Amsterdam, 15 juni. Britse internetgebruikers die zich zorgen maken over hun privacy, vinden voorlopig meer bescherming bij de EU in Brussel dan in eigen land. Van Londen mogen adverteerders meegluren met consumenten op het web, van Brussel niet.

De regering in Londen had uiterlijk gisteren moeten reageren op kritiek van de Europese Commissie dat zij Europese privacyregels schendt. Maar dat antwoord kwam niet. De regering in Londen vindt de eigen wetten voor gegevensbescherming afdoende. Met dat argument legden de Britten in mei al een petitie naast zich neer van 21.000 internetters. Als de regering zijn wetgeving niet aanpast, kan de Commissie dat uiteindelijk proberen af te dwingen bij het Europese Hof van Justitie.

Aanleiding van het conflict is het Britse internetbedrijf Phorm. Dat houdt zich bezig met behavioural targeting, het aanbieden van webadvertenties afgestemd op het surfgedrag van gebruikers. Wie bijvoorbeeld op de ene site zocht naar vakanties op Korfoe, ziet op een andere site reclame voor hotels op het Griekse eiland.

De drie grote internetaanbieders in Groot-Brittannië – British Telecom, Virgin Media en Talk Talk – willen systemen van Phorm gaan gebruiken. BT deed dat al in 2006 en 2007, zonder dat klanten dat wisten. Diverse gebruikers dienden klachten in bij de Britse regering en de Europese Commissie. Phorm zelf stelt aan alle privacyregels te voldoen. Volgens een woordvoerder is Phorm niet actief in Nederland. Hij wil niet zeggen of onderhandeld wordt met Nederlandse internetaanbieders.

Sinds april is ook Google actief op dit gebied. Het bedrijf noemt zijn dienst interest based advertising. De eerste proef was in april op Google’s videosite YouTube met Sony: het bedrijf toonde sportliefhebbers banners voor een platte tv op speeldagen van de Champions League. Google maakt geen gebruik van de techniek van Phorm, maar van cookies, waarbij een website een bestandje achterlaat op de pc van een bezoeker. Dit kan een wachtwoord bevatten of – zoals in dit geval – interessegebieden. Cookies zijn volgens Google minder opdringerig dan de techniek van Phorm, want er worden geen persoonsgegevens zoals IP-adressen opgeslagen. Bovendien heeft de gebruiker meer controle. Google is trots op, wat het noemt, de ‘digitale ja/nee-sticker’. Op een webpagina kunnen gebruikers zich afmelden voor interest based advertising. Aanmelden kan daar ook.

Zo ‘betalen’ consumenten voor gratis diensten op internet met hun persoonlijke gegevens en via blootstelling aan advertenties. Dat lijkt onomkeerbaar, realiseert ook de Commissie zich. Maar waar eurocommissaris Viviane Reding (Informatiesamenleving) bij Phorm vooral bezwaar tegen heeft, is dat het geen toestemming vraagt aan gebruikers van wie het surfgedrag wordt gevolgd. „De Europese privacyregels zijn glashelder: persoonlijke informatie mag alleen worden gebruikt met voorafgaande toestemming”, aldus Reding half april. Maar hoe werkt dat?

Als een fietser de weg op gaat, wordt hij geacht de verkeersregels te kennen. Hij kan niet door rood rijden en tegen een agent zeggen: sorry, ik wist niet dat dat niet mocht. Is dat op internet ook zo?

Bij vrijwel alle vormen van behavioural targeting wordt het surfgedrag van mensen gevolgd totdat ze aangeven dat ze dat niet meer willen. Gebruikers gaan impliciet akkoord met onze voorwaarden, zeggen de meeste onlinediensten. „Al tien jaar is opt-out [afmelden in plaats van aanmelden, red.] algemeen geaccepteerd op internet”, zegt Berendsen van Google. En offline ook: een telefoongids werkt bijvoorbeeld met opt-out.

Jurist Arnoud Engelfriet van het juridisch adviesbureau ICTRecht in Beverwijk is het daar niet mee eens. „Google gaat uit van het principe dat de gebruiker had kunnen weten dat bepaalde gegevens worden opgeslagen. De voorwaarden staan immers online. Dat is discutabel, je moet expliciet vóóraf toestemming vragen.”

Net als Engelfriet ziet de Europese Commissie het liefst een opt-in-regeling: gebruikers moeten een dienst zelf aanzetten. Bovendien zijn voorwaarden volgens de Commissie soms moeilijk te vinden en vaak niet redelijk. Soms staat er een clausule in waarin de gebruiker toestaat dat de bezochte websites persoonlijke gegevens deelt met ‘commerciële partners’. Wie dat zijn en welk privacybeleid zij hebben is onduidelijk. De Commissie vindt dat dergelijke voorwaarden aan dezelfde redelijkheidseisen moeten voldoen als commerciële contracten.