen, indien het/zij van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking." 55. De Geschillenkamer wijst erop dat de Belgische wetgever er bewust voor heeft gekozen om deze open clausule niet toe te passen13. 56. De Geschillenkamer voegt eraan toe dat artikel 58 van de WOG een rechtspersoon - zoals in dit geval noyb - de mogelijkheid biedt om een klacht in te dienen bij de GBA, voor zover hij een voldoende belang kan aantonen, zoals de Belgische wetgever heeft aangegeven in de parlementaire voorbereiding van de WOG14. 13 Wetsontwerp van 11 juni 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, Memorie van toelichting, Parl. St., Kamer, gewone zitting 2017-2018, nr. 54-3126/1, p. 225. 14 Wetsontwerp van 23 augustus 2017 tot oprichting van de Gegevensbeschermingsautoriteit, Memorie van toelichting, Parl. St., Kamer, gewone zitting 2016-2017, nr. 54-2648/1, p. 40. Beslissing ten gronde 22/2024 — 13/17 57. In eerdere beslissingen heeft de Geschillenkamer de gelegenheid gehad om de reikwijdte van dit concept te beschrijven. Hoewel de Geschillenkamer als administratieve autoriteit zaken van geval tot geval behandelt, wijst zij erop dat onder voldoende belang een belang wordt verstaan dat concreet van aard is en daarom niet specifiek openbaar is 15. Dit is het geval wanneer een werkgever - in zijn hoedanigheid als rechtspersoon - een klacht wil indienen over een mogelijke schending van de AVG met betrekking tot een personeelslid 16. 58. In dit geval blijken de schendingen specifiek betrekking te hebben op een personeelslid van noyb, met dien verstande dat de klager ten tijde van de feiten stagiair was (zie punt 35). 59. De Geschillenkamer kan haar onderzoek echter niet beperken tot deze technische vaststelling. Hoewel zij erkent dat de schendingen van de AVG waarvoor noyb een klacht wenst in te dienen, betrekking hebben op een persoon die ten tijde van de feiten stagiair was, kan zij niet voorbijgaan aan het kunstmatige karakter van de situatie, die er uiteindelijk op zou neerkomen dat artikel 80.1 van de AVG louter en alleen van zijn essentie wordt ontdaan en dat de kloof tussen dit artikel en artikel 80.2 van dezelfde verordening, wordt gedicht. 60. Hoewel het door noyb nagestreefde doel een belangrijke punt van bezorgdheid is binnen de Europese Unie - en daarbuiten - en overeenkomt met de missies die door de GBA worden nagestreefd, is de Geschillenkamer van oordeel dat noyb in de feiten van de onderhavige zaak de klager als katalysator heeft gebruikt om voor de GBA te kunnen ageren en aldus zijn doelstellingen te verdedigen, die van nature en noodzakelijkerwijs van openbare orde zijn. 61. Bijgevolg merkt de Geschillenkamer op dat noyb onvoldoende belang aantoont om te ageren, aangezien het een openbaar belang nastreeft. 62. De Geschillenkamer concludeert dat het niet nodig is het onderzoek van de onderhavige zaak voort te zetten, met dien verstande dat zij op grond van de voornoemde elementen tot het oordeel kan komen dat de werkelijke klager geen procesbelang heeft. II.5. Wat betreft de grieven II.5.1. Het standpunt van de ID en van de partijen 63. In het onderzoeksverslag concludeert de ID ten eerste dat er sprake is van een inbreuk op de artikelen 5.1.
14. a)en 6.1.
15. a)van de AVG, gelezen in samenhang met artikel 4.11 en artikel 25 van de AVG, en artikel 10/2 van de kaderwet, aangezien de verweerder niet de mogelijkheid biedt om alle cookies te weigeren, maar wel ze allemaal via zijn cookiebanner te accepteren ("inbreuk van het type A"). 15 Beslissing van de Geschillenkamer 80/2020 van 17 december 2020, punten 49 t.e.m. 51. 16 Beslissing 30/2020 van de Geschillenkamer van 8 juni 2020. Beslissing ten gronde 22/2024 — 14/17 64. De ID preciseert dat wanneer men verbinding maakt met de website van de verweerder, een waarvoor men toestemming wenst te geven door te drukken op een knop "Alle cookies". De ID heeft geen knop opgemerkt waarmee men alle cookies op de genoemde banner kan weigeren, en noemt dit het resultaat van een bewuste keuze van de verweerder. Aangezien het weigeren van toestemming niet op hetzelfde niveau ligt als het geven van toestemming, is het voor een betrokkene natuurlijk moeilijker om geen toestemming te geven dan om wel toestemming te geven voor cookie-gerelateerde verwerkingen. 65. In zijn onderzoeksverslag concludeert de ID ten tweede dat er sprake is van een inbreuk op de artikelen 5.1.
16. a)en 6.1.
17. a)van de AVG, gelezen in samenhang met artikel 10/2 van de WOG, doordat analytische cookies - die niet strikt noodzakelijk zijn – zijn geïnstalleerd zonder voorafgaande toestemming van de betrokkene ("inbreuk van het type I"). 66. De ID legt uit dat de optie "Keuze van cookies" op de cookiebanner de betrokkene naar een tweede scherm brengt met een lijst van verschillende categorieën van cookies. Hieronder vallen "Strikt noodzakelijke cookies" en "Analysecookies". Beide zijn "Altijd actief" en kunnen dus niet worden gedeactiveerd. Bovendien omvatten analytische cookies cookies die worden gebruikt voor gerichte marketing en worden deze daarom als persoonsgegevens beschouwd. 67. Volgens het onderzoeksverslag concludeert de ID ten derde dat er sprake is van een inbreuk op artikel 7.3 van de AVG, gelezen in samenhang met de artikelen 24 en 25 van de AVG, doordat het intrekken van toestemming niet even gemakkelijk is als het geven ervan ("inbreuk van het type K"). 68. In het genoemde verslag legt de ID uit dat het verlenen van toestemming slechts bestaat in het uitvoeren van een handeling met een knop "Alles toestaan" - namelijk een "klik". Om de toestemming globaal in te trekken moeten daarentegen 4 van dit soort handelingen worden uitgevoerd. Om het intrekken van toestemming net zo gemakkelijk te maken als het geven ervan, zou het aantal benodigde handelingen voor beide keuzes gelijk moeten zijn - wat hier niet het geval is. 69. In het onderzoeksverslag concludeert de ID ten vierde en ten slotte dat er sprake is van een inbreuk op de artikelen 5.1.
18. a)en 6.1.
19. a)van de AVG, gelezen in samenhang met de artikelen 4.11 en 25 van de AVG, en artikel 10/2 van de WOG, aangezien het gebruik van kleuren en contrasten door de verweerder de voorwaarden waaronder de betrokkenen toestemming geven, ongunstig beïnvloeden, en de links op het eerste niveau van de cookiebanner misleidend zijn ontworpen ("inbreuken van het type C, D en E"). 70. In het onderzoeksverslag staat dat de kleuren en de contrasten zo worden gebruikt dat een betrokkene "meer wordt aangetrokken door de knop '"Alle cookies toestaan" dan door de Beslissing ten gronde 22/2024 — 15/17 knop “Keuze van cookies" 17. Daarnaast geeft de ID aan dat door de knop voor het intrekken van toestemming voor de verwerking van cookies "Keuze van cookies" te noemen, het voor de betrokkene niet duidelijk is dat hij met deze knop toestemming voor de genoemde verwerking kan weigeren. 71. De klager is het eens met de analyse van de ID (zie punt 17). 72. De verweerder stelt in zijn conclusie dat, wat betreft de eerste vaststelling van de ID, het ten tijde van de betrokken feiten niet duidelijk was dat een cookiebanner de knoppen "Alles accepteren" en "Alles afwijzen" op hetzelfde niveau moest hebben. Bovendien wijst hij erop dat de cookiebanner van de GBA deze gelijkwaardigheid van knoppen niet had ten tijde van de betrokken feiten. Hij is dan ook van mening dat het bekritiseren van zijn standpunt op basis van het EPDB-rapport18 in strijd zou zijn met de beginselen van de niet-terugwerkende kracht van de wet en rechtszekerheid. Ten slotte merkt de verweerder op dat zijn 73. Vervolgens, wat betreft de tweede vaststelling van de ID, verdedigt de verweerder het feit dat geen van zijn analysecookies wordt gebruikt voor marketingdoeleinden en dat de aldus verzamelde gegevens niet aan derden worden meegedeeld. De verweerder wijst er ook op dat analysecookies als zodanig worden gepresenteerd aan de gebruikers van zijn website. Ten slotte wijst de verweerder erop dat hij nu ook aan deze vereiste voldoet en dat voor analysecookies de toestemming van de betrokkenen wordt gevraagd. 74. Bovendien wijst de verweerder erop dat hij, wat betreft de derde vaststelling van de ID, zoals uiteengezet in punt 66, ten tijde van de betrokken feiten niet duidelijk was dat het voor een betrokkene even gemakkelijk moest zijn om zijn toestemming in te trekken als om deze te geven. Hij verklaart dat hij zich ook op dit punt in overeenstemming heeft gebracht, met dien verstande dat er op zijn cookiebanner een knop "Alles weigeren" staat op hetzelfde niveau als de knop "Alles accepteren". 75. Ten slotte, wat betreft de vierde en laatste vaststelling van de ID, stelt de verweerder dat de keuze van de kleuren geen invloed heeft op de informatie die aan de betrokkene wordt verstrekt zolang de cookiebanner de betrokkene informeert over de verschillende verwerkingsdoeleinden die worden nagestreefd. Bovendien zijn de verschillende keuzemogelijkheden voor de betrokkene perfect leesbaar en zichtbaar. Ten slotte wijst de verweerder er nogmaals op dat hij gevolg heeft gegeven aan de opmerkingen van de ID door zijn website te wijzigen. 17 18 Onderzoeksverslag, p. 47. European Data Protection Board, “Report of the work undertake by the Cookie Banner Taskforce”, 18 januari 2023, beschikbaar op https://edpb.europa.eu/system/files/2023-01/edpb 20230118 report cookie banner taskforce en.pdf. Beslissing ten gronde 22/2024 — 17/17 overeenkomstig artikel 1034 quinquies van het Ger.W. 20, of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32 ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 20 Het verzoekschrift, met de bijlage, wordt in evenveel exemplaren als er partijen zijn, per aangetekende brief aan de griffier van de rechtbank toegezonden of bij de griffie neergelegd.