← België

Beslissing ten gronde nr. 85/2022

1/58 Geschillenkamer Beslissing ten gronde 85/2022 van 25 mei 2022 Dossiernummer : DOS-2020-03432 Betreft : Gebruik van cookies op de mediawebsites van Knack en Le Vif (Roularta Media Group) De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Christophe Boeraeve en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, hierna WVP; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: . De verweerster: Roularta Media Group, een naamloze vennootschap naar Belgisch recht, met . maatschappelijke zetel te 8800, Roeselare, Meiboom, 33 en ingeschreven in .de Kruispuntbank der Ondernemingen onder het nummer 0434.278.896, vertegenwoordigd door Meester Tom De Cordier, kantoorhoudend te 1170, Watermael-Bosvoorde, Terhulpsesteenweg 178 (CMS). Beslissing ten gronde 85/2022 - 2/58 I. Feiten en procedure I.1. Onderzoek Inspectiedienst 1. Op 16 januari 2019 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (“GBA”) op grond van artikel 63, 1° WOG gelezen in het licht van artikel 57, lid 1, punten

  1. a)en
  2. h)van de AVG, om een dossier aanhangig te maken bij de Inspectiedienst in verband met het gebruik van cookies op Belgische mediawebsites. 2. Meer bepaald werd besloten tot een onderzoek met betrekking tot de meest geraadpleegde Belgische nieuwsmedia:1 1 HLN DPG Media nv http://hln.be/ NL 2 Het Nieuwsblad Mediahuis http://nieuwsblad.be/ NL 3 VRT VRT http://deredactie.be/ NL 4 Sudinfo Groupe Rossel http://sudinfo.be/ FR 5 La DH IPM Group SA http://dhnet.be/ FR 6 De Standaard Mediahuis http://standaard.be/ NL 7 RTBF RTBF http://rtbf.be FR 8 Gazet van Antwerpen Mediahuis http://gva.be/ NL 9 RTL Groupe RTL http://RTL.be FR 10 Het Mediahuis http://hbvl.be/ NL Belang van Limburg 11 Le Soir Groupe Rossel http://lesoir.be/ FR 12 7 sur 7 DPG Media nv http://7sur7.be/ FR 13 La Libre IPM Group SA http://lalibre.be/ FR 14 De Morgen DPG Media nv http://demorgen.be/ NL 15 De Tijd MEDIAFIN NV http://tijd.be/ NL 16 l'Avenir Nethys.sa http://lavenir.net/ FR 17 VTM DPG Media nv http://vtm.be NL 18 Sudpresse Groupe Rossel http://www.sudpressedigital.be/ FR Roularta Media http://knack.be/ NL Media http://levif.be/ FR Editions Digitales 19 Knack group 20 Le Vif Roularta group 1 Volgens de cijfers van het Centrum voor Informatie over de Media (CIM) van 2019. Beslissing ten gronde 85/2022 - 3/58 3. Voormeld onderzoek had betrekking op de controle van de grondbeginselen van de AVG en de ePrivacyrichtlijn bij het gebruik van cookies en meer bepaald: - de duidelijkheid en toegankelijkheid van de informatie over cookies; - de naleving van het verkrijgen van de toestemming van de gebruiker voor het plaatsen van niet strikt noodzakelijke cookies; - de (al dan niet) plaatsing van niet strikt noodzakelijke cookies voordat de toestemming van de gebruiker is verkregen; - de mogelijkheid voor de gebruiker om zijn aanvaarding van cookies te parametriseren (i.e. de mogelijkheid om op een algemener niveau te differentiëren in keuzemogelijkheden), in het bijzonder om cookies te weigeren die bedoeld zijn voor profilering voor reclamedoeleinden. Het onderzoek hanteerde de volgende uitgangspunten: - Further browsing wordt niet langer aanvaard, want het is in strijd met de AVG; - Om te voldoen aan het toestemmingsvereiste, die een vrijheid van keuze impliceert, moet de mogelijkheid bestaan om cookies te parametriseren en moet duidelijke informatie over de doeleinden van de categorieën van cookies worden verstrekt; - Voor websites die momenteel met een parameterinstelling werken, moet de doeltreffendheid van die parameterinstelling op technisch niveau worden gecontroleerd. 4. Op 7 oktober 2020 wordt het onderzoek van de Inspectiedienst voor de websites www.knack.be en www.levif.be afgerond en wordt het dossier door de Inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer, overeenkomstigart. 91, §1 en §2 WOG. 5. De verslagen van het onderzoek van de Inspectiedienst bevatten de volgende vaststellingen: 1. Plaatsing van niet strikt noodzakelijke cookies alvorens de toestemming werd verkregen (potentiële schending van artikel 6.1
  3. a)AVG): ▪ Artikel 6.1
  4. a)AVG en artikel 129 van de wet betreffende elektronische communicatie (WEC) bepalen dat de toestemming van de betrokkenen vereist is voor het plaatsen van de cookies, behalve wanneer het gaat om strikt noodzakelijke ▪ Uit de technische analyse van de Inspectiedienst blijkt dat er cookies worden geïnstalleerd voordat de betrokkene zijn toestemming heeft kunnen geven (voor Knack 66 cookies en voor Le Vif 60 cookies). Dit zijn onder andere derdepartij Beslissing ten gronde 85/2022 - 4/58 dat er talrijke analytische cookies en marketing cookies werden geregistreerd. ▪ Voor zowel de site van Knack als voor Le Vif werden slechts 2 cookies als strikt noodzakelijk bevonden. 2. Statistische cookies worden geplaatst zonder toestemming (potentiële schending van artikel 6.1
  5. a)AVG): ▪ Uit het cookie-instellingscherm blijkt dat Roularta Media Group op de websites van Knack en Le Vif statistische cookies beschouwt als cookies die niet onderworpen zijn aan een toestemming. Zij staan immers altijd standaard actief en kunnen niet worden uitgeschakeld; ▪ Eerstepartij ‘statistische’ cookies vallen niet noodzakelijk onder de uitzondering van ‘strikt noodzakelijke cookies’ uit artikel 5.3 lid 2 van de e-Privacyrichtlijn. De Geschillenkamer oordeelde in een beslissing ten gronde 12/2019 van 17 december 2019 dat statistische cookies niet beschouwd kunnen worden als cookies die strikt noodzakelijk zijn om een door een abonnee gevraagde dienst te leveren, in de zin van artikel 129 lid 2 WEC. Zij oordeelde dat het begrip “noodzakelijk” conform de beschermingsdoeleinden van het Europese gegevensbeschermingsrecht geïnterpreteerd worden, in de zin dat deze uitzondering enkel in het belang van de betrokkenen (website bezoekers) en niet in het exclusief belang van de verstrekker van de informatiedienst ingeroepen mag worden. Ook al vinden website operators dat deze cookies voor het verstrekken van hun dienst onontbeerlijk zijn, ze zijn per se niet absoluut noodzakelijk om de door de website bezoeker gevraagde informatie dienst te leveren.2 ▪ De Geschillenkamer sloot in dezelfde beslissing evenwel niet uit dat bepaalde statistische cookies onder bepaalde voorwaarden wel degelijk strikt noodzakelijke dienst, om bijvoorbeeld een navigatieprobleem te detecteren. Daarvan is in deze zaak echter geen sprake.3 3. Vooraf aangevinkte vakjes voor de partners (potentiële schending van de artikelen 4.11, 6.1
  6. a)en 7.1 AVG): ▪ De AVG vereist een “verklaring of een ondubbelzinnige actieve handeling” (artikel 4.11 AVG), waardoor alle veronderstelde toestemmingen op basis van een meer 2 GK, Beslissing ten gronde 12/2019 van 17 https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-12-2019.pdf, 3 Ibid. december 2019, Beslissing ten gronde 85/2022 - 5/58 impliciete wijze van handelen van de betrokkene, niet overeenkomstig de normen van toestemming van de AVG is. De Inspectiedienst baseert zich op het Planet49 arrest waaruit duidelijk werd dat artikel 2. F (definitie van toestemming) en artikel 5.3 (toestemming voor cookies) van de ePrivacy Richtlijn, gelezen moet worden in samenhang met artikel 4.11 en artikel 6.1
  7. a)van de AVG.4 Het Hof van Justitie oordeelde vervolgens dat toestemming niet rechtsgeldig werd verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van de website opgeslagen informatie via cookies wordt toegestaan door middel van standaard aangevinkte selectievakjes dewelke de gebruiker moet afvinken ingeval hij weigert zijn toestemming te geven; 5 ▪ Uit de technische analyse blijkt dat de cookies van partnerbedrijven standaard op actief staan; ▪ De Inspectiedienst stelt ook vast dat de verweerster bovendien niet voldoet aan de verplichting van artikel 7.1 van de AVG die hem oplegt om aan te tonen dat de betrokkene zijn toestemming heeft gegeven om niet strikt noodzakelijke cookies te plaatsen. 4. Disclaimer voor derdepartij cookies (potentiële schending van artikel 5.2
  8. a)en 7.1 AVG): ▪ Volgens de Inspectiedienst probeert Roularta Media Group de verantwoordelijkheid van zich af te schuiven voor derdepartij cookies die bij een bezoek aan de sites van Knack en Le Vif geplaatst worden; ▪ Zo stelt het cookiebeleid dat Roularta Media Group niet verantwoordelijk is voor te maken informatie te delen via sociale netwerken). Het cookiebeleid stelt ook dat Roularta Media Group geen controle heeft over bepaalde cookies die op haar website worden gebruikt. ▪ De Inspectiedienst verwijst wat dit aspect betreft naar het arrest Wirtschaftsakademie van het Hof van Justitie waarin werd geoordeeld dat de eigenaar van een website verantwoordelijk is voor de verwerking van cookies die 4 Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, Planet49 (hierna: “arrest Planet49”), paragraaf 65: “Gelet op een en ander moet op de eerste vraag, onder
  9. a)en c), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming niet rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt selectievakje dat deze gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.” 5 Ibid. Beslissing ten gronde 85/2022 - 6/58 zijn website installeert of uitleest.6 Hij neemt op zijn minst deel aan het bepalen van de doeleinden en de middelen voor de verwerking van de persoonsgegevens van de bezoekers van zijn website door toepassingen van derden op zijn website of de verspreiding van de inhoud van derden in de advertentieruimten van zijn website toe te staan.7 ▪ Vervolgens verwijst de Inspectiedienst naar het verantwoordingsbeginsel in artikel 5.2 van de AVG waaruit blijkt dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de beginselen inzake de verwerking van persoonsgegevens en dat hij moet kunnen aantonen dat deze beginselen in acht worden genomen. ▪ Deze praktijk gehanteerd door Roularta Media Group moet ook worden gezien als een schending van artikel 7.1 AVG, aangezien een verwerkingsverantwoordelijke moet aantonen dat de betrokkene toestemming heeft gegeven voor het plaatsen van alle cookies die niet strikt noodzakelijk zijn. 5. Verkeerde en gebrekkige informatie (potentiële schending art. 4.11, 12.1, 13 en 14 van de AVG). ▪ Het cookiebeleid van Roularta Media Group bevat bepalingen die niet in overeenstemming zijn met de AVG. Zo spreekt het cookiebeleid van impliciete toestemming voor cookies via de toegang tot de websites van Roularta Media Group, wat in strijd is met de noodzaak van een wilsuiting door een duidelijke verklaring of positieve handeling overeenkomstig artikel 4.11 AVG. Ook wordt vermeld dat voor het delen van gegevens die werden verzameld via cookies geen specifieke toestemming vereist is, hetgeen in strijd is met het specifieke karakter van de toestemming voor een gegevensverwerking overeenkomstig artikel 4.11 van de AVG; ▪ Het cookiebeleid zou ook duidelijkheid missen over de noodzaak van het gebruik van derdepartij cookies als gevolg van technische problemen die al langer dan een jaar duren; 6 Arrest van het Hof van Justitie van 5 juni 2018, C-210/16, ECLI:EU:C:2018:388, Wirtschaftsakademie, par. 39: “In deze omstandigheden moet worden geoordeeld dat de beheerder van een fanpagina op Facebook, zoals Wirtschaftsakademie, door het vastleggen van instellingen naargelang van, met name, zijn doelpubliek en van doelstellingen voor het beheer of de promotie van zijn activiteiten, deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking van de persoonsgegevens van de bezoekers van zijn fanpagina. Hiervoor moet deze beheerder, in casu, worden aangemerkt als verantwoordelijke binnen de Unie, gezamenlijk met Facebook Ireland, voor deze verwerking, in de zin van artikel 2, onder d), van richtlijn 95/46.” 7 Ibid. Beslissing ten gronde 85/2022 - 7/58 ▪ Ook stelt de Inspectiedienst vast dat de namen van de soorten cookies in het ▪ Daarnaast is in het cookiebeleid geen informatie opgenomen over de opslagperiodes van cookies. Het cookiebeleid zou immers gewag maken van een onbeperkte opslagperiode voor cookies; ▪ Het cookiebeleid vermeldt dat de partners gebruik maken van het “IAB Europe Transparency & Consent Framework” dat ervoor zou zorgen dat derden de AVG naleven. Echter, van de 449 partners die op de sites van Knack en Le Vif zijn vermeld, zijn er 312 niet of niet meer door IAB gevalideerd; ▪ Het feit dat de gebruiker het beleid van de 449 verkopers (“vendors”) moet raadplegen om te weten te komen wat deze bedrijven met zijn gegevens doen en op basis daarvan een geïnformeerde beslissing te nemen om zijn toestemming te geven, meer dan illusoir en onuitvoerbaar is. Bovendien zal dit waarschijnlijk leiden tot het plaatsen van nog meer cookies bij het bezoeken van de links naar deze partners; ▪ Tot slot wordt vastgesteld dat cookies niet individueel worden gedocumenteerd, waardoor de gebruiker niet in staat is om te controleren wat er met zijn gegevens wordt gedaan. 6. Ongerechtvaardigde opslagperiodes van cookies (potentiële schending van artikel 5.1
  10. e)van de AVG): ▪ De Inspectiedienst verwijst naar artikel 5.1
  11. e)AVG waarin bepaald wordt dat cookies niet langer mogen worden bewaard dan nodig is om het doel te bereiken. Deze bewaartermijn mag bijgevolg niet onbepaald zijn. De informatie die wordt verzameld en opgeslagen in een cookie en de informatie die wordt verzameld als gevolg van het lezen van een cookie moet worden verwijderd wanneer die niet langer nodig is voor het nagestreefde doeleinde. Een cookie die is vrijgesteld van de toestemmingsvereiste moet een levensduur hebben die rechtstreeks verband houdt met het doel waarvoor deze wordt gebruikt en moet worden ingesteld om te vervallen zodra het niet langer nodig is, rekening houdend met de redelijke verwachtingen van de gebruiker. die zijn vrijgesteld van de toestemmingvereiste zullen daarom doorgaans dienen te verlopen wanneer de browsersessie eindigt of zelfs eerder 8; 8 Zie “De levensduur van cookies” en de “Vragen” van het themadossier “Cookies” op de website van de GBA, https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/internet/cookies. Beslissing ten gronde 85/2022 - 8/58 ▪ Uit het technisch analyserapport blijkt dat de effectieve opslagperiodes onredelijk lang zijn en dat cookies een levensduur hebben van meerdere jaren. Het 7. Niet-naleving van de intrekking van de toestemming (potentiële schending artikel 7.3 AVG): ▪ Artikel 7.3 van de AVG bepaalt dat de betrokkene het recht heeft zijn toestemming te allen tijde in te trekken; ▪ De technische analyse toont aan dat de intrekking van de toestemming niet effectief is. Uit de technische analyse van de site van Knack blijkt dat het aantal vast dat wanneer zij haar toestemming opnieuw intrekt er geen verandering is in de hoeveelheid geladen cookies, in tegendeel, het aantal cookies neemt toe.9 Uit de technische analyse van de website van Le Vif blijkt dat het onmogelijk is om de 6. Op 6 november 2020 verzoekt de Geschillenkamer de Inspectiedienst op basis van artikel 94, 2° en 96, § 2 WOG om aanvullende informatie omtrent de technische onderzoeksverslagen. 7. Op 30 november 2020 wordt het aanvullend onderzoek afgerond en verstrekt de Inspectiedienst een aanvullend onderzoeksverslag aan de Geschillenkamer. I.2. De procedure voor de Geschillenkamer 8. Op 21 december 2020 beslist de Geschillenkamer op grond van artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 9. Op 21 december 2020 wordt de verweerster per aangetekende zending in kennis gesteld van deze beslissing, alsook van het inspectieverslag en de inventaris van de stukken van het dossier dat door de Inspectiedienst aan de Geschillenkamer werd overgemaakt. Tevens wordt de verweerster op grond van artikel 99 WOG in kennis gesteld van de termijnen om haar verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster werd vastgelegd op 9 februari 2021. 10. Op 6 januari 2021 ontvangt de Geschillenkamer een brief van de raadslieden van de verweerster. In voormelde brief verzoekt de verweerster om een kopie van het dossier (art. 95, § 2, 3° WOG) en vraagt zij de Geschillenkamer om gehoord te worden overeenkomstig artikel 98 WOG, teneinde haar verweermiddelen mondeling te kunnen toelichten. 9 Zie hiervoor pagina 46 van het Inspectieverslag De Knack: “Tussen stap 24 “alles” en stap 26 “minimum” neemt het aantal cookies niet af”. Beslissing ten gronde 85/2022 - 9/58 11. Op 18 januari 2021 maakt de Geschillenkamer een kopie van het dossier over aan de verweerster. 12. Op 9 februari 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerster. Hierna volgt de samenvatting van middelen en argumenten geformuleerd door de verweerster in die conclusie. 13. In haar conclusie van antwoord werpt de verweerster ten eerste op dat er enkele onnauwkeurigheden waren tijdens het onderzoek van de GBA. ▪ Middel 1: het onderzoek werd niet uitgevoerd volgens de regels van de kunst die van toepassing zijn. o Bij de handmatige cookiescans ontbreken essentiële elementen, te weten de lijst van bezochte URL’s en specifieke verzoeken met betrekking tot de plaatsing van URL’s bezocht werden tijdens het onderzoek en of deze URL’s beperkt waren tot Roularta en of er tijdens elk toestemmingsscenario al cookies aanwezig waren of geplaatst werden. o Er werd gebruik gemaakt van cookiebot en Onetrust als classificatiemechanismes (zij bieden beide geen informatie en methodologie over de gebruikte classificatiemethode). o Bovendien gebruikte de Inspectiedienst een gratis versie van beide mechanismen wat o niet bijdraagt tot de geloofwaardigheid van het onderzoek. Ten slotte vertonen de classificaties van OneTrust en Cookiebot conflicten, en wordt nergens in het onderzoek verduidelijkt hoe deze worden opgelost wanneer de mechanismen worden toegepast op de cookies van Roularta. o Onduidelijke terminologie: “geen techniek”, “further browsing”, “CMP”, “cookiewall”, “blijvende banner”, “niet-blijvende banner”. o Onprofessionele tooling: zowel WEC als Cookie Manager zijn onvolwassen github repositories volgens elke software ontwikkelstandaard. Hoewel het WEC het goedkeuringsstempel van de EDPB draagt, is deze repository uitsluitend ontwikkeld door Robert Riemann, IT Policy Officer bij de Europese toezichthouder voor gegevensbescherming (EDPS), en wordt hij niet actief onderhouden, afgaande op het aantal recente pull requests en openstaande issues. Ook Cookie Manager werd ontwikkeld door een particulier (Rob Wu) die geen specifieke privacy- of beveiligingsachtergrond heeft. Beslissing ten gronde 85/2022 - 10/58 ▪ Middel 2: het document hanteert bronnen/tools die niet officieel zijn o De bronnen voor de cookie-indeling kunnen niet worden geverifieerd, en de gedocumenteerde bronnen zijn niet betrouwbaar. Zowel OneTrust als Cookiebot hebben een eigen cookie classificatiedatabase gebouwd die controllers ondersteunt door hun begrip van cookies te bootstrappen tijdens de implementatie van een CMP. o Wat betreft OneTrust: de classificaties zijn gebaseerd op de richtlijnen van de ICC in het Verenigd Koninkrijk, die niet langer beschikbaar zijn, en aangevuld met "een laag van eenvoudige regels die het mogelijk maken duidelijker beslissingen te nemen in bepaalde scenario's met randgevallen, en een methodologie voor de classificatie van beste praktijken wanneer verdere informatie over het gebruik van bepaalde cookies niet anderszins beschikbaar is". o Wat betreft Cookiebot: eigendom van het Zweedse privacybedrijf Cybot, geeft alleen aan dat het bedrijf een wereldwijde cookie-repository bijhoudt zonder methodologie en bronnen te vermelden. o De geloofwaardigheid van deze classificaties wordt verder aangetast door het feit dat de Researcher gebruik maakt van gratis versies van zowel Cookiebot als OneTrust die tot doel hebben gebruikers aan te zetten een volledig abonnement te kopen. o Verwijzing naar website gdpr.eu voor definitie van strikt noodzakelijke cookies: website is eigendom van het Zwitserse bedrijf Proton Technologies AG. De Inspectiedienst kon ook verwijzen naar de juiste wetgeving. o Ratio derde partij cookies: De inspectiedienst beweert dat de verhouding tussen first en third party cookies in de context van strikt noodzakelijke cookies dient als proxy voor potentiële inbreuk. Dit terwijl er absoluut geen causaal verband is tussen het doel van een cookie en het domeinbezit. o Handmatige cookies bevatten geen tijdstempels. Hierdoor kan Roularta niet verifiëren of deze cookies daadwerkelijk op volgorde zijn geplaatst en welke 14. Vervolgens gaat de verweerster in op de vaststellingen door de Inspectiedienst: ▪ Vaststelling 1: plaatsing van niet-strikt noodzakelijke cookies alvorens de toestemming werd verkregen Beslissing ten gronde 85/2022 - 11/58 o Roularta stelt in haar conclusies dat zij niet kan verifiëren welke cookies op het moment van de vaststellingen effectief werden geplaatst. Zij verklaart dat door gebrek aan technische kennis bij Roularta er een gebrekkige implementatie was van OneTrust. Cookies die zouden geplaatst geweest zijn door adverteerders zouden normaal gezien de toestemming moeten volgen die via het IAB TCF werd doorgegeven. Het is volgens Roularta echter zeer moeilijk permanent te controleren of alle IAB vendors zich aan de afspraken van het IAB TCF houden. o Roularta geeft wel aan dat zij in 2021 alle nieuws- en content websites onder één Roularta domein brengen waardoor deze problematiek veel beter gecontroleerd kan worden. ▪ Vaststelling 2: statistische cookies zonder toestemming o Volgens Roularta is het plaatsen van statistische cookies vooraleer toestemming werd verkregen verenigbaar met art. 6.1
  12. a)AVG. Dit omwille van het feit dat de bedoeling van het plaatsen van deze statistische cookies is om geaggregeerde basisstatistieken te verzamelen omtrent het gebruik van haar websites, hetgeen noodzakelijk is voor het businessmodel van de websites: ▪ aan adverteerders moeten betrouwbare en door het CIM (Centrum voor Informatie over de Media) gecontroleerde bezoekcijfers ter beschikking gesteld worden; ▪ anderzijds moeten redacties in staat zijn het resultaat van online gepubliceerde artikels te meten om zo permanent te kunnen evalueren en bijsturen. o Verweerster verwijst naar het feit dat geaggregeerde gegevens buiten het toepassingsgebied vallen van de AVG. o Bovendien had de GBA nog geen officiële richtsnoeren gepubliceerd omtrent de verplichting tot het verkrijgen van een toestemming voor het plaatsen van statistische cookies. Verweerster verwijst vervolgens naar het standpunt van zowel de CNIL (Franse Autoriteit) als de AP (Nederlandse autoriteit) wat betreft statistische cookies. Zij stelt dat zij haar praktijk wat betreft statistische cookies had geïnspireerd op de aanbevelingen van de CNIL en de AP. Overeenkomstig eigen interpretaties was de praktijk van Roularta wat betreft statistische cookies in overeenstemming met de WEC en de AVG. ▪ Vaststelling 3: vooraf aangevinkte vakjes voor de partners Beslissing ten gronde 85/2022 - 12/58 o Roularta is van oordeel dat het gebruik van vooraf aangevinkte vakjes een geldige toestemming is. o Partnerbedrijven binnen het OneTrust Consent Management Platform stonden standaard op “actief”, maar Roularta verduidelijkt dat dit niet betekent dat cookies door die partnerbedrijven werden geïnstalleerd. Het ging dus niet over een toestemming tot het plaatsen van cookies, maar over een toestemming voor aan een aantal partnerbedrijven toegang te geven tot gegevens voor een of meerdere doeleinden. Als de betrokkene bijvoorbeeld geen advertentiecookies accepteerde, dan zouden deze partnerbedrijven ook geen advertentiecookies kunnen plaatsen. o Roularta is van oordeel, in het licht van de rechtspraak van het Hof van Justitie in het arrest Planet49, dat de praktijk waarbij cookies van partnerbedrijven standaard op “actief” staan een geldige toestemming uitmaakt in de zin van de artikelen 4.11 en 6.1
  13. a)AVG. o Roularta wijst op het feit dat zij overgeschakeld zijn naar het Didoma Consent Management Platform in maart 2020, en dat nu geen enkel van de partnerbedrijven nog automatisch op “actief” staat en de gebruiker altijd actief een keuze moet maken. ▪ Vaststelling 4: disclaimer voor derde partij cookies o Roularta stelt niet verantwoordelijk te zijn voor de verwerking van cookies die door derden in het kader van het IAB TCF worden geplaatst. o Verweerster steunt op het IAB Europe-onderzoek voor haar argumentatie: “Belgium's Data Protection Authority found IAB Europe's Transparency and Consent Framework does not meet several standards under the EU General Data Protection Regulation, TechCrunch reports. The DPA determined the framework fails to comply with the GDPR's principles of transparency, fairness and accountability. IAB Europe said in response it “respectfully disagree[s] with the [Belgian DPA]’s apparent interpretation of the law, pursuant to which IAB Europe is a data controller in the context of publishers’ implementation of the TCF [Transparency & Consent Framework (TCF)”. o Vervolgens stelt verweerster dat, mocht de GBA tot een andere conclusie komen, haar praktijken desalniettemin in overeenstemming zijn met artikel 5.2 AVG. De verantwoordingsplicht betekent “(I) de noodzaak voor een voor de verwerkingsverantwoordelijke om passende en doeltreffende maatregelen te nemen ten einde de beginselen van gegevensbescherming ten uitvoer te leggen…” Er zijn geen richtsnoeren gepubliceerd door de GBA waarin verduidelijkt wordt wat Beslissing ten gronde 85/2022 - 13/58 bedoeld wordt onder een minimum aan passende en doeltreffende maatregelen. Bovendien heeft Roularta ervoor gekozen om gebruik te maken van het IAB Framework dat omschreven wordt als “the most sophisticated and scrutinised model of GDPR-compliance for digital advertising in the world”. o Roularta verduidelijkt dat de disclaimer niet de bedoeling had om de verantwoordelijkheid van zich af te schuiven maar om eerder aan te geven dat zij niet in staat is om cookies te blokkeren die door derde partijen geplaatst worden. o Wat betreft elementen II en III van artikel 5.2 AVG: “(
  14. ii)de noodzaak om op verzoek te kunnen aantonen dat er passende en doeltreffende maatregelen zijn genomen. De voor de verwerking verantwoordelijke moet derhalve bewijs kunnen overleggen van (
  15. i)hierboven”. Verweerster geeft toe dat de vermelding in het cookiebeleid dat “Roularta Media Group niet verantwoordelijk is voor de cookies die door derden worden geplaatst en beheerd onder meer om het mogelijk te maken informatie te delen via sociale netwerken” en dat “Roularta Media Group geen controle heeft over bepaalde Verweerster stelt dat het niet zozeer de bedoeling was om verantwoordelijkheid af te schuiven, wel om aan te duiden dat Roularta technisch niet in staat is cookies te blokkeren die door sommige derde partijen (in casu: adverteerders) geplaatst worden. Adverteerders en agentschappen kunnen, wanneer een advertentiecampagne op één van de Roularta sites getoond wordt, via die campagne cookies of scripts lanceren die door Roularta onmogelijk op voorhand gekend zijn. Roularta geeft in haar conclusies aan dat de vermelding in het cookiebeleid in kwestie werd verwijderd omdat er sinds het IAB TCF-framework van kan worden uitgegaan dat IAB vendors conform dit framework geen cookies of scripts meer plaatsen tenzij er zowel toestemming is voor de cookies en de betrokken vendor goedgekeurd werd in de lijst van partnerbedrijven. ▪ Vaststelling 5: verkeerde en gebrekkige informatie Omtrent de vermelding “.. het gebrek aan duidelijkheid in het cookiebeleid omtrent de noodzaak van het gebruik van derde partij cookies is te wijten aan technisch problemen”: o Standpunt van Roularta: Op het ogenblik van de vaststelling door de GBA, was dit probleem reeds verholpen maar stond het wel nog in het privacy-beleid. Bij Beslissing ten gronde 85/2022 - 14/58 update van het cookiebeleid op 23 juni 2020 werd deze vermelding verwijderd. Het probleem was concreet dat Knack een nieuw registratiesysteem gebruikte sinds november 2018. Dit registratiesysteem maakte gebruik van functionele aanmelden. Technisch gezien was deze cookie een derde-partij cookie. Er bleek een probleem te zijn voor gebruikers die standaard derde partij cookies weigerden (zij moesten zich telkens opnieuw aanmelden). Dit probleem werd aangekaart bij de leverancier van het registratiesysteem met het oog op een snelle oplossing. Een oplossing werd gezocht, maar bleek moeilijker te zijn dan gedacht. Men moest een manier vinden waarop mensen die alleen first-party Omtrent het niet overeenkomen van de namen van de cookies in het o Standpunt van Roularta: Roularta kon niet anders dan de onduidelijke bewoordingen gebruikt door IAB TCF te gebruiken op haar consenttool (op straffe van uitsluiting van het TCF). Omtrent het feit dat het cookiebeleid geen informatie zou bevatten betreffende de opslagperiodes: o Zie uiteenzetting verweer over vaststelling 6. Omtrent de vermelding in de toestemmingsbeheerstool met betrekking tot het gebruik van het “IAB Europe Transparency & Consent Framework”: o De vermelding en beknopte toelichting hadden enkel als doel transparantie te creëren en de gebruiker te informeren over de manier waarop Roularta het gebruik van cookies wil controleren, namelijk door zich aan te sluiten bij een internationaal erkende standaard binnen de digitale advertising wereld. Omtrent het feit dat de gebruiker van de website het cookiebeleid van de 449 vendors zou moeten raadplegen ten einde een idee te krijgen van wat er gebeurd met haar gegevens: o Een verplichting die haar werd opgelegd door het IAB TCF. Omtrent het niet individueel documenteren van de cookies: o ▪ Ondertussen verholpen door een update van het cookiebeleid. Vaststelling 6: ongerechtvaardigde opslagperiodes van cookies Beslissing ten gronde 85/2022 - 15/58 o Verweerster wijst hier opnieuw naar het gebrek aan precieze richtlijnen wat betreft de levensduur van cookies. o Zij stelt dat het hierdoor erg moeilijk is voor bedrijven om

(1)te begrijpen wat de levensduur is wanneer cookies “niet langer mogen bewaard worden dan de tijd die nodig is om het nagestreefde doeleinde te bereiken” en
(2)hun praktijken dienen aan te passen om aan de GBA te voldoen. o De Inspectiedienst stelde ook foutief dat er geen informatie over de bewaartermijn van cookies te vinden is in het privacybeleid (stuk 8): “La durée de conservation varie de cookie à cookie, en général les cookies sont stockés jusqu’à ce que l’utilisateur supprime les cookies (...)”. Paragraaf 11 van het privacy beleid (Stuk 8) bevat in feite twee soorten informatie over de bewaartijd van cookies: (
  1. i)het feit dat de duur varieert van cookie tot cookie (
  2. ii)het feit dat de gebruiker cookies kan uitschakelen, wat resulteert in nul bewaartijd (aangezien cookies niet actief zijn). Het is dus onjuist te stellen dat Roularta een bewaringstermijn heeft die in beginsel onbeperkt is. Het is juist dat er geen concrete informatie te vinden was over de opslagtermijn van cookies, maar het gaat te ver dat de Inspectiedienst dit gelijk stelt aan een onbeperkte duur. o Verweerster verwijst ook naar een aangepaste privacy beleid op 23 juni 2020, waar nu een gedetailleerde beschrijving van de bewaringstermijn terug te vinden is. ▪ Vaststelling 7: Niet-naleving van de intrekking van de toestemming o Dit was door de technische problemen met betrekking tot het gebruik van de Consent Management Platform Didomi. o Het intrekken van de toestemming moet even eenvoudig zijn als het geven ervan: Roularta voorziet een eenvoudige en gemakkelijke toegankelijke tool, en dat zonder het niveau van dienstverlening te verlagen. o Roularta kan bovendien niet zelf een bepaalde cookie effectief verwijderen van het toestel, dit dient gedaan te worden door de betrokken persoon zelf. o Samengevat is het gevolg van het intrekken van de toestemming: “het blokkeren en het achteraf verwijderen van cookies in de browser van de gebruiker, er zal geen gegevensverwerking meer plaatsvinden”. De cookies zullen wel nog steeds geïnstalleerd staan op het toestel van de gebruiker, maar zij zullen inactief zijn en niet meer functioneel zijn. Beslissing ten gronde 85/2022 - 16/58 15. Op 6 december 2021 wordt de verweerster ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 17 december 2021. 16. Op 17 december 2021 wordt de verweerster gehoord door de Geschillenkamer. 17. Op 23 december 2021 wordt het proces-verbaal van de hoorzitting aan de raadslieden van de verweerster overgemaakt. 18. Op 6 januari 2022 ontvangt de Geschillenkamer de opmerkingen van de verweerster met betrekking tot het proces-verbaal, dewelke zij mee opneemt in haar beraad. 19. Op 20 april 2022 heeft de Geschillenkamer aan de verweerster het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerster de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 20. Op 11 mei 2022 ontvangt de Geschillenkamer de reactie van de verweerster op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. II. Motivering II.1. Bevoegdheid van de Gegevensbeschermingsautoriteit 21. Overeenkomstig artikel 4, §1 WOG is de Gegevensbeschermingsautoriteit “verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens.” Uit de bewoordingen van de Memorie van Toelichting van de WOG blijkt dat de bevoegdheid van de GBA zeer ruim dient te worden opgevat: “De Gegevensbeschermingsautoriteit treedt op ten aanzien van wetgeving die bepalingen bevatten inzake de verwerking van persoonsgegevens, zoals bijvoorbeeld de wet tot regeling van een Rijksregister, de wet houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid, de wet tot oprichting van een Kruispuntbank van Ondernemingen, enz.”10 Uit voorgaande kan worden afgeleid dat de bedoeling van de wetgever erin bestond de GBA een algemene en horizontale bevoegdheid te geven wat betreft de bescherming van persoonsgegevens. De GBA heeft dus niet enkel een toezichtbevoegdheid wat betreft de AVG, 10 Belgische Kamer van Volksvertegenwoordigers, Wetsontwerp tot oprichting van de gegevensbeschermingsautoriteit, 23 augustus 2017, DOC 54 2648/001, 13. Beslissing ten gronde 85/2022 - 17/58 doch ook wat betreft overige wetgeving die betrekking heeft op de verwerking van persoonsgegevens. 22. Wat betreft het gebruik van cookies dient in dit verband te worden verwezen naar de Europese Richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (“eprivacyrichtlijn”), die in Belgisch recht gedeeltelijk werd omgezet door de Wet Elektronische Communicatie (WEC). In het bijzonder artikel 5, lid 3 e-Privacyrichtlijn is hierbij van belang, zoals destijds omgezet in (gewezen) artikel 129 WEC (cf. infra). Eerstgenoemde bepaling luidt als volgt: "De lidstaten dragen ervoor zorg dat de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of gebruiker, alleen is toegestaan op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig Richtlijn 95/46/EG, onder meer over de doeleinden van de verwerking. Zulks vormt geen beletsel voor enige vorm van technische opslag of toegang met als uitsluitend doel de uitvoering van de verzending van een communicatie over een elektronisch communicatienetwerk, of, indien strikt noodzakelijk, om ervoor te zorgen dat de aanbieder van een uitdrukkelijk door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij deze dienst levert.” 23. Wat betreft de bevoegdheid van de Geschillenkamer met betrekking tot de e-Privacyrichtlijn en de WEC verwijst de Geschillenkamer naar haar eerdere beslissingen 12/2019 van 17 december 2019, 19/2021 van 12 februari 2021, 24/2021 van 19 februari 2021 en 11/2022 van 21 januari 2022. 24. De Geschillenkamer onderlijnt voorts dat zij als orgaan van de GBA bevoegd is om te oordelen over de rechtsgeldigheid van persoonsgegevensverwerkingsactiviteiten overeenkomstig artikel 4, §1 WOG, alsook artikel 55 AVG, en dit in het licht van artikel 8 van het Handvest van de grondrechten van de Europese Unie. 25. Voorts was ten tijde van de vaststellingen van de Inspectiedienst, naar Belgisch recht, het Belgisch Instituut voor postdiensten en telecommunicatie (BIPT) de bevoegde autoriteit voor de wet betreffende de elektronische communicatie (WEC), met inbegrip van artikel 129 van die wet, dat uitvoering geeft aan artikel 5, lid 3 van de e-privacyrichtlijn. Desalniettemin hangt het begrip toestemming onder de e-privacyrichtlijn onlosmakelijk samen met de vereisten van toestemming onder de AVG, hetgeen ook werd verduidelijkt in richtlijnen omtrent toestemming door de WP29 als rechtsvoorganger van het Europees Comité voor gegevensbescherming (hierna: “EDPB”). 11 11 EDPB, Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, o.m. par. 7. Beslissing ten gronde 85/2022 - 18/58 26. Daarnaast dient in dit verband in het bijzonder te worden verwezen naar Advies 5/2019 van de EDPB betreffende de wisselwerking tussen de e-Privacyrichtlijn en de Algemene Verordening Gegevensbescherming, waarin de EDPB stelt: “De gegevensbeschermingsautoriteiten zijn bevoegd om de AVG te handhaven. Het enkele feit dat een subgedeelte van de verwerking binnen het toepassingsgebied van de ePrivacyrichtlijn valt, beperkt de bevoegdheid van de gegevensbeschermingsautoriteiten uit hoofde van de AVG niet”.12 27. In voormeld advies stelt de EDPB dat de bepalingen uit de e-privacyrichtlijn de AVG immers “verduidelijken en aanvullen” met betrekking tot de verwerking van persoonsgegevens in de sector van de elektronische communicatie13, met het oog op het waarborgen van de naleving van de artikelen 7 en 8 van het Handvest van de Grondrechten van de Europese Unie. Artikel 5, lid 3 van de e-privacyrichtlijn wordt hierbij aangehaald als voorbeeld van dergelijke “specificeringsbepaling”.14 28. Dat de bepalingen van de e-privacyrichtlijn - alsook diens omzettingsbepalingen - als een verduidelijking van en een aanvulling op de bepalingen van de AVG dienen te worden beschouwd, wordt tevens expliciet bevestigd in de Memorie van Toelichting bij het wetsontwerp van de WEC: “Afdeling 2 van hoofdstuk III van titel IV is voornamelijk gewijd aan de omzetting van Richtlijn 2002/58/EG van 12 juli 2002 van het Europees Parlement en de Raad betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (de zogenaamde «Richtlijn betreffende privacy en elektronische communicatie», hierna kortweg: «de Privacyrichtlijn»). De bepalingen van deze afdeling stellen op sommige plaatsen een specifiek privacybeschermend regime in, dat aangepast is aan de karakteristieken en noden van de sector van de elektronische communicatie. Op andere plaatsen moeten de bepalingen van deze afdeling gezien worden als een aanvulling van de bepalingen van de wet van 8 december 1992 betreffende de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna kortweg: “de Privacywet’).” 15 (eigen onderlijning) 29. In zijn arrest Planet49 oordeelde het Hof van Justitie bovendien dat het verzamelen van cookies als een verwerking van persoonsgegevens kan worden aangemerkt. 16 Het Hof bevestigde in voormeld arrest dat de bedoeling van artikel 5, lid 3 e-privacyrichtlijn erin bestaat om “de gebruiker te beschermen tegen een inmenging in zijn privéleven, ongeacht of die inmenging betrekking heeft op 12 EDPB, advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, met name wat betreft de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, randnr. 69. 13 Ibid, randnr. 38. 14 Ibid, randnr. 41. 15 Wetsontwerp betreffende de elektronische communicatie, Parl. St. Kamer, DOC 51 1425/001, p. 73. Het huidige artikel 129 is in het wetsontwerp artikel 138. 16 Arrest Planet49, § 45. Beslissing ten gronde 85/2022 - 19/58 persoonsgegevens”.17 Verder stelde het Hof van Justitie dat artikel 5, lid 3 van de e-privacyrichtlijn uitgelegd moet worden in het licht van de AVG, en meer bepaald de artikelen 4.11, 6.1
  3. a)(toestemmingsvereiste) en 13 AVG (te verstrekken informatie). 30. Hieromtrent wijst de Geschillenkamer ook naar het voorstel voor de e-Privacyverordening waarin staat bepaald dat het toezicht en de naleving van de verordening zal worden toevertrouwd aan de toezichthoudende autoriteiten die verantwoordelijk zijn voor het toezicht op Verordening (EU) 2016/679.18 31. De Geschillenkamer wijst er tot slot op dat sinds de inwerkingtreding van de wet van 21 december 2021 houdende omzetting van het Europees Wetboek voor elektronische communicatie en wijziging van diverse bepalingen inzake elektronische communicatie op 10 januari 2022 de GBA voortaan overeenkomstig het Belgisch recht bevoegd is voor het toezicht op de bepalingen inzake de plaatsing en het gebruik van cookies (i.e. “de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker”). Voormelde wet bracht onder meer wijzigingen aan de WEC. Meer bepaald voorziet artikel 256 van de wet van 21 december 2021 de opheffing van artikel 129 WEC en de overheveling van deze bepaling naar de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (WVP).19 Artikel 10/2 WVP luidt voortaan als volgt: “In toepassing van artikel 125, § 1, 1°, van de wet van 13 juni 2005 betreffende de elektronische communicatie en onverminderd de toepassing van de Verordening en deze wet is de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker slechts toegestaan op voorwaarde dat: 1° de betrokken abonnee of gebruiker, overeenkomstig de voorwaarden bepaald in de Verordening en in deze wet, duidelijke en precieze informatie krijgt over de doeleinden van de verwerking en zijn rechten op basis van de Verordening en van deze wet; 2° de abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn overeenkomstig de bepaling onder 1°. Het eerste lid is niet van toepassing voor de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie via een elektronische-communicatienetwerk 17 Arrest Planet49, §69. 18 Artikel 18, Voorstel voor een Verordening van het Europees Parlement en de Raad met betrekking tot de eerbiediging van het privéleven en de bescherming van persoonsgegevens in elektronische communicatie, en tot intrekking van richtlijn 2002/58/EG, COM/2017/010 final. Wet van 21 december 2021 houdende omzetting van het Europees Wetboek voor elektronische communicatie en wijziging van diverse bepalingen inzake elektronische communicatie, B.S. 31 december 2021. 19 Beslissing ten gronde 85/2022 - 20/58 uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit hiervoor strikt noodzakelijk is.” Gelet op het feit dat de GBA over de residuaire bevoegdheid beschikt tot toezicht op de bepalingen van de WVP, wordt hiermee de materiële bevoegdheid van de GBA inzake de plaatsing en het gebruik van cookies bevestigd. 32. De Geschillenkamer wijst er evenwel op dat, gelet op het feit dat deze wijziging dateert van na de sluiting van de debatten in onderhavige zaak, in casu verder rekening zal worden gehouden met het wetgevend kader zoals het bestond ten tijde van de (aanvang van
  4. de)procedure voor de GBA. 33. In elk geval is de GBA dus bevoegd om te oordelen – ook onder de wettelijke situatie die gold ten tijde van de vaststellingen van de Inspectiedienst – om te oordelen over de rechtsgeldigheid van een gegeven toestemming voor het plaatsen van cookies. De GBA is in die zin eveneens bevoegd om haar controlebevoegdheid uit te oefenen inzake alle andere algemene voorwaarden die worden opgelegd door de AVG bij activiteiten die een verwerking van persoonsgegevens inhouden – zoals de verplichtingen inzake transparantie en informatie (artikel 12 e.v. AVG). 20 II.2. Introductie betreffende de algemene principes inzake het gebruik van cookies 34. Alvorens in te gaan op de vaststellingen opgenomen in het verslag van het onderzoek, acht de Geschillenkamer het nuttig om de algemene beginselen betreffende het gebruik van cookies en andere traceringsmiddelen in herinnering te brengen. 21 35. De term "traceringsmiddelen" omvat cookies en HTTP-variabelen, die kunnen worden geplaatst via webbakens of webpixels, flash cookies, toegang tot terminalinformatie van API's (Local Area Network), en informatie uit API's (LocalStorage, IndexedDB, reclame-identifiers zoals identifiers zoals IDFA of Android ID, GPS-toegang, enz.), of een andere identificator die wordt gegenereerd door een software of een besturingssysteem (serienummer, MAC-adres, unieke terminalidentifier (UDI), of een reeks gegevens die wordt gebruikt om een unieke een unieke vingerafdruk van de terminal (bv. via vingerafdrukken). 36. Cookies en andere traceringsmiddelen kunnen worden onderscheiden aan de hand van verschillende criteria, zoals het doel dat zij dienen, het domein waarin zij zijn geplaatst of hun levensduur. 20 Vergelijking omtrent de reikwijdte van deze controlebevoegdheid eveneens het arrest van het Hof van Justitie van de EU van 15 juni 2021, C-645/19, ECLI:EU:C:2021:483, par. 74. 21 Zie te dezen ook de themapagina op de website van de Gegevensbeschermingsautoriteit, https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/internet/cookies beschikbaar via: Beslissing ten gronde 85/2022 - 21/58 37. Cookies kunnen voor diverse doeleinden worden gebruikt (bijvoorbeeld ter ondersteuning van de communicatie over het netwerk, voor publieksmeting, voor marketing- en/of gedragsgerichte reclamedoeleinden, voor authentificatiedoeleinden, etc.). 38. Zij kunnen onder meer worden gebruikt om de communicatie via het netwerk te ondersteunen (inlogcookies), om het publiek van een website te meten (cookies voor bezoekersaantal, ook wel "analytische cookies" of "statistische cookies" genoemd), voor marketing- en/of reclame op basis van gedrag, voor authenticatiedoeleinden, voor de beveiliging van websites, voor load balancing, voor het personaliseren van de gebruikersinterface of om het gebruik van een mediaspeler mogelijk te maken (flash cookies). 39. Cookies kunnen eveneens worden onderscheiden op basis van het domein waardoor zij worden geplaatst op uw toestel. De "eerste partij" cookies worden rechtstreeks geplaatst in de adresbalk van de browser door het geregistreerde domein. Het gaat met andere woorden om cookies die de eigenaar van de website die u bezoekt, rechtstreeks plaatst. De "derde partij" cookies worden geplaatst door een domein dat verschilt van het domein dat door u bezocht wordt. Dit is het geval wanneer de website elementen incorporeert uit andere websites, zoals beelden, sociale media “plugins” (bijvoorbeeld de "vind-ik-leuk knop" van Facebook) of advertenties. Wanneer deze elementen door de browser of andere software vanop andere websites worden opgehaald, kunnen deze websites ook cookies plaatsen die dan kunnen worden gelezen door de websites die ze hebben geplaatst. Deze "derde partij cookies" stellen deze derden in staat om het gedrag van de internetgebruikers in de loop van de tijd en op tal van websites te volgen en op basis van deze gegevens profielen van personen aan te maken (profilering), zodat zij in de toekomst bijvoorbeeld nauwkeuriger en doelgerichter marketing kunnen plaatsen tijdens de toekomstige surfsessies van deze internetgebruikers, die op die manier worden opgespoord. 40. Cookies kunnen verder worden onderscheiden al naargelang hun levensduur. In dit verband wordt een onderscheid gemaakt tussen "sessiecookies" en “persistente cookies”. Sessiecookies worden automatisch verwijderd wanneer u uw browser sluit, terwijl de "persistente cookies" in uw toestel (computer, smartphone, tablet, etc.) opgeslagen blijven tot een vooraf bepaalde vervaldatum (die desgevallend kan worden uitgedrukt in minuten, dagen of jaren). 41. Verder dient vanuit juridisch standpunt een onderscheid te worden gemaakt tussen, enerzijds, de traceringsmiddelen dewelke de voorafgaandelijke toestemming vereisen van de gebruiker en, anderzijds, deze waarvoor dit niet vereist is. 42. Overeenkomstig artikel129 WEC zijn er twee situaties waarin voor het plaatsen of lezen van cookies geen voorafgaandelijke toestemming van de betrokkene dient te worden verkregen: 22 22 Voor zover van belang luidt artikel 129 WEC als volgt: “De opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker is slechts toegestaan op voorwaarde dat […] 2° de abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn overeenkomstig de bepalingen in 1°. Het eerste lid is Beslissing ten gronde 85/2022 - 22/58 1) wanneer de cookie als uitsluitend doel heeft de verzending van een communicatie via een elektronische-communicatienetwerk uit te voeren (bijvoorbeeld cookies voor load balancing); en 2) wanneer de cookie strikt noodzakelijk is om een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren (zoals bijvoorbeeld cookies die het mogelijk maken het winkelwagentje te bewaren of cookies die worden gebruikt om de veiligheid van een bankapplicatie te garanderen). 43. Voor de plaatsing van andere cookies en traceringsmiddelen is wel de voorafgaandelijke toestemming van de gebruiker vereist, in overeenstemming met artikel 129 WEC. 44. Het betreft onder meer cookies of andere traceringsmiddelen die zorgen voor de weergave van (gepersonaliseerde) reclame of betreffende functies voor het delen op sociale netwerken. Bij gebrek aan een geldige toestemming kunnen deze niet strikt noodzakelijke cookies niet op het toestel van de gebruiker worden geplaatst of gelezen. 45. De Geschillenkamer wijst erop dat, teneinde in overeenstemming te zijn met de AVG, de voormelde toestemming geïnformeerd, specifiek en vrij dient te zijn en dat de gebruiker deze even eenvoudig moet kunnen intrekken als ze werd gegeven (cf. ook infra titel II.5.6). II.3. Wat betreft het vermeende gebrek aan richtsnoeren 46. De verweerster werpt in haar conclusie van antwoord op dat cookie compliance een technisch en complex onderwerp is dat zowel technische als juridische expertise vereist. Ze stelt dat de GBA onvoldoende ondersteuning zou hebben geboden aan bedrijven om de toepasselijke regelgeving correct toe te passen. 47. De verweerster stelt meer bepaald dat de GBA, ten tijde van de vaststellingen door de Inspectiedienst in onderhavig dossier, geen richtsnoeren had uitgevaardigd betreffende het gebruik van cookies. Dit in tegenstelling tot de Franse toezichthoudende autoriteit (CNIL). 48. De Geschillenkamer wijst erop dat zowel op het niveau van de Europese Unie, als op het Belgisch niveau, reeds adviezen en standpunten van autoriteiten bestonden omtrent cookies onder de eprivacyrichtlijn vele jaren vóór 25 mei 2018. 23 Op het Europese niveau vaardigde de Werkgroep Artikel 29 in 2012 een opinie uit omtrent de uitzonderingen voor toestemming voor cookies. 24 Op het Belgisch niveau vaardigde de rechtsvoorganger van de GBA, de Commissie voor de niet van toepassing voor de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie via een elektronischecommunicatienetwerk uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit hiervoor strikt noodzakelijk is." (de Geschillenkamer onderlijnt) 23 24 Overeenkomstig artikel 99 AVG is de Verordening in voege sinds die datum. WP29, Opinion 04/2012 on Cookie Consent Exemption (“Advies 4/2012 over ontheffing van de toestemmingsverplichting voor 7 juni 2012, WP194, beschikbaar via: https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2012/wp194_en.pdf. Beslissing ten gronde 85/2022 - 23/58 Bescherming van de Persoonlijke Levenssfeer (“CBPL”), in 2015 reeds richtlijnen omtrent het gebruik van cookies uit.25 Bovendien bestonden op het moment van het vaststellingen van de Inspectiedienst, en bestaan er op vandaag, heel wat richtsnoeren en adviezen die rechtstreeks betrekking hebben op de situatie inzake cookies die zich in voorliggend dossier voordoet, zoals richtsnoeren betreffende een rechtsgeldige toestemming.26 49. Het klopt inderdaad dat de juridische situatie, alsook de technische mogelijkheden met en voor 2019 haar eerste beslissing betreffende cookies genomen, dewelke ook gepubliceerd werd op de website van de Gegevensbeschermingsautoriteit.27 50. Hoewel de Geschillenkamer duidelijk erkent dat zowel de EDPB als de GBA zelf als toezichthoudende autoriteit bevoegdheden hebben om adviezen en richtsnoeren te formuleren en publiceren in verband met de bescherming van persoonsgegevens, wijst de Geschillenkamer er evenwel op dat dit tot het taken- en bevoegdheidspakket van die instellingen hoort, en niet op zich een verplichting uitmaakt.28 Het kan immers niet van toezichthoudende autoriteiten verwacht worden dat zij in een gedigitaliseerde samenleving over elk (gewijzigd) aspect van de verwerking van persoonsgegevens proactief een positie innemen, waarbij het ontberen van zo’n positionering enige handhaving in de weg zou staan. 51. Om die reden heeft de Europese wetgever er immers voor gekozen de verantwoordelijkheid voor de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke te plaatsen, zonder voorbehoud bij het ontbreken van duidelijkheid omtrent bepaalde technische situaties. 29 Onder die verwerkingsverantwoordelijkheid valt ook het aantonen dat betrokkenen een rechtsgeldige toestemming verleenden, alsook de adequate opvolging van de gevolgen van het intrekken ervan, hetgeen uiterst relevant is in het voorliggend geval.30 52. Het is te dezen de verweerster als beheerder van de litigieuze websites die een keuze maakt voor een bepaalde structuur door een bepaalde aanbieder voor het plaatsen van cookies (keuze voor bepaalde “middelen”) om via die weg onder meer publicitaire inkomsten te vergaren (keuze voor een bepaald “doel”). Door de keuze van de verweerster voor een bepaald beheer van haar websites, is het de de complexiteit van de verwerkingsactiviteiten van de verweerster op zich die noopt tot een 25 CBPL, Aanbeveling uit eigen beweging over het gebruik van cookies nr. 01/2015. 26 Op het moment van de vaststellingen waren onder meer de volgende richtsnoeren relevant: WP29, Richtsnoeren omtrent Toestemming onder Verordening 2016/679, WP259 rev.01, zoals overgenomen door het Europees Comité voor Gegevensbescherming dd. 25 mei 2018: EDPB, Endorsement 1/2018, beschikbaar via: https://edpb.europa.eu/sites/default/files/files/news/endorsement_of_wp29_documents_en_0.pdf. 27 Geschillenkamer Gegevensbeschermingsautoriteit, Beslissing 12/2019 van 17 december https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-12-2019.pdf. 28 Resp. artikelen 70, punt
  5. e)en 58, lid 3, punt
  6. b)AVG. 29 Artikelen 5, lid 2, alsook 24 en 25 AVG; 30 2019, beschikbaar via: Vergelijk ter informatieve titel: E.M. FRENZEL, “DS-GVO art. 5. Grundsätze für die Verarbeitung personenbezogener Daten” in Boris P Paal and Daniel Pauly (eds), Datenschutz-Grundverordenung Bundesdatenschutzgesetz (CH Beck 2021),
(85)106, rn. 52. Beslissing ten gronde 85/2022 - 24/58 degelijk - en weliswaar technisch complex - onderzoek en vervolgens analyse van een feitelijke situatie. Het vermeende ontbreken van concrete richtlijnen in de huidige context kan dus geen dienstig argument zijn tegen een inbreuk op de gegevensbeschermingswetgeving. II.4. Wat betreft de beweerde onnauwkeurigheden tijdens het onderzoek 53. De verweerster werpt in eerste instantie op dat het onderzoek van de Inspectiedienst niet uitgevoerd zou zijn volgens de regels van de kunst. Samengevat stelt de verweerster dat: - er discrepanties bestaan tussen de resultaten verkregen via de geautomatiseerde en de manuele cookiescan; - er een gebrek is aan documentatie van de cookieclassificatie door Onetrust en Cookiebot; - er onduidelijke terminologie wordt gehanteerd in het onderzoeksverslag; - er gebruik wordt gemaakt van onprofessionele tooling. 54. Ten tweede beweert de verweerster dat de Inspectiedienst bronnen en tools gebruikte die niet officieel zijn. 55. De Geschillenkamer wijst er vooreerst op dat overeenkomstig artikel 72 WOG de inspecteurgeneraal en de inspecteurs mogen “overgaan tot elk onderzoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij nodig achten om zich ervan te vergewissen dat de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens, waarop zij toezicht uitoefenen, werkelijk worden nageleefd”. 56. Artikel 67 WOG bepaalt dat “de onderzoeksmaatregelen aanleiding [kunnen] geven tot een procesverbaal tot vaststelling van een inbreuk. Dat proces-verbaal heeft bewijskracht tot het tegendeel bewezen is”. De Inspectiedienst heeft meerdere onderzoekshandelingen gesteld waarvan zij de resultaten uitgebreid heeft neergeschreven in verslagen. 57. De vaststellingen van de Inspectiedienst zijn bestuurshandelingen die ressorteren onder de materiële motiveringsplicht, en moeten om die reden worden gedragen door "motieven die in rechte en in feite aanvaardbaar zijn en die daarom moeten kunnen worden gecontroleerd ."31 Onder de materiële motiveringsplicht is het daarentegen niet vereist dat zulke motieven expliciet vermeld worden in de bestuurshandeling zelf. Het is dus met andere woorden niet vereist dat de Inspectiedienst alle aspecten – zoals het uitgebreid schetsen van de gebruikte programmeertaal 31 I. Opdebeek & S. De Somer, Algemeen Bestuursrecht (2e editie), 2019, 435, par. 944. Beslissing ten gronde 85/2022 - 25/58 waarbinnen en waarmee zij onderzoeksinstrumenten inzet, de technische terminologie en zo meer – van haar vaststellingen formeel motiveert. 58. Het is slechts in het kader van "beslissingen met individuele draagwijdte", zoals de voorliggende van de Geschillenkamer, dat in de beslissing zelf (expliciet) de juridische en feitelijke overwegingen moeten worden vermeld die aan de beslissing ten grondslag liggen, en dit op afdoende wijze.32 De Belgische wetgever heeft de toetsing van de onderzoekshandelingen van de Inspectiedienst overigens uitdrukkelijk beperkt, daar zij het aan de Inspecteur-Generaal en diens inspecteurs laat om ervoor te zorgen "dat de middelen die zij aanwenden passend en noodzakelijk zijn." (art. 64, §2 WOG). Het is dan ook niet aan de Geschillenkamer om de keuzes voor bepaalde onderzoeksmiddelen te toetsen, waar zij kennelijk binnen de bevoegdheden van de Inspectiedienst ressorteren, en waarbij de principes van algemeen behoorlijk bestuur kennelijk zijn nageleefd .33 59. Wat betreft de door de verweerster ingeroepen discrepanties tussen de manuele en de geautomatiseerde cookiescan, wijst de Geschillenkamer erop dat voormelde verschillen te verklaren zijn door het feit dat bij de handmatige scan manueel extra bewerkingen werden verricht, dan wel de “maximale” toestemming werd verleend in de cookiebanner, waardoor bijkomende uitgevoerd via de Website Evidence Collector (WEC) – die geen toestemming kan verlenen en via dewelke bijgevolg enkel die cookies worden gedetecteerd die zonder toestemming werden geplaatst. 60. Er dient er in dit verband bovendien op te worden gewezen dat zulks uitdrukkelijk werd aangegeven in het technisch onderzoeksverslag opgesteld door de Inspectiedienst.34 61. Voor wat betreft de cookies die zonder toestemming werden geplaatst, dient erop te worden gewezen dat de verschillende methodes wel effectief nagenoeg dezelfde resultaten opleverden. 62. In dit verband dient bovendien te worden benadrukt dat het technisch geenszins mogelijk is dat onzorgvuldig zou zijn gebeurd - quod non - dan zou dit enkel tot gevolg hebben kunnen gehad dat effectief geplaatste cookies niet werden gedetecteerd door de tool en zou dit bijgevolg enkel in het voordeel van de verweerster kunnen zijn geweest. 32 Artikel 3 Wet van 29 juli 1991 betreffende de uitdrukkelijke motivering van de bestuurshandelingen, zie ook arrest Hof van Beroep Brussel (sectie Marktenhof) van 9 oktober 2019, 2019/AR/1006: “De belangrijkste bestaansreden van de motiveringsplicht […] bestaat erin dat de betrokkene in de hem aanbelangende beslissing zelf de motieven moeten kunnen aantreffen op grond waarvan ze werd genomen […]” 33 Zie mutatis mutandis ook Arrest Hof van Beroep Brussel (sectie Marktenhof) van 7 juli 2021, 2021/AR/320, 21: “Het [Marktenhof] heeft geen rechtsmacht om te oordelen over uitspraken gedaan door de Inspectiedienst […]” 34 Cf. bijvoorbeeld technisch onderzoeksverslag website Knack, p. 4 (“3. Analyse”): “Eerst werden alle websites, waaronder de website van “Knack”, automatisch onderzocht door WEC. Daarna werden de verschillende voorgelegde keuzes, aangereikt door de website wat cookies betreft, manueel gevolgd van “minimale” toestemming tot “maximale” toestemming (…).”. Beslissing ten gronde 85/2022 - 26/58 63. In aansluiting hierop wijst de Geschillenkamer erop, met betrekking tot het argument van de verweerster volgens hetwelk niet kan worden gecontroleerd of bij het onderzoek het cachegeheugen al dan niet werd leeggemaakt en eventueel tijdelijke internetbestanden aanwezig waren, enkel relevant kan zijn voor het manuele onderzoek via Cookiemanager, doch dat dit niet van toepassing is voor het automatische onderzoek verricht via de WEC (die steeds het onderzoek begint als was de browser nog op geen enkele wijze gemanipuleerd in die zin). Ook tijdens dit laatste automatische onderzoek werden wel degelijk niet strikt noodzakelijke cookies gedetecteerd op de onderzochte websites. 64. Wat betreft het door de verweerster opgeworpen argument betreffende het vermeende onprofessionele karakter van de gehanteerde tools, in het bijzonder de Website Evidence Collector, wijst de Geschillenkamer er vooreerst op dat overeenkomstig artikel 64, §2 WOG de inspecteurgeneraal en de inspecteurs er, bij de uitoefening van de in hoofdstuk 6 bedoelde bevoegdheden, op toezien dat de door hen gebruikte middelen passend en noodzakelijk zijn. Dit is het geval ongeacht of het gebruikte middel ad hoc software is of niet, een beta-versie of niet. 65. Bovendien dient erop te worden gewezen dat de wijzigingen die tussen versies 0.3.1 en 1.0.0 werden aangebracht aan de tool WEC enkel "features" of "bug fixes" betreffen, m.n. verbeteringen ten voordele van de onderzoeker, zodat de tool niet crasht, bevriest of geen foutmeldingen genereert. Met andere woorden, indien de WEC versie 0.3.1 een cookie heeft gedetecteerd, dan betekent dit dat de tool heeft gewerkt. Een instrument als deze kan immers onmogelijk door een storing per ongeluk een niet-bestaande cookies detecteren. 66. Tot slot wijst de Geschillenkamer erop dat de verweerster op geen enkele manier aantoont dat deze, als verwerkingsverantwoordelijke, in staat is zelf een volledige inventarisering van de geplaatste inventarisering van de op de betrokken websites gehanteerde cookies voorgelegd. Integendeel stelde de verweerster tijdens de hoorzitting dat IAB een dominante positie inneemt en diens vereisten op die manier als het ware worden opgelegd, en dat de uitgevers bijgevolg niet bij machte zijn om al deze cookies te controleren. De verweerster voegde er op het moment van de hoorzitting aan toe dat de inventarisatie van de cookies idealiter meermaals per dag zou moeten gebeuren aangezien de situatie voortdurend wijzigt. Het feit dat een aanbieder echter een machtspositie – bijvoorbeeld een mono- of oligopolistische positie op de markt van online advertenties – inneemt, kan dan ook op zich geen ontheffing van verantwoordelijkheden verwerkingsverantwoordelijke meebrengen. II.4. Het IAB Transparency and Consent Framework (“IAB TCF”) voor de Beslissing ten gronde 85/2022 - 27/58 67. De Geschillenkamer refereert te dezen naar haar beslissing 21/2022 van 2 februari 2022 .35 68. De Geschillenkamer stelde in deze beslissing: “IAB Europe is een federatie die de digitale reclameen marketingindustrie op Europees niveau vertegenwoordigt. Het omvat zowel bedrijfsleden als nationale verenigingen, met hun eigen bedrijfsleden. Indirect vertegenwoordigt IAB Europe ongeveer 5.000 bedrijven, waaronder zowel grote ondernemingen als nationale leden”36 69. IAB Europe beschreef haar werking zelf als volgt: “In zijn huidige vorm is het TCF een sectoroverschrijdende norm voor beste praktijken die het voor de digitale reclame-industrie gemakkelijker maakt om bepaalde EU-voorschriften inzake privacy en gegevensbescherming na te leven en die particulieren meer transparantie en controle over hun persoonsgegevens moet bieden. Het is met name een "kader" waarbinnen bedrijven onafhankelijk opereren en dat hen helpt te voldoen aan de AVG-rechtsgrondslag voor de verwerking van persoonsgegevens en aan de ePrivacy-richtlijn, die voorschrijft dat de gebruiker toestemming moet geven voor de opslag van en toegang tot informatie op een apparaat van de gebruiker.”37 70. In de conclusie van antwoord alsook tijdens de hoorzitting wordt door de verweerster gesteld dat deze enkel advertenties op haar website kan toelaten indien zij het IAB TCF respecteert. 71. De Geschillenkamer wijst er vooreerst op dat de verweerster geen bewijzen aandraagt ter ondersteuning van de hierboven uiteengezette argumentatie. De Geschillenkamer stelt bovendien vast dat de beheerders van andere en gelijkaardige mediawebsites geen gebruik maken van het IAB TCF. In ieder geval is verweerder niet verplicht om het TCF van IAB te gebruiken. 72. De Geschillenkamer wijst er op dat de verweerster als beheerder van de litigieuze websites en als verwerkingsverantwoordelijke in de zin van artikel 4, punt7) AVG van de persoonsgegevens van de gebruikers van voormelde websites op basis van de in artikelen 5, lid 2 j° 24 AVG vervatte verantwoordingsplicht verantwoordelijk is voor het naleven van de bepalingen van de AVG voor de betrokken verwerking en voor het aantonen ervan. II.5. Vastgestelde inbreuken II.5.1. Gebrek aan een geldige toestemming (artikel 6, lid 1, punt
  1. a)AVG j° artikel 129 WEC) 35 Beschikbaar via: https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-21-2022.pdf. 36 Ibid, par. 36. 37 Ibid., par. 39. Beslissing ten gronde 85/2022 - 28/58 II.5.1.1. Het plaatsen van niet strikt noodzakelijke cookies alvorens de toestemming werd verkregen – vaststelling 1 Inspectiedienst 73. Artikel 6, lid 1 AVG bepaalt dat een verwerking van persoonsgegevens alleen rechtmatig is indien deze gebaseerd is op één van de in deze bepaling genoemde verwerkingsgrondslagen. 74. Artikel 6, lid 1 AVG dient wat betreft de verwerking van persoonsgegevens via de plaatsing van aangezien dit artikel een precisering en aanvulling is op de bepalingen van de AVG.38 75. Voormeld artikel bepaalt bijgevolg dat voor het plaatsen en/of lezen van cookies de toestemming van de betrokkene vereist is, behalve indien de cookies strikt noodzakelijk zijn om 1) de verzending van een communicatie via een elektronische-communicatienetwerk uit te voeren of 2) om een uitdrukkelijk door de gebruiker gevraagde dienst te leveren. 76. In zijn arrest Planet49 heeft het Hof van Justitie geoordeeld dat de term “toestemming” in artikel 5, lid 3 van Richtlijn 2002/58 (omgezet in Belgisch recht via gewezen artikel 129 WEC, huidig artikel 10/2 WVP) verwijst naar “de toestemming van een betrokkene” zoals gedefinieerd en nader bepaald in Richtlijn 95/46 (d.i. de rechtsvoorganger van de AVG).39 De EDPB stelt in zijn Richtsnoeren 05/2020 van 4 mei 2020 betreffende toestemming in dit verband: “The EDPB notes that the requirements for consent under the GDPR are not considered to be an ‘additional obligation’, but rather as preconditions for lawful processing. Therefore, the GDPR conditions for obtaining valid consent are applicable in situations falling within the scope of the e-Privacy Directive”.40 77. De Geschillenkamer wijst erop dat artikel 4, punt 11) AVG de geldige “toestemming” definieert als volgt: “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. 78. Uit de technische analyses van de Inspectiedienst blijkt dat er voor de website van Knack 66 cookies en voor de website van Le Vif 60 cookies werden geïnstalleerd vooraleer de toestemming van de betrokkene werd gevraagd. Het betreft hier onder meer derde partij cookies (48 voor de website van Knack en 44 voor de website van Le Vif). Hoewel het in beginsel niet uitgesloten is dat derde partij cookies ook strikt noodzakelijk zijn voor de werking van de website, kan het juridisch onderscheid met een eerste partij echter wel een parameter zijn in de evaluatie of een cookie strikt 38 EDPB, advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, met name wat betreft de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, randnr. 38. 39 40 Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, Planet49, paragraaf 50. EDPB, Guidelines 05/2020 on Consent under Regulation 2016/679, 4 mei 2020, p. 6 (nr. 7). Vrije vertaling: “De EDPB merkt op dat de toestemmingsvereisten van de AVG niet als een "aanvullende verplichting" dienen te worden beschouwd, maar veeleer als voorwaarden voor een rechtmatige verwerking. De AVG-voorwaarden voor het verkrijgen van een geldige toestemming zijn derhalve van toepassing in situaties die onder het toepassingsgebied van de e-Privacyrichtlijn vallen.” Beslissing ten gronde 85/2022 - 29/58 noodzakelijk is.41 Daarenboven toont de verweerster niet aan dat deze cookies überhaupt strikt noodzakelijk zijn. 79. In dit verband verwijst de Geschillenkamer naar het advies nr. 10/2012 van de gewezen Commissie voor de Bescherming van de Persoonlijke Levenssfeer (voorganger van de GBA) over het wetsontwerp houdende diverse bepalingen inzake elektronische communicatie. Hierin werd gesteld dat de cookies die zijn vrijgesteld van de vereiste van toestemming voornamelijk bepaalde “first party cookies” zijn. De Commissie wees er op dat het in dit geval gaat om cookies die door de gebruiker zelf geplaatst zijn en die onder meer taalinstellingen en persoonlijke voorstellen onthouden bij een webwinkel (bijvoorbeeld klantidentificatie en het virtueel winkelwagentje). 42 Verder wordt in voormeld advies gesteld dat bepaalde cookies duidelijk niet onder de vrijstelling op de informatieplicht vallen. Het gaat hierbij om de meest intrusieve en nieuwste cookievormen (zoals “supercookies” of “evercookies”). De Commissie stelde dat het hier voornamelijk om “third party” en waarvoor bijzondere expertise en software vereist is teneinde de cookies te verwijderen.43 Er werd in dat advies ook duidelijk gevraagd aan de wetgever om in artikel 129 WEC bijkomende toelichting te geven over voor welk type cookies concreet toestemming vereist is. 44 De wetgever heeft nagelaten hier verdere verduidelijking over te geven. 80. De Groep Gegevensbescherming Artikel 29 heeft in haar Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies gesteld dat: “cookies van derden” bovendien doorgaans niet “strikt noodzakelijk” zijn voor het bezoek aan de website, aangezien dergelijke cookies doorgaans verband houden met een andere dienst dan die waarom de gebruiker “uitdrukkelijk heeft gevraagd”.45 De Groep Gegevensbescherming Artikel 29 stelt dat “aan de hand van het doel, de specifieke implementatie, of de specifieke verwerking moet worden bepaald of een cookie al dan niet kan worden vrijgesteld van de toestemmingsvereiste”. 81. Toestemming moet in beginsel verkregen worden voor alle cookies, behalve indien de cookies “functioneel” of “strikt noodzakelijk” zijn, volgens de criteria bepaald in artikel 129 WEC (zie supra). 41 Vergelijk: WP29, Opinion 04/2012 on Cookie Consent Exemption, 7 juni 2012, p. 5: “[…]’third party’ cookies are usually not ‘strictly necessary’ to the user visiting a website since these cookies are usually related to a service that is distinct from the one that has been ‘explicitly requested’ by the user.” ; vrije vertaling door de Geschillenkamer: “derde party cookies zijn doorgaans niet strikt noodzakelijk voor de bezoeker van een website, gezien deze cookies doorgaans gerelateerd zijn aan een dienst die verschillend is van deze die uitdrukkelijk verzocht werd door de gebruiker.” 42 Advies nr. 10/2012 van 21 maart 2012 betreffende het wetsontwerp houdende diverse bepalingen inzake elektronisch communicatie (CO-A-2012-009), § 51. 43 Advies nr. 10/2012, § 52. 44 Advies nr. 10/2012, § 64. 45 Groep Gegevensbescherming Artikel 29, advies nr. 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, p.60. Beslissing ten gronde 85/2022 - 30/58 Het is overeenkomstig haar verantwoordingsplicht aan de verweerster om aan te tonen dat cookies strikt noodzakelijk zijn, en dat om die reden geen toestemming vereist is. 82. Uit het verslag van het onderzoek van de Inspectiedienst blijkt dat slechts 2 cookies op zowel de website van Knack als van Le Vif als strikt noodzakelijk werden bevonden. Enkel deze twee cookies zouden dus in principe zonder de toestemming van de betrokkene geplaatst mogen worden. Te dezen, herhaalt de Geschillenkamer, brengt de verweerster geen argumentatie aan waarom de ander cookies die de Inspectiedienst detecteerde, (eveneens) als strikt noodzakelijk zouden moeten worden beschouwd. 83. De Inspectiedienst steunde zich voor de omschrijving van “strikt noodzakelijke cookies” op een definitie opgenomen op de website www.gdpr.eu46, waarin strikt noodzakelijke cookies als volgt worden gedefinieerd: “Strictly necessary cookies - These cookies are essential for you to browse the website and use its features, such as accessing secure areas of the site. Cookies that allow web shops to hold your items in your cart while you are shopping online are an example of strictly necessary cookies. These cookies will generally be first-party session cookies. While it is not required to obtain consent for these cookies, what they do and why they are necessary should be explained to the user”. (eigen onderlijning) In het Nederlands: “Strikt noodzakelijke cookies – Deze cookies zijn essentieel voor u om te surfen op de website en om gebruik te maken van diens mogelijkheden, zoals het bezoeken van beveiligde delen van de site. Cookies die webshops toelaten om zaken in het mandje te leggen tijdens het online winkelen zijn voorbeelden van strikt noodzakelijke cookies. Deze om toestemming voor deze cookies te verkrijgen, moet de gebruiker wel worden uitgelegd wat zij doen en waarom zijn noodzakelijk zijn.” (eigen vertaling en eigen onderlijning door de Geschillenkamer ) De Geschillenkamer wijst erop dat voormelde definitie werd gehanteerd ter verduidelijking bij de vaststellingen van de Inspectiedienst. Uit de eigenlijke wettelijke bepaling, artikel 129 WEC, kan in se het zelfde worden gededuceerd. 84. Voor zowel de website van Le Vif als voor Knack werden er 2 cookies als strikt noodzakelijk gekwalificeerd: 46 Le Vif Knack OptanonConsent OptanonConsent Een website gesubsidieerd door de EU in het kader van het Horizon 2020 Framework Programme. Beslissing ten gronde 85/2022 - 31/58 PHPSESSID PHPSESSID Om de verschillende cookies te classificeren hield de Inspectiedienst rekening met de informatie over de specifieke cookie op de website, het cookiebotverslag of een manuele ondervraging.47 85. De Geschillenkamer wijst erop dat de verweerster in haar conclusie van antwoord zelf aangeeft dat ten gevolge van een gebrek aan technische kennis de destijds gehanteerde cookietool OneTrust op gebrekkige wijze werd geïmplementeerd. De verweerster voegt hieraan toe dat cookies die zouden zijn geplaatst geweest. Tijdens de hoorzitting van de verweerster bleek bovendien dat deze erkent dat weldegelijk niet strikt noodzakelijke cookies werden geplaatst zonder het verkrijgen van de toestemming van de betrokkenen. 86. Op basis van bovenstaande oordeelt de Geschillenkamer dat door de verweerster een inbreuk werd gepleegd op artikel 6, lid 1, punt
  2. a)AVG j° artikel 129 WEC. II.5.1.2. Plaatsen van statistische cookies zonder toestemming– vaststelling 2 Inspectiedienst 87. Uit het technisch analyseverslag van de Inspectiedienst blijkt dat er statistische cookies worden geplaatst voordat er toestemming werd verkregen. Uit de destijds door de verweerster gehanteerde cookie-instellingstool blijkt immers dat statistische cookies altijd op actief staan en dat zij niet kunnen worden uitgeschakeld. 88. De Geschillenkamer wil verduidelijken dat uit artikel 129 WEC, dat een aanvulling en precisering is van de bepalingen van de AVG, blijkt dat het plaatsen en/of het lezen van cookies de toestemming van de betrokkene vereist, behalve indien de cookies strikt noodzakelijk zijn om de verzending van een communicatie via een elektronisch-communicatienetwerk uit te voeren, of om een uitdrukkelijk door de gebruiker gevraagde dienst te leveren. De Geschillenkamer zal hieronder haar standpunt wat betreft het plaatsen van statistische cookies verduidelijken. 89. In de beslissing ten gronde 12/2019 heeft de Geschillenkamer statistische cookies gedefinieerd als “het verzamelen van informatie over de technische gegevens van de uitwisseling of over het gebruik van de website (bezochte pagina’s, gemiddelde duur van het bezoek,...) om de werking ervan te verbeteren [dit is te zeggen om het gebruik van de website te leren kennen]. De gegevens die op die manier door de website worden verzameld, zijn in principe samengevoegd en worden anoniem verwerkt maar kunnen ook voor andere doeleinden worden verwerkt”.48 47 Zie voor de classificatie van de verschillende cookies p. 15-29 in het technisch rapport van Knack. 48 GBA, beslissing ten gronde 12/2019 van 17 december 2019, p. 31. Beslissing ten gronde 85/2022 - 32/58 In de betreffende zaak werden er ook statistische cookies geplaatst zonder voorafgaande toestemming van de betrokkene. De Geschillenkamer oordeelde toen dat “volgens de huidige stand van de wetgeving er geen uitzondering voor toestemming voor “eerste partij analytische dat verband ook naar een advies van de voorganger van de GBA (CBPL) dat stelde dat het “aan de wetgever is om de problematiek op te helderen van de niet-vrijstelling van de toestemming van de gebruikers in verband met de cookies voor analyse van herkomst”. De plaatsing van “eerste partij statistische cookies” kon volgens de Geschillenkamer ook niet worden gebaseerd op het gerechtvaardigde belang van de eigenaar van de website, gezien de lezing van artikel 5, lid 3 van de e-privacyrichtlijn. 90. Ook op Europees niveau heeft de Werkgroep Artikel 29 reeds in 2012 een standpunt ingenomen over de toestemmingsvereiste voor statistische cookies. Het is duidelijk dat de werkgroep 29 van mening is dat “eerste partij analytische cookies” niet vrijgesteld zijn van de toestemmingsvereiste aangezien zij niet strikt noodzakelijk zijn om een door de gebruiker of abonnee uitdrukkelijk gevraagde functie aan te bieden. Het is volgens de Werkgroep artikel 29 zelfs zo dat de gebruiker zonder problemen toegang kan krijgen tot alle functies die de website biedt, ook wanneer dergelijke [is] dat analysecookies van de eerste partij een privacyrisico opleveren, indien zij strikt worden beperkt tot geaggregeerde statistieken ten behoeve van de website-exploitant en worden ingezet door websites die in hun privacybeleid al duidelijke informatie geven over deze cookies en passende privacywaarborgen bieden”.51 De Werkgroep artikel 29 voegt hier aan toe: “Mocht artikel 5, lid 3, van Richtlijn 2002/58/EG worden herzien, dan is het passend dat de Europese wetgever overweegt een derde ontheffingscriterium toe te voegen voor cookies die strikt beperkt zijn tot cookies van de eerste partij ten behoeve van geanonimiseerde en geaggregeerde statistieken”. 91. Samengevat heeft de GBA in haar beslissing ten gronde 12/2019 het standpunt ingenomen dat voor het plaatsen van “eerste partij analytische cookies” in beginsel wel degelijk een voorafgaandelijke toestemming van de betrokkene vereist is. 49 GBA, Beslissing ten gronde 12/2019 van 17 december 2019, p. 31. 50 Groep Gegevensbescherming artikel 29, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, 7 juni 2012, 00879/12/NL, p. 11. 51 Wel dient hierbij te worden opgemerkt dat het proces waarbij gegevens worden geaggregeerd op zich een verwerking van persoonsgegevens kan uitmaken die dient te beantwoorden aan de gegevensbeschermingswetgeving, ongeacht of dat proces inderdaad resulteert in statistische data, zie ook overweging 162 AVG: “[…] Het statistische oogmerk betekent dat het resultaat van de verwerking voor statistische doeleinden niet uit persoonsgegevens, maar uit geaggregeerde gegevens bestaat […]” (eigen onderlijning) Beslissing ten gronde 85/2022 - 33/58 92. In haar verweer haalt de verweerster aan dat de statistische cookies geïnstalleerd worden met als uitsluitende doeleinden om geaggregeerde basisstatistieken te verzamelen omtrent het gebruik van haar websites. In haar cookie policy was ook het volgende te lezen over statistische cookies: “Analytische en statistische cookies worden steeds ingeladen, zij worden gebruikt om volledig anoniem inzicht te krijgen in de wijze waarop van de website gebruik wordt gemaakt en welke pagina’s met frequentie worden bezocht. Deze informatie is onder meer noodzakelijk in het kader van de CIM Internet Studie en wordt gebruikt voor trafiek- en profielanalyse opdat we ons werk nog beter op uw noden kunnen afstemmen.” 52 93. De Geschillenkamer herinnert eraan dat wanneer statistische cookies geplaatst worden op de eindapparatuur van een internetgebruiker zij nog geïdentificeerd zullen kunnen worden aan de hand van IP-adressen en andere identificatoren.53 Het Hof van Justitie heeft immers in haar vaste rechtspraak altijd een zeer brede definitie gehanteerd van zowel “persoonsgegevens” als van het begrip “identificeerbaarheid”. Zo stelde zij dat “zolang informatie immers wegens haar inhoud, doel of gevolg, gekoppeld kan worden aan een geïdentificeerde of identificeerbare natuurlijke persoon met middelen die redelijkerwijs kunnen worden ingezet 54 , ongeacht of de informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd geheel bij dezelfde verwerkingsverantwoordelijke berust dan wel deels bij een andere entiteit, dient deze informatie als een persoonsgegeven te worden beschouwd”.55 94. Op grond van het technische verslag van de Inspectiedienst voor de website van Knack (p. 15-29) stelt de Geschillenkamer vast dat voor de meeste statistische cookies de websitebeheerder ofwel een uniek identificatienummer, ofwel een IP-adres ter beschikking heeft bij het uitlezen van de wordt door dezelfde gebruiker. 95. Wat betreft het IP-adres stelt de Geschillenkamer dat het duidelijk is dat hierdoor een natuurlijke persoon geïdentificeerd kan worden. Een IP-adres werd reeds door het Hof van Justitie aangemerkt als een persoonsgegeven onder de AVG. 56 Aangezien door de plaatsing en het uitlezen van een statistisch cookie op de eindapparatuur van de gebruiker de websitebeheerder ook het IP-adres ter beschikking heeft, is het voor de verwerkingsverantwoordelijke ook mogelijk om de gebruiker te 52 Stuk 15 uit stukkenbundel van de verweerster. 53 Zie hiervoor overweging 30 AVG; artikel 4, punt 1) AVG vermeldt ook expliciet “een online identificator”. 54 HvJEU Arrest C-434/16 van 20 december 2017, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, par. 35. 55 HvJEU Arrest C-582/14 van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, ECLI:EU:C:2016:779, par. 43; HvJEU Arrest C-434/16 van 20 december 2017, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, par. 31: zie ook FR. ZUIDERVEEN BORGESIUS, “Singling out people without knowing their names – Behavioural targeting, pseudonymous data, and the new Data Protection regulation”, Computer Law & Security Review, vol. 32-2, 2016, pp. 256-271; en FR. ZUIDERVEEN BORGESIUS, “The Breyer Case of the CJEU – IP Addresses and the Personal Data Definition”, EDPL, 1/2017, pp. 130-137. 56 HvJEU Arrest C-582/14 van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, ECLI:EU:C:2016:779, par. 43. Beslissing ten gronde 85/2022 - 34/58 identificeren. Het gaat bijgevolg over de verwerking van informatie van een identificeerbare persoon (door een online identificator, cf. art. 4, punt 1) AVG). 96. Wat betreft het registreren van een uniek identificatienummer verwijst de Geschillenkamer naar de beslissing ten gronde 12/2019 waar reeds een standpunt werd ingenomen over de kwalificatie van een uniek identificatienummer. Hier oordeelde de Geschillenkamer dat het toekennen van een uniek identificatienummer een vorm van pseudonimisatie is in de zin van artikel 4. punt 5) AVG.57 Ook de Groep Gegevensbescherming artikel 29 heeft zich reeds uitgesproken over de invulling van het begrip “gepseudonimiseerde gegevens”.58 Zij stelde aldaar dat pseudonimisering het verhullen van een identiteit betekent. De identiteiten van personen kunnen door middel van pseudonimisering als zodanig worden verhuld dat re-identificatie onmogelijk wordt, bijvoorbeeld door middel van eenrichtingsversleuteling, waardoor in se geanonimiseerde gegevens ontstaan. 59 Herleidbare gepseudonimiseerde gegevens kunnen worden beschouwd als informatie over een indirect identificeerbare persoon en zijn dus persoonsgegevens in de zin van de AVG.60 In het geval dat door gebruik van een pseudoniem gegevens kunnen worden herleid tot de betrokkene, zodat diens identiteit kan worden vastgesteld, zijn de regels voor gegevensbescherming van toepassing. 61 Steunende op de vaste rechtspraak van het Hof van Justitie stelt de Geschillenkamer vast dat het mogelijk is om de identiteit van een betrokkene te achterhalen door combinatie van het uniek identificatienummer met andere informatie die al dan niet met behulp van derden verkregen kan worden.62 Het uniek identificatienummer moet in casu gezien worden als een persoonsgegeven in de zin van de AVG. 97. Gelet op de voorgaande vaststellingen alsmede de ruime interpretatie van het begrip persoonsgegevens, zoals bevestigd in de rechtspraak van het Hof van Justitie van de EU, concludeert de Geschillenkamer dat wat betreft de statistische cookies (waar er ook steeds een IPadres van de gebruiker ter beschikking is), er daadwerkelijk een voorafgaande toestemming vereist is overeenkomstig artikel 6, lid 1, punt
  3. a)AVG in samenhang met de nationale uitvoeringsbepaling van artikel 5, lid 3 van de e-privacyrichtlijn. Het gaat immers om een verwerking van informatie van een identificeerbare natuurlijke persoon waardoor de regels van de AVG zonder twijfel van toepassing zijn. Het gebrek aan zo’n toestemming bij de website van de verweerster voor de door 57 Volgens artikel 4.1.5 AVG is “Pseudonimisering” gedefinieerd als “het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld” 58 Groep Gegevensbescherming Artikel 29, Advies 4/2007 over het begrip persoonsgegevens, https://ec.europa.eu/justice/article29/documentation/opinion-recommendation/files/2007/wp136_nl.pdf. 59 Ibid., p. 18-19. 60 Ibid., p. 19. 61 Het Hof van Justitie heeft in het Arrest Breyer gesteld dat “om te bepalen of een persoon identificeerbaar is, moet worden gekeken naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is, dan wel door enig ander persoon, kunnen worden ingezet om voornoemde persoon te identificeren” (§42). 62 HvJEU Arrest C-582/14 van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, ECLI:EU:C:2016:779, par. 48. Beslissing ten gronde 85/2022 - 35/58 de Inspectiedienst geïdentificeerde statistische cookies maakt aldus een inbreuk uit op artikel 6, lid 1, punt
  4. a)juncto artikel 129 WEC. II.5.2. Vooraf aangevinkte vakjes voor de partners (artikelen 4, punt 11), 6, lid 1, punt
  5. a)en 7, lid 1 AVG) – vaststelling 3 Inspectiedienst Vaststellingen Inspectiedienst: 98. Uit het rapport van de Inspectie blijkt dat voor Knack en Le Vif 449 “partners” of “vendors” per default toestemming wordt gegeven aan de hand van vooraf aangevinkte vakjes. Dit blijkt ook duidelijk uit screenshots van de websites opgenomen in de technische rapporten van zowel Knack als Le Vif: 99. De Inspectiedienst stelt dat de AVG een “verklaring of een ondubbelzinnige actieve handeling” vereist (artikel 4, punt11) AVG), waardoor alle veronderstelde toestemmingen op basis van een meer impliciete wijze van handelen van de betrokkene, niet overeenkomstig de normen van toestemming van de AVG is. De Inspectiedienst baseert zich op het Planet49 arrest waaruit duidelijk werd dat artikel 2, punt
  6. f)(definitie van toestemming) en artikel 5, lid 3 (toestemming voor cookies) van de eprivacyrichtlijn, gelezen moet worden in samenhang met artikel 4, punt 11) en artikel 6, lid1, punt
  7. a)van de AVG. Het Hof van Justitie oordeelde vervolgens dat toestemming niet rechtsgeldig werd verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de Beslissing ten gronde 85/2022 - 36/58 eindapparatuur van de gebruiker van de website opgeslagen informatie via cookies wordt toegestaan door middel van standaard aangevinkte selectievakjes dat deze gebruiker moet afvinken ingeval hij weigert zijn toestemming te geven. Bovendien stelt de Inspectiedienst dat de verweerster ook niet voldoet aan de verplichting in artikel 7, lid 1 AVG die hem oplegt aan te tonen dat de betrokkene toestemming heeft gegeven om niet strikt noodzakelijke cookies te plaatsen. Standpunt verweerster: 100. De verweerder stelt dat de derde vaststelling van de Inspectiedienst foutief is. Zij geeft toe dat de partnerbedrijven binnen het OneTrust Consent management platform standaard op “actief” stonden, maar dat dit niet betekende dat er automatisch cookies door deze derde partnerbedrijven werden geïnstalleerd. Volgens de verweerster ging het immers niet over een toestemming tot het plaatsen van cookies, maar wel over een aanduiding welke IAB vendors gebruik zouden kunnen maken van een toestemming voor één of meerdere doeleinden, op voorwaarde dat deze toestemming gegeven werd. Dit zou namelijk enkel het geval zijn indien de betrokkene de desbetreffende cookies accepteerde binnen de cookietool. De verweerster is bijgevolg van oordeel dat, in het licht van de rechtspraak van het Hof van Justitie in het arrest Planet49, de praktijk waarbij de cookies van partnerbedrijven standaard op “actief” staan een geldige toestemming uitmaakt in de zin van de artikelen 4.11 en 6.1
  8. a)AVG. 101. De Geschillenkamer stelt vast dat de verweerster aangeeft in haar conclusies dat zij haar praktijk heeft aangepast wat betreft dit aspect door het implementeren van een nieuw Didomi Consent Management Platform in maart 2020. Geen van de partnerbedrijven zou momenteel nog automatisch op “actief” staan en de gebruiker moet nu actief een keuze maken. Standpunt Geschillenkamer: 102. De Geschillenkamer zal in dit onderdeel ingaan op de criteria voor een geldige toestemming. Artikel 4, punt 11) AVG definieert “toestemming” van de betrokkene als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. 103. Artikel 7 AVG bevat de voorwaarden die van toepassing zijn op de toestemming: 1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. 2. Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere Beslissing ten gronde 85/2022 - 37/58 aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt op deze verordening, is dit gedeelte niet bindend. 3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan. 4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst. 104. Voorts stelt artikel 5, lid 3 van de e-privacyrichtlijn, zoals omgezet door artikel 129 van de WEC op het moment van het onderzoek van de Inspectiedienst, de voorwaarde dat de gebruiker "zijn toestemming heeft gegeven" voor het plaatsen en raadplegen van cookies op zijn eindapparatuur, met uitzondering van de technische registratie van informatie of de levering van een dienst waarom de abonnee of eindgebruiker uitdrukkelijk heeft verzocht en waarbij de plaatsing van een cookie strikt noodzakelijk is voor dat doel. 105. Overweging 17 van de e-privacyrichtlijn specifieert dat voor de toepassing van deze richtlijn het begrip “toestemming” dezelfde betekenis moet hebben als “toestemming van de betrokkene”, zoals gedefinieerd en gespecificeerd in de AVG.63 106. In het Planet49-arrest heeft het Hof van Justitie van de Europese Unie de toestemmingsvereiste voor het plaatsen van cookies na de inwerkingtreding van de AVG verduidelijkt. Zij stelde dat uitdrukkelijke actieve toestemming is vereist: “actieve toestemming" is dus onbetwistbaar vereist volgens de correcte interpretatie van de AVG.64 Overweging 32 bepaalt immers dat: “Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. Hiertoe zou kunnen behoren het klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegevens. Stilzwijgen, het gebruik van reeds 63 De AVG als vervanger van Richtlijn 95/46/EG. 64 Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, Planet49, par. 73. Beslissing ten gronde 85/2022 - 38/58 aangekruiste vakjes of inactiviteit mag derhalve niet als toestemming gelden. De toestemming moet gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden dienen. Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden verleend. Indien de betrokkene zijn toestemming moet geven na een verzoek via elektronische middelen, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het gebruik van de dienst in kwestie.” (de Geschillenkamer onderlijnt). 107. Op basis van deze overwegingen stelt de Geschillenkamer dat de toestemming bedoeld in de artikelen 2, punt f), en 5, lid 3 van Richtlijn 2002/58, omgezet in artikel 129 WEC ten tijde van de vaststellingen, gelezen in samenhang met art. 4, lid 11 en art. 6, lid 1 punt
  9. a)van de AVG, niet geldig wordt gegeven door een standaard aangevinkt vakje dat de gebruiker moet uitvinken om te weigeren toestemming te geven (in casu gaat het dus over het geven van toestemming aan de partners voor één of meerdere doeleinden waarvoor in een ander venster toestemming dient te worden gegeven).65 108. Dit betekent concreet dat de betrokkene informatie moet krijgen over de wijze waarop hij zijn wensen met betrekking tot cookies kenbaar kan maken, en hoe hij “alle, sommige of geen cookies” kan accepteren. 109. Zo is bijvoorbeeld het bevestigen van een aankoop of het aanvaarden van de algemene voorwaarden niet voldoende om ervan uit te gaan dat op geldige wijze toestemming is gegeven voor het plaatsen of het uitlezen van cookies. Evenmin kan toestemming worden gegeven voor het loutere “gebruik” van cookies, zonder enige nadere specificatie van de gegevens die via deze vereist inderdaad een meer gedetailleerde keuze dan een eenvoudig "alles of niets", maar vereist geen toestemming voor elke afzonderlijke cookie. Indien de beheerder van een website of mobiele applicatie toestemming vraagt voor verschillende soorten cookies, moet de gebruiker de keuze hebben om toestemming te geven (of te weigeren) voor elk soort cookie, of zelfs, in een tweede informatielaag met keuzes, voor elke cookie afzonderlijk. 110. Door het gebruik van vooraf aangevinkte vakjes, zoals uiteengezet door de Inspectiedienst in haar verslagen, begaat de verweerster een inbreuk op artikelen 4, punt) 11 j° 6, lid 1, punt
  10. a)en 7, lid 1 AVG, zoals uitgelegd in overweging 32 van de AVG. II.5.3. Disclaimer voor derdepartij cookies (potentiële schending van artikel 5, lid 2 en 7, lid 1 AVG) – vaststelling 4 Inspectiedienst 65 Dit hangt ook samen met de specificiteitsvereiste van de toestemming, cfr EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_nl.pdf, § 50. Beslissing ten gronde 85/2022 - 39/58 Vaststelling inspectiedienst: 111. Volgens de Inspectiedienst probeert de verweerster de verantwoordelijkheid van zich af te schuiven voor derdepartij cookies die bij een bezoek aan de sites van Knack en Le Vif geplaatst worden. 112. Zo stelt het cookiebeleid dat de verweerster niet verantwoordelijk is voor cookies die door derden worden geplaatst en beheerd, waarbij het onder meer gaat om cookies die het mogelijk te maken informatie te delen via sociale netwerken. Ook stelt de verweerster dat zij geen controle heeft over bepaalde cookies die op haar website worden gebruikt. 113.De Inspectiedienst verwijst wat dit aspect betreft naar het arrest Wirtschaftsakademie van het Hof van Justitie waarin werd geoordeeld dat de eigenaar van een website verantwoordelijk is voor de verwerking van cookies die vanop zijn website worden geïnstalleerd of uitgelezen.66 Hij neemt op zijn minst deel aan het bepalen van de doeleinden en de middelen voor de verwerking van de persoonsgegevens van de bezoekers van zijn website door toepassingen van derden op zijn website of de verspreiding van de inhoud van derden in de advertentieruimten van zijn website toe te staan. 114.Vervolgens verwijst de Inspectiedienst naar het verantwoordingsbeginsel in artikel 5, lid 2 van de AVG waaruit blijkt dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de beginselen inzake de verwerking van persoonsgegevens en moet hij kunnen aantonen dat deze beginselen in acht worden genomen. 115.Deze praktijk gehanteerd door de verweerster moet ook en zoals reeds eerder besproken, worden beschouwd als een schending van artikel 7, lid 1 AVG, aangezien een verwerkingsverantwoordelijke moet aantonen dat de betrokkene toestemming heeft gegeven voor het plaatsen van cookies vanop zijn website die niet strikt noodzakelijk zijn. Standpunt verweerster: 116.De verweerster stelt niet verantwoordelijk te zijn voor de verwerking van cookies die door derden in het kader van het IAB TCF worden geplaatst. Deze interpretatie werd volgens de verweerster ook bevestigt door de GBA in het lopende IAB Europe onderzoek: “Belgium's Data Protection Authority found IAB Europe's Transparency and Consent Framework does not meet several standards under the EU General Data Protection Regulation, TechCrunch reports. The DPA determined the framework fails to comply with the GDPR's principles of transparency, fairness and accountability. IAB Europe said in response it “respectfully disagree[s] with the [Belgian DPA]’s apparent interpretation of the law, pursuant to which IAB Europe is a data controller in the context of publishers’ implementation of the TCF”. 117. Vervolgens stelt de verweerster dat, mocht de Geschillenkamer tot een andere conclusie komen, haar praktijken desalniettemin in overeenstemming zijn met artikel 5, lid 2 AVG. De 66 Arrest van het Hof van Justitie van 5 juni 2018, C-210/16, ECLI:EU:C:2018:388, Wirtschaftsakademie, o.m. par. 39. Beslissing ten gronde 85/2022 - 40/58 verantwoordingsplicht betekent “(I) de noodzaak voor een voor de verwerkingsverantwoordelijke om passende en doeltreffende maatregelen te nemen ten einde de beginselen van gegevensbescherming ten uitvoer te leggen”.67 Er zijn geen richtsnoeren gepubliceerd door de GBA waarin verduidelijkt wordt wat bedoeld wordt onder een minimum aan passende en doeltreffende maatregelen. Bovendien heeft Roularta ervoor gekozen om gebruik te maken van het IAB Framework dat omschreven wordt als “the most sophisticated and scrutinised model of GDPRcompliance for digital advertising in the world”. Roularta verduidelijkt dat de disclaimer niet de bedoeling had om de verantwoordelijkheid van zich af te schuiven, maar eerder om aan te geven dat zij niet in staat is om cookies te blokkeren die door derde partijen geplaatst worden. 118. Het afschuiven van de verantwoordelijkheid in het cookiebeleid had niet zozeer de bedoeling had om verantwoordelijkheid af te schuiven, aldus de verweerster; wel om aan te duiden dat de verweerster technisch niet in staat is cookies te blokkeren die door sommige derde partijen (in casu: adverteerders) geplaatst worden. Adverteerders en agentschappen kunnen, wanneer een advertentiecampagne op één van de Roularta sites getoond wordt, via die campagne cookies of scripts lanceren die door Roularta onmogelijk op voorhand gekend zijn. 119.De verweerster geeft in haar conclusies aan dat de zin in kwestie werd verwijderd uit de cookie policy omdat er sinds het IAB TCF-framework van kan worden uitgegaan dat IAB vendors conform dit framework geen cookies of scripts meer plaatsen tenzij er zowel toestemming is voor de cookies en de betrokken vendor goedgekeurd werd in de lijst van partnerbedrijven. Standpunt van de Geschillenkamer: 120. De Geschillenkamer gaat niet akkoord met de stelling van de verweerster, waar zij stelt dat zij niet verantwoordelijk is voor de verwerking van cookies door een derde.68 121. De verantwoordelijkheid van IAB Europe sluit de verantwoordelijkheid van andere verwerkingsverantwoordelijken binnen het TCF-framework niet uit.69 De Geschillenkamer wijst erop dat de verweerster gezien moet worden als een (mede-)verwerkingsverantwoordelijke in het kader van TCF, omdat zij worden verondersteld te beslissen of zij al dan niet met een geregistreerde CMP samenwerken, en in staat zijn eveneens te bepalen welke adverteerders op hun website of in hun applicatie reclame mogen aanbieden en welke middelen (cookies) zij hiervoor kunnen aanwenden. 67 WP29, Advies 3/2010 over het “verantwoordingsbeginsel”, 13 juli 2010, WP173, 10, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp173_nl.pdf. 68 Beslissing Geschillenkamer GBA 21/2022 van 2 februari 2022, https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-21-2022.pdf. 69 beschikbaar beschikbaar via: via: Beslissing ten gronde 85/2022 - 41/58 122. De verweerster geeft aan in haar conclusie dat zij gezien de machtspositie van IAB Europe verplicht was om het IAB TCF te implementeren. De Geschillenkamer oordeelt dat dit argument van de verweerster niet gevolgd kan worden. Ten algemene kan bovendien worden opgemerkt dat er alternatieve aanbieders op de markt beschikbaar zijn, nog los van het feit dat het niet klopt dat er enige verplichting in hoofde van de verweerster zou bestaan om gebruik te maken van het aanbod van IAB om advertenties via haar websites te kunnen faciliteren. Roularta was vrij in haar keuze om het IAB TCF te implementeren en draagt dan ook de verantwoordelijkheid voor de gevolgen van die implementatie. 123. De Geschillenkamer oordeelt dat de verweerster moet worden geïdentificeerd als verwerkingsverantwoordelijke, hetgeen in deze procedure ook niet wordt betwist. Als verwerkingsverantwoordelijke is zij verantwoordelijk voor de verwerking van persoonsgegevens en moet zij de conformiteit met de beginselen inzake verwerking van persoonsgegevens kunnen aantonen. De verweerster kan dan ook de verantwoordelijkheid voor het plaatsen van cookies door derden op haar websites niet loskoppelen van haar verwerkingsverantwoordelijkheid. Bovendien stelt het cookiebeleid dat zij geen controle heeft over bepaalde cookies die op haar website worden geplaatst. Nochtans is het aan de verweerster als beheerder van de websites, en in casu als verwerkingsverantwoordelijke onder het gegevensbeschermingsrecht, om passende technische en organisatorische maatregelen te nemen om ervoor te zorgen dat haar verwerkingsactiviteiten in overeenstemming zijn met de wetgeving ter zake. Het afwijzen van de verantwoordelijkheid voor het plaatsen van cookies door derden tegenover betrokkenen waarvoor de verweerster aangeduid kan worden als verwerkingsverantwoordelijke is een inbreuk op artikel 5, lid 2 AVG, juncto artikel 24 AVG (de verantwoordingsplicht).70 124. Samengevat, de Geschillenkamer concludeert dat de verweerster de op haar rustende verplichting tot verantwoording (artikel 5, lid 2, j° artikel 24) niet heeft nageleefd, door het ontkennen van het dragen van verantwoordelijkheid ten aanzien van de betrokkenen. II.5.4. Verkeerde en gebrekkige informatie (potentiële schending van de artikelen 4, punt 11), 12, lid 1, 13 en 14 van de AVG) – vaststelling 5 Inspectiedienst 125. De Inspectiedienst stelt een inbreuk vast op de transparantiebeginselen van de AVG door het gebrekkig cookiebeleid van Roularta Media Group. Zo bepaalt artikel 12, lid 1 AVG dat de verwerkingsverantwoordelijke passende maatregelen moet nemen, opdat de betrokkenen de door o.a. artikel 13 van de AVG verplichte informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in een duidelijke en eenvoudige taal ontvangt. 70 De verplichting in artikel 5.2 en 24.1 AVG houdt namelijk in dat de VV moet aantonen dat zij aan de verplichtingen van de AVG voldoet. Als de VV nalaat dit aan te tonen, is er een schending van deze artikelen. Zie hiervoor ook: Article 39 Data Protection Working Party, Opinion 3/2010 on the principle of accountability, 13 July 2010, 12, https://ec.europa.eu/justice/article29/documentation/opinion-recommendation/files/2010/wp173_en.pdf. Beslissing ten gronde 85/2022 - 42/58 De artikelen 13 en 14 van de AVG bepalen vervolgens welke informatie verstrekt moeten worden door de verwerkingsverantwoordelijke aan de betrokkene. In de leden 1 en 2 van beide artikelen wordt een lijst aan informatie opgesomd die door de verwerkingsverantwoordelijke aan de betrokkene moet worden gegeven. 126. Ter verduidelijking van de wetgeving ter zake, heeft het Hof van Justitie in het arrest Planet49 ook verduidelijkt hoe de verwerkingsverantwoordelijke, vóór het plaatsen van cookies, informatie moet geven over hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen hebben, om een behoorlijke en transparante informatie te waarborgen (artikel 5.3 ePrivacy Richtlijn met betrekking tot het plaatsen van cookies juncto de informatieverplichtingen uit art. 13.1 (
  11. e)en art. 13. 2 (
  12. a)AVG). Vaststellingen Inspectiedienst: 127. De Inspectiedienst stelt vast dat er tekortkomingen waren in het cookiebeleid: ▪ Het cookiebeleid van de verweerster bevat bepalingen die niet in overeenstemming zijn met de AVG. Zo spreekt het cookiebeleid van impliciete toestemming voor cookies via de toegang tot de websites van de verweerster, wat in strijd is met de noodzaak van een wilsuiting door een duidelijke verklaring of positieve handeling overeenkomstig artikel 4, punt 11) AVG. Ook wordt vermeld dat voor het delen van gegeven die werden verzameld via karakter van de toestemming voor een gegevensverwerking overeenkomstig artikel 4, punt 11) van de AVG; ▪ Het cookiebeleid zou ook duidelijkheid missen over de noodzaak van het gebruik van derdepartij cookies te wijten aan technische problemen die al langer dan een jaar duren; ▪ Ook stelt de Inspectiedienst vast dat de namen van de soorten cookies in het cookiebeleid niet overeenkomen met de namen van de cookiecategorieën in de cookie-instellingstool, wat de begrijpelijkheid niet ten goede komt;71 71 Noodzakelijke cookies Noodzakelijke functionele cookies Inspectiedienst, Technisch onderzoeksrapport over het gebruik van cookies op de website van Knack (stuk 6 administratief dossier), 39. Beslissing ten gronde 85/2022 - 43/58 Analytische cookies Analytische cookies Sociale mediacookies Inhoudsselectie en levering en en levering en rapportage Advertentiecookies Reclameselectie rapportage Inhoud Personalisatie Advertentie- en marketing cookies ▪ Daarnaast is in het cookiebeleid geen informatie opgenomen over de opslagperiodes van langer bewaren dan wettelijk is toegelaten en dan noodzakelijk is voor de doeleinden vermeld in dit document”. Verder vermeldt het cookiebeleid: “de bewaartermijn verschilt van cookie tot cookie, algemeen geldt dat de cookie wordt bewaard totdat de gebruiker zijn ▪ Het cookiebeleid vermeldt het gebruik dat de partners maken van het “IAB Europe Transparency & Consent Framework” als toestemmingsbeheertool, dat ervoor zorgt dat derden de AVG naleven, terwijl van de 449 partners die op de sites van Knack en Le Vif zijn vermeld er 312 niet of niet meer door IAB gevalideerd zijn; ▪ De gebruiker moet het beleid van de 449 verkopers raadplegen om te weten te komen wat deze bedrijven met zijn gegevens doen en op basis daarvan een geïnformeerde beslissing nemen om zijn toestemming te geven. Dit is illusoir en onuitvoerbaar en zal bovendien leiden tot het plaatsen van nog meer cookies bij het bezoeken van de links naar deze partners; ▪ Tot slot wordt vastgesteld dat cookies niet individueel worden gedocumenteerd, waardoor de gebruiker niet in staat is om te controleren wat er met zijn gegevens wordt gedaan. In de privacy policy is er summiere informatie over cookies: Standpunt Geschillenkamer: Beslissing ten gronde 85/2022 - 44/58 128. De Geschillenkamer stelt vast dat de verweerster in haar conclusies aangeeft dat zij haar - De vermelding dat het registratiesysteem van de verweerster tijdelijk door een technisch probleem gebruik maakte van third party cookies om aan te melden op de websites van de verweerster is nu verwijderd (het probleem zou dan ook opgelost zijn door over te gaan naar een nieuwe registratiesoftware dat enkel gebruik maakt van een puur functionele cookie om ervoor te zorgen dat gebruikers zich niet telkens opnieuw moeten aanmelden); - In de update van het cookiebeleid dd. 31 juli 2020 staan alle cookies correct geïnventariseerd en gedocumenteerd. Het rechtzetten van enkele onnauwkeurigheden kan de inbreuk van het verleden niet ongedaan maken. De Geschillenkamer is bijgevolg van oordeel dat de verweerster een onzorgvuldige houding aannam ten opzichte van meerdere aspecten aangaande haar transparantieverplichting uit hoofde van de artikelen 12 en 13 AVG. 129. Ten eerste situeren de inbreuken zich bij de foutieve informatie in het cookiebeleid. Overeenkomstig artikel 13 en 14 (resp. leden 1 en 2) AVG moet samengevat de volgende informatie verstrekt worden aan de betrokkene: de naam en contactgegevens van de verwerkingsverantwoordelijke, de reden waarom de gegevens worden verwerkt, de bewaartermijn van de persoonsgegevens, met welke bedrijven/organisaties de gegevens worden gedeeld, alsook de rechten inzake gegevensbescherming van de betrokkene. Wat betreft dit laatste element stelde de Inspectiedienst vast dat er foutieve informatie werd gegeven in de privacy policy van de verweerster, zoals het bestaan van een impliciete toestemming in tegenstrijd met de bepalingen daaromtrent in de AVG. 130. De Geschillenkamer stelt dat het geven van foutieve informatie over de toestemmingsvereiste in de AVG een schending uitmaakt van artikel 12, lid 1 en artikel 13 en 14 van de AVG. 131.Ten tweede, wat betreft de vermelding van het tijdelijk technisch probleem waardoor third party 19 november 2018, zodat onmogelijk nog gesproken kan worden van een “tijdelijk” probleem (de vaststelling van de vermelding in het cookiebeleid dateert van 8 januari 2020). De Geschillenkamer oordeelt bovendien dat een technische moeilijkheid een schending van de regels van de AVG niet kan rechtvaardigen, gelet op het feit dat het hier om een langdurige schending gaat waar grote aantallen betrokkenen nadeel van kunnen ondervinden, en waarbij de verantwoordelijkheid van de verwerkingsverantwoordelijke voor die activiteiten geenszins kan worden teniet gedaan. 72 zie stuk 20 van de stukkenbundel van de verweerster: nieuw cookiebeleid. Beslissing ten gronde 85/2022 - 45/58 132. Ten derde, wat betreft de inconsistenties tussen het cookiebeleid en de cookiebeheerstool. Verweerster rechtvaardigt dit door te stellen dat zij verplicht werd door IAB Europe om deze termen te gebruiken in de consenttool, op straffe van uitsluiting van het IAB TCF. Zij wou in haar eigen verweerster wat betreft het verplicht moeten toepassen van de termen voorgesteld door IAB Europe in haar consenttool. Dit neemt echter niet weg dat het gebruiken van verschillende termen in haar privacy policy de onduidelijkheid vergroot en in die zin niet in overeenstemming met het verstrekken van informatie in “beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal” (artikel 12, lid 1 AVG omtrent de invulling van artikelen 13 en 14 AVG). 133. Ten vierde, wat betreft het gebrek aan informatie over de opslagperiodes van de cookies. De Inspectiedienst stelde vast dat er enkel een vermelding was in het cookiebeleid dat de bewaartermijn “afhankelijk is van cookie tot cookie”. De verweerster stelt dat de opvattingen van de Inspectiedienst dat er “geen concrete informatie over de opslagperiodes te vinden is” en dat “het dat er in principe twee soorten informatie over de bewaartijd van de cookies opgenomen waren in het cookiebeleid: (
  13. i)het feit dat de bewaartijd varieert van cookie tot cookie, (
  14. ii)het feit dat de gebruiker cookies kan uitschakelen, wat resulteert in een niet bestaande bewaartijd. De verweerster stelt bijgevolg dat de Inspectiedienst te ver ging door te stellen dat deze informatie gelijk staat met een onbeperkte bewaartermijn. 134. De Geschillenkamer volgt de verweerster wat betreft dit laatste element. De informatie in het niet weg dat de informatie in het cookiebeleid onvoldoende duidelijk en transparant was, gezien er geen enkele indicatie was omtrent de concrete bewaartermijnen, en deze informatie dus ook niet voorhanden was voor betrokkenen. Artikel 13, lid 2, punt
  15. a)AVG en artikel 14, lid 2, punt
  16. a)AVG vermelden duidelijk dat er informatie gegeven moet worden over “de periode gedurende welke de persoonsgegevens worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn”. De Commissie voor de Bescherming van de Persoonlijke Levenssfeer, de rechtsvoorganger van de GBA overeenkomstig art. 3 WOG, gaf reeds in 2017 een aanbeveling aan Facebook omtrent haar cookiebeleid. Hierin stelde de Commissie dat de betrokkene op duidelijke en begrijpelijke wijze volledig en nauwkeurig geïnformeerd moet worden over de bewaartermijn van de gegevens die zij via cookies inzamelt. 73 Volgens de Commissie zou het geven van die informatie ook noodzakelijk zijn om een geïnformeerde toestemming te kunnen verzekeren en om van een 73 CBPL, Aanbeveling nr. 03/2017 van 12 april 2017 aanvulling op aanbeveling nr.04/2015 uit eigen beweging met betrekking tot 1) facebook, 2) de gebruikers van internet en/of Facebook alsook 3) de gebruikers en aanbieders van Facebook diensten, inzonderheid social plug-ins (CO-AR-2017-004) Beslissing ten gronde 85/2022 - 46/58 eerlijke en rechtmatige verwerking te kunnen spreken. 74 De tekortkoming zou ondertussen wel rechtgezet zijn door verweerster in haar vernieuwd cookiebeleid.75 135. Door het ontbreken van duidelijke en transparante informatie omtrent de concrete bewaartermijnen voor de cookies geplaatst op haar website, zoals vastgesteld door de Inspectiedienst, maakt de verweerster een inbreuk op artikelen 13 en 14 j° 12, lid 1 AVG. 136. Ten vijfde, wat betreft de vermelding in de toestemmingsbeheerstool met betrekki

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.