Samenvatting

Op 6 september 2024 publiceerde de Geschillenkamer van de Belgische Gegevensbeschermingsautoriteit (GBA) haar beslissing over cookiebanners op vier nieuwswebsites van Mediahuis (De Standaard, Gazet van Antwerpen, Het Belang van Limburg, Het Nieuwsblad). De klager werd vertegenwoordigd door noyb, de Oostenrijkse non-profitorganisatie voor privacyrechten die is opgericht door Max Schrems. Ook de identiteit van de verweerder is van belang, gezien de aanzienlijke omvang en het maatschappelijke bereik van het mediabedrijf. De beslissing betreft vier klachten, allemaal afkomstig van dezelfde klager, over het onrechtmatige gebruik van cookiebanners op vier websites van Mediahuis. Aangezien het gebruik van cookies als een van de topprioriteiten van de GBA wordt beschouwd (zie bijvoorbeeld het jaarverslag 2023), sluit deze uitspraak van de Geschillenkamer aan bij de focus van de GBA op het correcte gebruik van cookies. Voorbeelden van goede praktijken betreffende cookies vindt u in de cookiechecklist van de GBA.

Procedure

Voorafgaand aan de procedure ten gronde deed de Geschillenkamer een schikkingsvoorstel. Dit voorstel werd niet volledig geaccepteerd, waardoor de Geschillenkamer het voorstel introk en overging tot de procedure ten gronde.

Tijdens de procedure stelde de Mediahuis het vertegenwoordigingsmandaat gegeven door de klager in vraag. Noyb heeft meerdere projecten lopen met betrekking tot het indienen van klachten over cookies en cookiebanners. In principe is volgens het sepotbeleid van de Geschillenkamer een direct en persoonlijk belang vereist om een ​​klacht te kunnen indienen. Echter, op grond van artikel 80.1 AVG is het mogelijk dat de klager een organisatie mandateert om de behandeling van de klacht over te nemen. Daarnaast biedt artikel 80.2 AVG de mogelijkheid aan nationale wetgevers om organisaties zoals noyb een eigen recht tot klagen te geven, zonder dat een direct en persoonlijk belang vereist is. Deze bepaling is echter niet omgezet in Belgisch recht, wat betekent dat noyb zelf geen klacht kan indienen. Daarom zou noyb, naar verluidt, haar personeelsleden opdracht geven om klachten in te dienen en zichzelf vervolgens aan te wijzen als vertegenwoordigers. In tegenstelling tot eerdere zaken waarin de Geschillenkamer het mandaat ongeldig achtte en het beschouwde als een verborgen klacht van noyb, oordeelde zij in deze zaak anders. In dit geval stelde de klager, een stagiair bij noyb, immers dat hij niet door noyb was aangemoedigd om de klacht in te dienen. Als gevolg hiervan concludeerde de Geschillenkamer dat de klager een direct, persoonlijk belang had bij de gegevensverwerking en dat de vertegenwoordiging door noyb rechtmatig was onder artikel 80.1 AVG.

Het dossier is gebaseerd op vier gecombineerde klachten, namelijk:

• Een ‘alles weigeren’-optie op de eerste laag van de cookiebanner: Analytische cookies voor marketingdoeleinden, zoals in dit geval, zijn niet strikt noodzakelijk, waardoor ze de toestemming als rechtsgrond moeten hebben onder artikel 6 AVG. De toestemming van de betrokkene moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn vooraleer deze kan dienen als rechtsgrond voor het plaatsen van dergelijke niet-strikt noodzakelijke cookies. De toestemming is alleen vrij wanneer de keuze tussen de 'alles weigeren'-optie en de 'alles accepteren'-optie gelijkwaardig is, wat hier niet het geval was. Bovendien was in het onderhavige geval de toestemming niet ondubbelzinnig, omdat de 'alles weigeren'-optie pas op een later scherm verscheen. Hierdoor werd de betrokkene niet onmiddellijk geïnformeerd dat hij de cookies kon weigeren. Bijgevolg beveelde de GBA dat de nodige aanpassingen worden gedaan door binnen 45 dagen na de kennisgeving van de beslissing een 'alles weigeren'-optie op de juiste laag te voorzien. Er wordt een dwangsom van 25.000 euro per dag en per niet-conforme website opgelegd vanaf de 46e dag dat de sites niet conform zijn.
• Misleidende kleuren van de knoppen: De tweede klacht betreft een schending van de behoorlijkheidsplicht, waardoor ook de rechtsgeldigheid van de toestemming (i.h.b. het vrije karakter van de toestemming) verder in het gedrang komt. De behoorlijkheidsplicht wordt geschonden door het misleidende kleurgebruik voor de cookiebanners. Voor de ‘alles accepteren’-knop wordt een opvallendere kleur gebruikt, waardoor de betrokkene ertoe aangezet wordt om de meest gegevensverwerkende optie te kiezen. De GBA beveelt Mediahuis om geen misleidende kleuren van de knoppen te gebruiken en legt een dwangsom op van 25.000 euro per dag en per niet-conforme website vanaf de 46e dag.
• Intrekken van de toestemming: Op het moment van het indienen van de klacht was het voor de betrokkene niet zo eenvoudig om de gegeven toestemming in te trekken als om toestemming te geven. Dit was pas mogelijk na een relatief groot aantal klikken. Omdat Mediahuis de tekortkoming al tijdens de procedure had aangepakt, vaardigt de GBA voor deze klacht enkel een berisping uit.
• Verwijzing naar gerechtvaardigd belang: De gehanteerde rechtsgrond voor het plaatsen van een cookie was volgens de verweerder ofwel de toestemming van de betrokkene ofwel een gerechtvaardigd belang. De GBA herhaalt echter dat verschillende rechtsgronden gebruiken om een verwerking op te baseren, waarbij naar een alternatieve rechtsgrond (in dit geval het gerechtvaardigd belang) wordt verwezen indien de eerst (in dit geval de toestemming) faalt, onrechtmatig is. Indien de betrokkene de cookie weigerde, mocht het gerechtvaardigd belang niet als back-up worden gebruikt. De GBA beperkte deze klacht tot een berisping en stelt dat Mediahuis cookies plaatste op basis van een gerechtvaardigd belang terwijl er geen uitzonderlijke situatie was die dit rechtvaardigde.

De klachten met betrekking tot de transparantie- en informatieverplichtingen en de uitoefening van het recht van bezwaar werden afgewezen.

Conclusie

Deze uitspraak van de GBA over naleving van cookiebanners onderstreept, ondanks dat de AVG al meer dan zes jaar van kracht is, de aanhoudende uitdagingen bij het naleven van de AVG-vereisten, zelfs bij grote mediaspelers zoals Mediahuis. Het fout gebruik van cookies onder de AVG blijft een wijdverspreid probleem en toezichthouders zijn steeds strenger, zoals blijkt uit recente boetes, zoals die van de Nederlandse Autoriteit Persoonsgegevens. Belangrijk is dat niet-analytische cookies niet zonder toestemming kunnen worden gebruikt en dat het niet is toegestaan ​​om te vertrouwen op meerdere wettelijke gronden voor de verwerking. Deze zaak dient als herinnering dat het selecteren van meerdere rechtsgronden, zoals overschakelen naar een andere rechtsgrond wanneer er een faalt, niet is toegestaan. Helaas komt deze praktijk nog te vaak voor. De uitspraak illustreert dat deze regels zullen blijven worden afgedwongen, met name op het vlak vantoestemmingsbeheer, misleidende ontwerppraktijken en de juiste wettelijke grondslagen voor cookies.

Wat nu?

Mediahuis kan tegen deze beslissing binnen 30 dagen na kennisgeving beroep aantekenen bij het Marktenhof, met de GBA als verwerende partij.