De European Data Protection Board (EDPB) heeft ingestemd met een minimumdrempel om internetters te beschermen tegen misbruik door cookiebanners. Over sommige zaken heeft de organisatie zich echter niet uitgesproken, waaronder misleidende kleuren en contrasten van knoppen. Noyb vindt dan ook dat er duidelijkere richtlijnen nodig zijn.
Dat meldt de Oostenrijkse privacystichting in een persbericht.
Europese bedrijven nemen het niet zo nauw met AVG-regels voor cookies
Voor het begin van deze zaak moeten we terug naar mei 2021. Noyb verstuurde toen een informele klacht aan 560 Europese bedrijven dat ze de Algemene Verordening Gegevensbescherming (AVG) overtraden met hun cookiebanner. Het doel van de banners was om bezoekers zoveel mogelijk te frustreren en misleiden, zo zei Noyb-voorzitter Max Schrems. Hij verweet de advertentie-industrie ‘krankzinnige kliklabyrinten’ te ontwikkelen om toestemming te verkrijgen.
“Bijna alle situaties waarin gebruikers te maken krijgen met gegevensbescherming, zijn ontworpen door bedrijven. Zij maken vaak opzettelijk een nachtmerrie van privacyinstellingen, maar geven daar tegelijkertijd de AVG de schuld van. (…) Mensen frustreren om op ‘OK’ te klikken is een duidelijke schending van de AVG-principes. Volgens de wet moeten bedrijven gebruikers in staat stellen hun keuze kenbaar te maken en systemen eerlijk ontwerpen”, aldus Schrems.
Van de bedrijven die Noyb aanschreef, weigerde een meerderheid om de cookiebanners dusdanig aan te passen zodat ze in lijn zijn met de Europese wetgeving. Om die reden diende de privacystichting een klacht in tegen 422 bedrijven in tien EU-landen.
EDPB ziet allerlei AVG-overtredingen bij cookiebanners
Naast deze procedure vroeg Noyb aan de EDPB om met een reactie te komen over het schenden van de regels voor cookiebanners. Een taskforce binnen de koepelorganisatie, waar de nationale toezichthouders uit alle EU-lidstaten zijn vertegenwoordigd, heeft een ontwerpverslag (pdf) over dit vraagstuk gepubliceerd. Daarin pleiten de gegevensbeschermingsautoriteiten voor een minimumdrempel. Deze regels dienen Europeanen te beschermen tegen misbruik en misleiding door cookiebanners.
De taskforce constateerde de onderstaande overtredingen:
- De afwijzingsoptie was niet direct zichtbaar, verborgen in een sublaag;
- Hokjes (zoals voor het instemmen met marketingcookies) waren vooraf aangevinkt;
- De link om toestemming voor het plaatsen van cookies te weigeren was te klein;
- De link om toestemming te weigeren was buiten de cookiebanner geplaatst;
- Bedrijven claimden een legitiem belang voor het installeren van niet-essentiële cookies; en
- Mogelijkheid om toestemming in te trekken ontbrak.
Noyb vraagt om duidelijkere richtlijnen voor cookiebanners
Noyb zegt blij te zijn dat de nationale toezichthouders hebben ingestemd met een minimumdrempel voor bescherming tegen misbruik van cookiebanners. Toch heeft de privacystichting commentaar op het ontwerpverslag. Het conceptrapport zegt namelijk niets over misleidende kleuren en contrasten van knoppen. Ook wordt er geen woord gezegd over wat ‘een zichtbare en gestandaardiseerde plaats’ is voor het intrekken van toestemming.
Felix Mikolasch, gegevensbeschermingsadvocaat bij Noyb, vindt dat er duidelijkere richtlijnen nodig zijn om gebruikers te beschermen tegen misleidende cookiebanners. Tegelijkertijd zegt hij dat het verslag van de EDPB een conceptrapport is. De definitieve versie moet nog worden goedgekeurd. Dat is de kans om meer duidelijkheid te scheppen over deze vraagstukken.
Meer websites integreren weigerknop bij cookies
Er is ook positief nieuws. Eind vorig jaar zag Noyb dat steeds meer websites een knop hebben geïntegreerd op hun website om tracking cookies te weigeren. Van de 1.631 gescande sites had meer dan de helft (56 procent) in de afgelopen achttien maanden hun cookiebanners aangepast. Vier op de tien bedrijven (41 procent) plaatste na aanschrijven door Noyb alsnog een weigerknop.
In maart publiceerde de EDPB een document om dark patterns te herkennen. Dat zijn patronen in de user interface om gebruikers ertoe aan te zetten een keuze te maken die ze eigenlijk niet willen maken. Dan moet je denken aan misleidende kleuren van knoppen, of een melding als ‘accepteer alle cookies of je krijgt geen toegang tot de website’.
