Bewijslast dus. Als website eigenaar dien je, wanneer het tot een dergelijke discussie komt, aan te kunnen tonen dat die toestemming is gegeven. Tot 5 jaar terug (onder de Wbp). En alhoewel op zichzelf een volkomen duidelijke bepaling welke ook reeds onder de Wbp van toepassing was, zorgde dit voor gefronste wenkbrauwen bij onze webbouwers.
De impacten van bewijslast
In een onverhoopte situatie, kan een cookie zonder toestemming toch geplaatst worden bij een bezoeker. Bijvoorbeeld bewust, of onbewust doordat een cookie een verkeerde classificatie heeft gekregen. Ook is het mogelijk dat een gebruiker vergeten is dat hij of zij toestemming heeft gegeven, en de discussie aan gaat.
Om dat soort situaties het hoofd te bieden, dient door de website eigenaar aangetoond te kunnen worden dat er daadwerkelijk toestemming is gegeven voor het plaatsen van specifieke cookies. Want, zo schrijft ICT Recht, het feit dat de cookie is gezet, bewijst op zichzelf niet dat er ook toestemming voor is gegeven. En dat klopt.
ICT Recht geeft aan om de gegeven toestemming voor een cookie, op ip-adres basis op te slaan, in combinatie met de cookie-naam en cookie-waarde. Hier zien we als web techneuten echter meerdere gaten in.
Bewijslast via ip-adres
Frappant aan deze manier van bewijzen, is dat er een persoonsgegeven opgeslagen moet worden, om de toestemming te loggen. Aanvullend hebben gebruikers binnen eenzelfde huishouden of zelfs bedrijf, gewoonweg hetzelfde ip-adres. Ook kan er sprake zijn van dynamische ip-adressen, waarbij een gebruiker periodiek een ander ip-adres toegewezen krijgt, bijvoorbeeld door de provider. Meerdere redenen dus , waarom opslag op ip-adres basis niet geadviseerd zou moeten worden.
Overigens kan, zoals ook ICT Recht meldt, een log naderhand worden aangepast zolang deze in het beheer van de website verantwoordelijke is. Het is daarmee geen waterdichte methode.
Loggen in het algemeen
Dat GroenLinks er niet verstandig aan doet om met ICT Recht in zee te gaan, bewijst dit punt, om het gekscherend te stellen. Alhoewel cookie-data klein van stuk is, kan dit bij veel websites als gevolg hebben dat er veel extra data opgeslagen moet worden. Bovendien, niet dynamische websites die via JavaScript gebruik maken van third party widgets, moeten ineens dynamisch worden gemaakt. Buiten de opslag en dynamiek om, vergt het extra werkgeheugen van servers om deze processen te laten lopen.
Websites worden dus langzamer. Het zou aanvullend een enorm impact hebben op het milieu, wanneer alle websites op deze manier de bewijslast voor gegeven toestemming zou aanvliegen.
In gesprek met Autoriteit Persoonsgegevens
Onze webontwikkeling tak zag hier om deze redenen weinig heil in en dus gingen we de dialoog aan met Autoriteit Persoonsgegeven, waarin we de impact hebben toegelicht. Onze insteek was dat een impact op het milieu ongetwijfeld niet het streven is van de Autoriteit Persoonsgegevens.
De feedback van de privacy toezichthouder, was ongeveer als volgt:
In ieder geval moet het proces waar binnen informatie wordt verschaft en toestemming wordt gegeven, altijd leiden tot rechtsgeldige toestemming.
De verwerkingsverantwoordelijke mag zelf bepalen hoe het aangetoond wordt.
Een betere oplossing die AP kon benoemen, is via versiebeheer -zoals ook gesteld door ICT Recht-. Hiermee kan voldaan worden aan de aantoonbaarheidsplicht ten aanzien van rechtsgeldige toestemming.
Impact versiebeheer
De impact van deze wijze van bewijslast, is dat websites die gebruik maken van privacy gevoelige cookies, zoals remarketing en tracking cookies, aan versiebeheer moeten doen. Door ons is aangegeven dat dit een flinke impact gaat hebben op kleinere webbureau's die dergelijke websites bouwen. Ook die zouden volgens de AP echter voor websites aan een vorm van versiebeheer moeten doen, om het toestemmings-proces op een bepaald moment -onder de Wbp tot 5 jaar terug- aan te kunnen tonen.
- ± 2 minutes
LinkedIn
