:format(webp)/s3/static.nrc.nl/images/gn4/stripped/data81553005-796b4a.jpg)
Een cookiesysteem dat ruim 80 procent van de websites en apps in Europa gebruikt om consumentendata te verzamelen, is illegaal. Dat heeft de Belgische privacywaakhond afgelopen week vastgesteld na klachten uit onder meer Nederland.
De klachten betreffen het systeem van online-reclameorganisatie IAB Europe, een hoofdrolspeler op deze markt. De data die met haar systeem worden verzameld, dienen om profielen van consumenten op te stellen. Op basis daarvan krijgen internetgebruikers advertenties voorgeschoteld die bij hun veronderstelde interesses horen.
IAB heeft van de Belgische toezichthouder 250.000 euro boete gekregen. Het bedrijf heeft twee maanden om zijn systeem aan te passen.
Gerichte reclame
De klacht was ingediend door een groep organisaties en individuen, waaronder de Nederlandse privacy-organisatie Bits of Freedom en de Belgische onderzoeker Jef Ausloos van het Instituut voor Informatierecht van de Universiteit van Amsterdam.
Omdat IAB Europe in Brussel is gevestigd, heeft de Belgische Gegevensbeschermingsautoriteit zich over de klacht gebogen. Ze heeft haar inzichten gedeeld met andere nationale toezichthouders, waaronder de Nederlandse Autoriteit Persoonsgegevens. Deze hebben ingestemd met het Belgische oordeel.
Kern van de aanklacht vormt het zogenoemde Transparency and Consent Framework (TCF), dat IAB Europe heeft opgezet om instemming van webgebruikers te krijgen voor het verzamelen van hun surfgegevens. Dit systeem ligt ten grondslag aan geautomatiseerde veilingen, waarbij surfgedrag op websites, verwerkt in profielen met interesses, activiteiten en gedrag, terstond wordt gekoppeld aan gerichte reclame. Wie nieuwe schoenen zoekt, krijgt dan op bijvoorbeeld een nieuwssite reclame van een schoenenwinkel te zien.
Volgens de Belgische toezichthouder is dit systeem niet transparant, want consumenten hebben geen idee dat ze toestemming geven voor gebruik van hun data door duizenden reclamebedrijven die ze niet eens kennen. Zo kunnen ze hun recht van controle op gebruik van hun data niet uitoefenen en worden ze dus onvoldoende beschermd.
:format(webp)/s3/static.nrc.nl/images/gn4/stripped/data78780821-8b6c50.jpg)
In Nederland maken onder andere DPG Media, uitgever van Nu.nl, Volkskrant en Libelle, Mediahuis Nederland (Telegraaf, regionale kranten) en RTL (met reclameveiling SpotX) gebruik van het TCF-systeem van IAB Europe. Zij zetten via TCF tientallen miljoenen euro aan reclame om, en moeten op zoek naar een andere methode. Ze kunnen kiezen voor reclame die past bij de inhoud van artikelen: ‘contextgerelateerde’ advertenties. NRC Media ging daartoe eerder vrijwillig over.
Overigens is de afkeuring van het systeem van IAB Europe gunstig voor de grootste partijen in onlinereclame, Facebook en Google, die vergaande profilering van consumenten mogen voortzetten. Hun systemen om instemming voor cookiegebruik te verkrijgen voldoet vooralsnog wel aan de voorwaarden van privacywet AVG
‘Ondoorzichtig en manipulatief’
De Europese consumentenorganisatie BEUC spreekt van een volkomen terecht besluit, dat grote gevolgen kan hebben. Plaatsvervangend directeur Ursula Pachl: „Dit besluit kan de hele wijze van online adverteren met trackingtechnologie aan banden leggen. Dat had overigens al veel eerder moeten gebeuren. Onlinereclamebedrijven maken vaak gebruik van toestemmingsmechanismen die ondoorzichtig en manipulatief zijn en die de consument geen echte keuze bieden ‘nee’ te zeggen.”
De opgelegde boete vindt Pachl overigens veel te laag, omdat in deze handel miljarden omgaan.
De Nederlandse advocaat Christiaan Alberdingk Thijm, gespecialiseerd in deze materie, bevestigt Pachls interpretatie: „Dit kan de nekslag betekenen voor het gebruik van trackingcookies voor dataverwerking en gerichte reclame.”
Lauren Wakefield, marketingdirecteur van IAB Europe, ziet in het oordeel van de toezichthouder geen algeheel verbod op toepassing van het TCF-systeem. Het kan immers aangepast worden. Wel heeft haar bedrijf grote bezwaren tegen de opvatting van de toezichthouders dat IAB Europe verantwoordelijk is voor de dataverwerking, en niet de websites die de consument aan het scherm toestemming vragen. IAB overweegt daarom juridische actie. Dat zou een zaak bij het Europese Hof van Justitie betekenen.
‘Inherent verrot’
Jef Ausloos van het Instituut voor Informatierecht, mede-auteur van de klacht tegen IAB Europe, acht succesvolle aanpassing van het TCF bijna onmogelijk. „De hele structuur en het verdienmodel zijn in feite verworpen door de toezichthouders. Het is inherent verrot.” Niettemin verwacht hij dat IAB Europe alles uit de kast zal halen om het systeem zo lang mogelijk te kunnen inzetten.