De Oostenrijkse privacyactivist Max Schrems heeft vandaag namens zijn organisatie Noyb bij 560 bedrijven een informele klacht neergelegd wegens het overtreden van de Algemene Verordening Gegevensbescherming (AVG). De Europese privacywetgeving verplicht websites om een pop-upvenster te tonen, waar bezoekers met een ‘ja’ of ‘nee’ kunnen aangeven of de site cookies mag plaatsen. Bedrijven en andere organisaties lappen deze op het oog eenvoudige regel massaal aan hun laars.
Dat meldt Schrems in een persbericht op de website van Noyb, een acroniem dat staat voor None of your business.
Deze regels stelt de AVG aan cookies
Cookies zijn informatiebestanden die op een computer worden geplaatst zodra iemand een website bezoekt. Er zijn allerlei soorten en smaken: denk onder meer aan functionele cookies, analytische cookies, third party cookies en tracking cookies. De laatstgenoemde variant is de meest beruchte, omdat deze op de meest indringende wijze een inbreuk vormt op je privacy. Tracking cookies houden namelijk precies bij welke websites je bezoekt en welke zoekopdrachten je uitvoert. Dat is interessante informatie voor advertentienetwerken en adverteerders, omdat ze hiermee persoonsgerichte advertenties kunnen aanbieden.
Vanwege de verregaande privacyinbreuk die cookies met zich meebrengen, mogen websites niet zomaar cookies opdringen aan bezoekers. De AVG stelt dat bezoekers ‘vrijelijk, ondubbelzinnig, geïnformeerd en specifiek’ moeten instemmen dat hun persoonsgegevens worden verwerkt door de website-eigenaar. Ook moeten sites duidelijk maken welke cookies ze op de computer van hun bezoekers willen plaatsen en voor welke doeleinden.
Het opwerpen van een cookiemuur is verboden. Daarmee dwingt een site zijn bezoekers om alle cookies te accepteren. Voor functionele en analytische cookies geldt dat een bezoeker niet expliciet zijn toestemming moet geven om cookies te plaatsen. Tot slot moeten bezoekers de mogelijkheid krijgen om cookies te accepteren en weigeren, bijvoorbeeld met een ja- of nee-knop in een pop-upvenster.
Nieuwe tool creëert automatisch AVG-klachten
Veel websites houden zich niet aan deze regels, zo stelt Noyb. De Oostenrijkse belangenorganisatie heeft daarom een tool ontwikkeld die verschillende soorten onrechtmatige cookiebanners herkent. De tool kan tevens automatisch een klacht genereren als er sprake is van een overtreding.
Noyb heeft vandaag meer dan 560 informele AVG-klachten verzonden naar bedrijven in 33 landen die onwettige cookiebanners gebruiken. De stichting geeft ze een maand de tijd om aan de EU-wetgeving te voldoen. Daarna wordt de informele klacht omgezet naar een formele klacht. Deze wordt ingediend bij de nationale toezichthouder, zoals de Autoriteit Persoonsgegevens in ons land. Op deze manier wil Noyb ervoor zorgen dat binnen nu en een jaar 10.000 van de meest bezochte sites in Europa aan de AVG-regels voldoet.
Van de 560 websites waarover een klacht werd ingediend, bood 81 procent geen optie om cookies te weigeren. Driekwart van de knoppen in de cookiebanner (73 procent) maakte gebruik van misleidende kleuren of contrasten, met als doel om bezoekers te misleiden en hen alsnog akkoord te laten gaan met het plaatsen van cookies. En maar liefst 90 procent van de websites bood niet de mogelijkheid om toestemming gemakkelijk in te trekken. “In plaats van een eenvoudige ja- of nee-optie te geven, halen bedrijven alle mogelijke trucs uit de kast om gebruikers te manipuleren”, meent Schrems.
‘Advertentie-industrie ontwikkelt krankzinnige kliklabyrinten’
Schrems stelt dat de AVG ontwikkeld is om Europese burgers de controle te geven over hun gegevens. In plaats daarvan wekken cookiebanners enkel irritatie op en maken ze het moeilijk om op iets anders te drukken dan ‘accepteren’. Uit statistieken blijkt dat meer dan 90 procent instemt met het plaatsen van cookies, terwijl slechts 3 procent daadwerkelijk daarmee akkoord gaat.
“Een hele industrie van consultants en ontwerpers ontwikkelt krankzinnige kliklabyrinten om denkbeeldige toestemmingspercentages te verkrijgen”, vertelt Schrems. “Mensen frustreren om op ‘OK’ te klikken is een duidelijke schending van de AVG-principes. Volgens de wet moeten bedrijven gebruikers in staat stellen hun keuze kenbaar te maken en systemen eerlijk ontwerpen.”
‘Bedrijven maken opzettelijk een nachtmerrie van privacyinstellingen’
De voorzitter van Noyb zegt dat dit niet de schuld is van de AVG. Volgens Schrems ontwikkelen bedrijven websites in strijd met de Europese privacywet. Zij hebben immers de controle over het ontwerp en de verwoording van cookiebanners. Op deze manier proberen bedrijven er alles aan te doen om het voor bezoekers zo lastig mogelijk te maken. In werkelijkheid hebben ze de plicht om keuzevrijheid te faciliteren.
“Bijna alle situaties waarin gebruikers te maken krijgen met gegevensbescherming, zijn ontworpen door bedrijven. Zij maken vaak opzettelijk een nachtmerrie van privacyinstellingen, maar geven daar tegelijkertijd de AVG de schuld van. Dit verhaal wordt op honderden pagina’s herhaald, zodat gebruikers gaan denken dat deze belachelijke banners bij wet verplicht zijn”, aldus Schrems.
Om dit probleem aan te pakken heeft Noyb een systeem ontwikkeld die automatisch overtredingen ontdekt. Deze tool creëert een AVG-klacht, het juridische team van Noyb beoordeelt iedere klacht. Naast deze informele klacht ontvangen bedrijven tevens een handleiding waarin staat hoe ze hun software-instellingen moeten wijzigen om aan de AVG te voldoen. Als bedrijven dit nalaten, dient Noyb een klacht in bij de toezichthouder. Die mag boetes opleggen die kunnen oplopen tot 20 miljoen euro, of 4 procent van de wereldwijde jaaromzet.
