Een lezer vroeg me:
Websites en apps moeten toestemming vragen voordat ze gegevens mogen verwerken waarmee gebruikers zijn te volgen. Denk bijvoorbeeld aan cookiebanners of toestemmingsvinkjes in apps. Tegelijkertijd verstuurt je browser standaard allerlei technische informatie (zoals user agent, fonts en tijdzone) naar websites waarmee een fingerprint van het device is te maken en de gebruiker online is te volgen. Ook je besturingssysteem maakt allerlei informatie voor apps beschikbaar die dit voor tracking kunnen gebruiken. Dit gebeurt eigenlijk altijd zonder aparte toestemming. Waarom kent de wet dat onderscheid?De toestemmingsvraag voor cookies en dergelijke gaat terug op de Telecommunicatiewet: het uitlezen of plaatsen van informatie op randapparatuur in een netwerk mag alleen met toestemming van de gebruiker. Op die toestemming is dan weer de AVG van toepassing. Tracking cookies zijn stukjes informatie (een code, soms een profiel) en die worden geplaatst op je randapparaat, dus is toestemming nodig.
Deze regel komt uit de ePrivacy-richtlijn, die in heel Europa geldt. De wet is hard en rechtlijnig, de enige uitzondering geldt voor de technisch noodzakelijke cookies, zoals het bekende cookie dat je winkelmandje beheert, of een sessiecookie voor een ingelogde gebruiker. In Nederland is daar nog een uitzondering bij gekomen, voor het doel informatie te verkrijgen over de kwaliteit of effectiviteit. Vereist daarbij is dat dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Dit wordt wel de Google Analytics of first-party-analytics uitzondering genoemd.
Technieken zoals browser fingerprinting op basis van die browserinformatie vallen buiten deze regel, om de simpele reden dat deze informatie niet wordt uitgelezen van het randapparatuur. De browser, een applicatie onder beheer van de eindgebruiker, stuurt die proactief en ongevraagd mee. Daarom is toestemming vragen niet perse nodig.
Natuurlijk levert zo’n fingerprint een persoonsgegeven op, want het hele punt ervan is een persoon te identificeren (in de zin van: een uniek label geven) en daar analyses op te doen. Maar dat valt onder de AVG, en die kent naast toestemming nog andere grondslagen, zoals het bekende (beruchte?) eigen gerechtvaardigd belang. Zolang je daar een beroep op kunt doen, mag je dus met fingerprints tracken zonder toestemming te hoeven vragen.
Arnoud
“De browser … stuurt die proactief en ongevraagd mee.” dat is toch echt te kort door de bocht. De door de browser vrijwillig gestuurde informatie is behoorlijk beperkt, de user-agent string + ?.
Voor een goede fingerprint is meer informatie nodig zoals canvas size, extensie-list, etc. en die worden allemaal pro-actief uitgelezen door de site dmv java-script.
Dus ik denk dat er wel degelijk en argument te maken is dat hiervoor toestemming gevraagd moet worden. Maar iedereen doet het en geen toezichthouder die hier op handhaaft …
En schermresolutie. En informatie over de gebruikte videokaart via webgl. En de geinstalleerde fonts. Device memory. Allemaal actief via javascript.
Op https://coveryourtracks.eff.org/ kan je een leuk overzicht vinden van wat trackers allemaal van je kunnen achterhalen.
Ook is het onder de AVG noodzakelijk om the persoon te informeren over wat er gebeurd en waarom. Als ik er naar kijk is het geven van 800 bedrijven onder “Functionele cookies” niet behoorlijk informeren.
Dit komt omdat er nog steeds geen wetgeving is die het tracken van personen verbiedt over meerdere websites/domeinen heen. Dit is eigenlijk een basic privacy item maar de EU wil het blijkbaar niet invoeren
Die wetgeving is er wel en heet GDPR of AVG. Helaas wordt deze wet niet of nauwelijks gehandhaafd in het geval van Internet tracking. (Het is ook lastig niet-EU bedrijven te vervolgen.)
Op grond waarvan verbied de AVG dan precies expliciet tracking over websites of domeinen heen (aannemende dat er wel gewoon een grondslag is, of dat nu toestemming of gerechtvaardigd belang is)?
Tracking gebeurt met het doel informatie over een persoon te verzamelen: persoonsgegevens dus. Er is mij nooit toestemming voor tracking gevraagd en gerechtvaardigd belang moet enorm opgerekt worden, noodzakelijkheid is niet bekeken, een belangenafweging is niet gedaan.
Tracking gebeurt in het geniep, dus het is lastig om het bewijs rond te krijgen. En veelal zit de overtreder in de VS, of kiest voor Ierland als land om GDPR overtredingen af te handelen. Dat betekent dan vanuit Nederland weinig gedaan kan worden om de situatie aan te pakken. En de Ierse DPC is structureel overbelast.
Er werd gesteld dat er geen wetgeving is die het tracken van personen over meerdere websites/domeinen heen verbiedt. Jij leek aan te geven dat die wet er wel is (de AVG). Mijn vraag is: hoe verbiedt de AVG expliciet tracking over websites/domeinen of applicaties heen (expliciet uitgaande van een valide grondslag, want als er juist toestemming is, goed geïnformeerd wordt, enz. zie ik niet zo snel iets in de AVG dat specifiek ‘over domeinen heen’ onmogelijk maakt).
Het algemene verbod op verwerking van persoonsgegevens zonder verwerkingsgrond geldt. Waarom zou iets specifieks als “over verschillende domeinen” in de wet moeten staan.
Zoals eerder gezegd, ik ben zelf nooit geïnformeerd en ben ook nooit om toestemming gevraagd (als er gevraagd wordt weiger ik).
Dat is een nuance die niet terugvoert tot de start van dit draadje. Er zijn heus voorbeelden te vinden van organisaties die wel gewoon informeren dat ze analyses uitvoeren van het bezoekersgedrag op hun website (waar http://www.website.nl toch echt een andere applicatie/domein is dan https://mijn.website.nl, https://sales.website.nl en https://service.website.nl) én daar toestemming voor vragen.
Wacht even. Het is precies andersom. Een browser stuurt proactief en ongevraagd elk cookie mee wat ooit op de site is geplaatst. Het fingerprinten gebeurt juist door het laten bevragen (“uitlezen”) van de browser door middel van Javascript.
De reden dat voor een cookie toestemming vereist is, gaat niet om het lezen maar om het plaatsen van het cookie, zoals je zelf ook aangeeft in de eerste paragraaf.
Deze paragraaf zou moeten luiden:
Technieken zoals browser fingerprinting op basis van die browserinformatie vallen buiten deze regel, om de simpele reden dat deze informatie enkel wordt uitgelezen van het (sic) randapparatuur, terwijl een cookie expliciet moet worden geplaatst – en daarna wordt deze door de browser ongevraagd en proactief meegestuurd).
Overigens heeft de memorie van toelichting https://zoek.officielebekendmakingen.nl/kst-33902-3.html het wel degelijk ook over het uitlezen:
Hoe zie jij dit Arnoud?
Terecht punt. Ik zie hoe “een javascript meesturen dat je schermresolutie en fontlijst achterhaalt en terugstuurt” een vorm van uitlezen is. Zou dan de cynische conclusie moeten zijn dat dit niet verboden is omdat het te technisch ondoorzichtig is?
De Tw is technologie-neutraal. In de volksmond ‘cookiewet’, maar 11.7a geldt toch net zo goed voor vergelijkbare technieken (zoals device fingerprinting)?
De conclusie lijkt mij dat het in veel situaties wél verboden is. Er wordt immers iets geplaatst op de randapparatuur (het javascript in kwestie wordt ook gewoon gedownload en dus opgeslagen en het zorgt vervolgens voor kunnen uitlezen c.q. kennisnemen van nieuwe info door de wederpartij).
Bovendien werkt het in de praktijk vaak zo dat een website-exploitant allerlei handige tooltjes installeert vanwege bepaalde functionaliteiten en dat het fingerprinten daar bewust of onbewust eigenlijk slechts bijvangst bij is omdat de leverancier dat er ingemoffeld heeft.
Een websitebezoeker heeft vrijwel nooit als doel dat hij geprofileerd wordt d.m.v. fingerprinting door derde partijen. En vaak hebben website-exploitanten dat doel ook eigenlijk helemaal niet. En als het om een of andere reden handig voor de websitebezoeker is, dan kan hij daar desgewenst (granulair) toestemming voor geven.
Als er al sprake kan zijn van verwerking vanwege gerechtvaardigd belang, dan is het de website-exploitant als verwerkingsverantwoordelijke die als enige dit belang kan inroepen. En niet de derde waar de tool verkregen is; die hoort waar fingerprinting etc. passend is slechts verwerker te zijn zonder enige eigen grondslag voor verwerking van de persoonsgegevens in kwestie. De enige passende reden voor een website-exploitant om zonder toestemming en puur op basis van gerechtvaardigd belang aan profilering/volgen etc. te doen lijkt mij ‘security’. Onderdeel daarvan hoort te zijn dat de info niet langer verwerkt wordt dan voor dit doel strikt noodzakelijk is. Verdere profilering of handel in data is dan dus sowieso niet toegestaan. Niet voor de website-exploitant en al helemaal niet aan de third-party die de gebruikte tooling ontwikkelde/leverde.
Voor zover het gaat om tracking/profilering over verschillende websites heen (al dan niet van verschillende exploitanten), lijkt ook alleen security een goed argument om te kunnen rechtvaardigen wat er gebeurt rondom detectie van allerlei persoonsgegevens en andere info van en over mensen en hun apparatuur en settings. Maar al die exploitanten zijn dan al snel (ieder voor zich) gezamenlijk verwerkingsverantwoordelijke met de door iedereen gebruikte populaire security-provider. De verantwoordelijkheid om het samen goed te doen is dan groot. Profilering die verder gaat dan voorkomen en opsporen van pogingen tot verboden handelingen is dan een grote no-go en gewoon in strijd met de AVG.
Bedrijven die dat soort services bieden aan website- en app-exploitanten zullen mogelijk soms ook onder NIS2/Cyberbeveiligingswet vallen (en de exploitanten van de website zelf soms ook), waardoor handhaving van misstanden in die sector wellicht soms ook over andere boeg dan alleen AVG kan plaatsvinden. Alles wat zij i.h.k.v. die dienstverlening mogen doen dient immers noodzakelijk en proportioneel te zijn conform NIS2/Cyberbeveiligingswet. Als er zonder toestemming te veel gedaan wordt, kunnen zij in Nederland dus door zowel de AP als de RDI beboet worden (Rijksinspectie Digitale Infrastructuur).
Zo is die wet niet bedoeld.
Volgens die redenering is heel het web illegaal.
Anders zou vrijwel elke moderne website al onder een toestemmingsplicht vallen puur omdat HTML, CSS of JS tijdelijk in cache/RAM komt.
TW 11.7a lid 3
Het bepaalde in het eerste lid is niet van toepassing indien het de opslag of toegang betreft:
Alles wat strikt noodzakelijk is (uitsluitend doel!) om de communicatie normaal te laten plaatsvinden valt hier inderdaad onder. Bij bezoeken van websites gaat het dan om normaal weergeven van de website en de te verwachten basisfuncties (winkelmandje, cookie zodat je ingelogd blijft en misschien wat info afvangen met als doel security en misbruikpreventie en -opsporing). Maar het afvangen van andere informatie over mensen en hun devices die hiervoor functioneel niet nodig is, valt hier dus logischerwijze niet onder.
De EDPB Guidelines 2/2023 zijn vrij duidelijk. Zelfs alleen tracken op IP zorgt er al voor dat Art. 5(3) getriggerd wordt. https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en
Deze blogpost heeft wat dat betreft wel een complete rewrite nodig 😉