In mijn vorige blog gaf ik aan dat er naast de GDPR nog meer nieuwe privacy regelgeving op komst is op Europees niveau. De ePrivacy verordening zal namelijk de ePrivacy richtlijn vervangen. Deze regelgeving ziet hoofdzakelijk toe op cookies (inclusief aanverwante technologieën) en e-marketing. De verordening moet voor meer harmonie zorgen tussen de verschillende EU landen. In deze blog zal ik me focussen op de regels omtrent de cookiewet en aanverwante technologieën. Daarbij richt ik me op de huidige wet, maar zal ik ook een blik werpen op de toekomst.

De oude cookiewet gaat op de schop

Momenteel is in Nederland de Telecommunicatiewet (ook wel Cookiewet genoemd) van toepassing.
Deze wetgeving wordt veelvuldig overtreden. Bezoekers van websites wordt vaak toestemming gevraagd door middel van een banner. Echter, hierbij wordt vaak vergeten de bezoeker voldoende te informeren over de categorieën cookies en het doel van de gegevensverzameling. Daarnaast wordt de bezoeker regelmatig misleid. Een voorbeeld daarvan is het plaatsen van een rode button in de banner waarin de tekst staat “ik ga akkoord”, net als in de groene button. Wat impliceert dat de bezoeker een keuze kan maken maar dit daadwerkelijk dus niet zo is.

Eisen Cookiewet

Maar wat eist de Cookiewet eigenlijk precies? En welke categorieën cookies bestaan er? Cookies worden voornamelijk onderverdeeld in functionele, analytische en tracking cookies (zie website ACM):

1. Volgens de cookiewet is voor het gebruik van functionele cookies geen toestemming vereist. Denk aan de cookie die onthoudt wat je in je winkelmandje stopt of wat je taalkeuze is.
2. Daarnaast zijn analytische cookies zonder toestemming beperkt toegestaan. Op voorwaarde dat dit geen of geringe gevolgen heeft voor de privacy van de gebruiker en met de bedoeling informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst. Hierbij kun je denken aan cookies bedoeld om bezoeksstatistieken bij te houden. First party analytische cookies zullen in veel gevallen geringe gevolgen hebben voor de privacy van de gebruiker. Maak echter wel altijd die afweging. Op third party analytische cookies zijn strengere eisen van toepassing. Maak je echter gebruik van Google Analytics, dan kan het zijn dat toestemming niet vereist is doordat Google Analytics privacyvriendelijk kan worden ingesteld, naar advies van de Autoriteit Persoonsgegevens.
3. De derde categorie, tracking cookies, vereist altijd toestemming van de websitebezoeker. Deze cookies verzamelen persoonsgegevens over bezoekers door online gedrag te volgen. Voorbeelden van tracking cookies zijn advertentiecookies en social media plug-in cookies. Zonder toestemming mogen deze cookies niet geïnstalleerd worden.

Hoe zit het met de toestemming?

Hoe moet die toestemming eigenlijk worden verkregen? De cookiewet verwijst naar de GDPR/AVG voor een antwoord op die vraag. De toestemming moet geïnformeerd, vrij, specifiek en ondubbelzinnig worden verkregen. Let daarbij op dat de toestemming altijd alvorens het plaatsen van de cookies wordt verkregen. Ondubbelzinnig houdt in, dat elke twijfel dient te zijn uitgesloten over de vraag of de betrokkene toestemming heeft gegeven. Een manier om hieraan te voldoen is twee duidelijke knoppen, een met ‘ja, ik ga akkoord’ en een met ‘nee, ik ga niet akkoord’. Natuurlijk zijn hier variaties op mogelijk. Zo hoeft een website banner niet persé verkeerd te zijn, zo lang de bezoeker maar voldoende wordt geïnformeerd. Dit kan ook worden gedaan via een pop-up. De informatie die daarin staat moet aan bepaalde eisen voldoen. Onder andere moet duidelijk worden gemaakt om welke categorieën cookies het gaat, het doel van de cookies, en een link naar meer informatie omtrent de cookies (bijvoorbeeld de cookieverklaring). Uit de cookieverklaring moet duidelijk worden welke cookies van derden zijn en wat het doel is. Link daarbij naar de privacyverklaring van de derde partij.

Voorgaande regels zijn niet alleen van toepassing op cookies maar ook op aanverwante technologieën. Denkt u hierbij aan web beacons, hidden pixels, Javascript, web tags, etcetera. Bij gebruik van deze technologieën moet dus ook altijd worden bekeken wat de functie is, wat de impact ervan is op de privacy van de websitebezoeker en of er dus toestemming gevraagd moet worden.

In Nederland zullen, met de komst van de ePrivacy verordening, grote veranderingen omtrent bovenstaande regels uitblijven. Nederland heeft momenteel namelijk een streng regime omtrent cookies. U zult na het van kracht worden van die regelgeving (2019 wellicht) dus niet voor grote verrassingen komen te staan.

Over de auteur: Sonja Pijnenburg

Sonja Pijnenburg is Interim Privacy Counsel bij DPA Privacy. Ze heeft in september 2016 haar master Law&Technology afgerond aan        Tilburg University. Daarna heeft ze in Argentinië vrijwilligerswerk gedaan en aansluitend een reis gemaakt. Ze heeft voor haar huidige baan gekozen omdat ze al tijdens haar master interesse kreeg in het privacyrecht, vooral de toepassing van relevante wetgeving in de praktijk. Als Privacy Counsel met CIPP/e certificering geeft ze advies aan een breed segment bedrijven en organisaties. Naast reizen, kookt ze graag, is ze fanatiek sporter en is ze regelmatig bezoeker van concerten.

Het bericht Cookiewet voor marketing: wat moet je weten? verscheen eerst op Klikss: Grip op Digitale Groei.

Vanaf 25 mei 2018 wordt de GDPR (General Data Protection Regulation) gehandhaafd. Dit is nieuwe Europese regelgeving omtrent het gebruik van persoonsgegevens, die de privacy van burgers beter moet gaan beschermen dan nu het geval is. De verordening wordt in het Nederlands ook wel de AVG (Algemene Verordening Gegevensbescherming) genoemd en heeft invloed op iedereen die persoonsdata verwerkt van Europese burgers en daardoor ook gevolgen voor alle marketeers die persoonsgegevens verwerken van deze individuen. Daarnaast is er nog meer relevante Europese wetgeving op komst, namelijk de ePrivacy verordening. Deze regelgeving ziet toe op zaken als cookies en e-mail marketing. Hoewel het de bedoeling was laatstgenoemde bepaling ook vanaf komende mei te handhaven, ziet het er naar uit dat dit pas ergens in 2019 gaat gebeuren. In deze privacy blog zal ik me daarom richten op de GDPR en Marketing en de gevolgen voor marketeers. Dit is het eerste deel. Hierna zullen nog een aantal delen volgen waarin de GDPR naar de praktijk wordt vertaald.

Juridische gronden

Net als onder de huidige wetgeving heeft u een juridische grond nodig om persoonsgegevens (waaronder e-mail adressen en IP-adressen) te mogen gebruiken. Ook in de GDPR worden zes juridische gronden genoemd. Waaronder toestemming van betrokkenen en een gerechtvaardigd (commercieel) belang van de betreffende organisatie (of een derde partij). Aangezien deze twee gronden het meest van belang zullen zijn voor marketeers, worden deze hieronder verder toegelicht met praktijkvoorbeelden.

E-mail marketing en toestemming

Om marketing mails te mogen versturen is vaak toestemming van de ontvanger nodig. Toestemming moet bijvoorbeeld worden gevraagd aan leads, suspects, en prospects. Volgens de GDPR moet deze toestemming aan bepaalde voorwaarden voldoen. Deze moet geïnformeerd zijn; de persoon moet juiste en voldoende informatie zijn verstrekt over de identiteit van de zender en het gebruik van de persoonsgegevens. De toestemming moet specifiek gericht zijn op gebruik van de persoonsgegevens voor bepaalde doeleinden. Één opt-in voor de nieuwsbrief, enquêtes, en andere acties is dus niet de bedoeling. De toestemming moet vrij zijn, de gever mag bijvoorbeeld niet onder druk zijn gezet. Het moet een actieve handeling betreffen. Het welbekende vinkje moet door de ontvanger zelf worden aangeklikt en dus niet standaard aangevinkt zijn. Ten laatste is ondubbelzinnigheid een voorwaarde voor correcte toestemming. Oftewel, er mag geen twijfel bestaan over de goedkeuring.

Zijn er uitzonderingen?

Echter, er bestaat een uitzondering waarbij e-mail marketing verstuurd mag worden zonder hiervoor toestemming te hebben gevraagd. Dit is het geval bij bestaande klanten. U kunt zich dan beroepen op het gerechtvaardigd commercieel belang van het bedrijf waarmee die klanten een bestaande relatie hebben. Belangrijk is dat deze uitzondering alleen geldt voor marketing mails omtrent het bedrijf zelf én soortgelijke producten of diensten moet betreffen. Een voorbeeld; een energieleverancier mag zonder toestemming mailing (laten) versturen aan bestaande elektriciteitsklanten om een aanbieding te doen omtrent de levering van gas. Wil de energieleverancier marketing mails sturen om koelkasten te verkopen of een partnerbedrijf mails te laten versturen over haar producten of diensten, dan is wel toestemming vereist.

Opt-out

Om u te kunnen beroepen op een commercieel belang moet u wel kunnen aantonen dat een belangenafweging is gemaakt tussen de belangen van het bedrijf en die van de ontvanger. Dit principe van accountability is nieuw in de GDPR. Daarnaast moet de ontvanger de mogelijkheid worden gegeven op eenvoudige wijze uit te schrijven voor dergelijke mails, een ‘opt-out’. Dit wordt vaak gedaan middels een ‘unsubscribe link’ in de mail. Aan ontvangers die wél toestemming hebben verleend voor e-mail marketing moet trouwens ook de mogelijkheid worden gegeven deze op eenvoudige wijze in te trekken. De unsubscribe link biedt daar ook een oplossing voor.

Mocht je meer informatie over dit onderwerp willen, opmerkingen hebben of kun je wel wat hulp gebruiken bij het juist gebruiken van de nieuwe regelgeving: laat het onze specialisten dan gerust weten!

Over de auteur: Sonja Pijnenburg

Sonja Pijnenburg is Interim Privacy Counsel bij DPA Privacy. Ze heeft in september 2016 haar master Law&Technology afgerond aan        Tilburg University. Daarna heeft ze in Argentinië vrijwilligerswerk gedaan en aansluitend een reis gemaakt. Ze heeft voor haar huidige baan gekozen omdat ze al tijdens haar master interesse kreeg in het privacyrecht, vooral de toepassing van relevante wetgeving in de praktijk. Als Privacy Counsel met CIPP/e certificering geeft ze advies aan een breed segment bedrijven en organisaties. Naast reizen, kookt ze graag, is ze fanatiek sporter en is ze regelmatig bezoeker van concerten.

Wil jij maandelijks marketingtips ontvangen? Schrijf je dan hieronder in voor de nieuwsbrief van Klikss. We sturen je dan via de nieuwsbrief de laatste marketingtrends en tips.

Het bericht GDPR en Marketing: wat zijn de gevolgen voor marketeers? verscheen eerst op Klikss: Grip op Digitale Groei.