None of Your Business (Noyb), de stichting van de Oostenrijkse privacyactivist Max Schrems, heeft 422 klachten ingediend bij tien verschillende nationale privacytoezichthouders. Volgens de privacystichting voldoen hun cookiebanners niet aan de regels die in de Algemene Verordening Gegevensbescherming (AVG) zijn vastgelegd. Op deze manier wil Schrems de bedrijven aansporen hun gedrag te verbeteren.
Dat schrijft Noyb in een persverklaring.
Schrems: ‘Bedrijven creëren opzettelijk krankzinnige kliklabyrinten’
Schrems voert al jaren een juridische strijd tegen bedrijven die het, in zijn ogen, niet zo nauw nemen met onze privacy. Dat heeft er onder meer voor gezorgd dat het Europees Hof van Justitie een streep zette door het Privacy Shield, en dat Facebook een symbolische boete van 500 euro aan hem moet betalen omdat hij geen volledige toegang kreeg tot zijn gegevens toen hij daar om vroeg.
Zijn strijd tegen onrechtmatige dataverzamelingspraktijken loopt niet alleen via de rechtbank. Eind mei verstuurde Schrems aan 560 Europese bedrijven een informele AVG-klacht. Daarin stelde de privacyactivist dat zij illegale cookiebanners gebruikten met als doel om bezoekers zo veel mogelijk te frustreren. Hij verweet de advertentie-industrie ‘krankzinnige kliklabyrinten’ te ontwikkelen om toestemming te verkrijgen.
“Bijna alle situaties waarin gebruikers te maken krijgen met gegevensbescherming, zijn ontworpen door bedrijven. Zij maken vaak opzettelijk een nachtmerrie van privacyinstellingen, maar geven daar tegelijkertijd de AVG de schuld van. (…) Mensen frustreren om op ‘OK’ te klikken is een duidelijke schending van de AVG-principes. Volgens de wet moeten bedrijven gebruikers in staat stellen hun keuze kenbaar te maken en systemen eerlijk ontwerpen”, aldus Schrems.
Noyb dient klacht in tegen 422 bedrijven
Van de 560 bedrijven die Noyb aanschreef, werd 42 procent van de overtredingen binnen dertig dagen verholpen. Zo is er onder meer een optie toegevoegd om cookies te weigeren, zijn de kleuren en teksten van knoppen aangepast, en werden vooraf aangevinkte opties weggelaten. Een grote meerderheid van 82 procent is echter niet volledig gestopt met het schenden van de AVG. De meeste bedrijven weigeren een optie te bieden om eerder gegeven toestemming in te trekken. Slechts één op de vijf bedrijven heeft zo’n intrekkingspictogram op zijn website.
Schrems zegt blij te zijn met deze resultaten, maar geeft toe dat er nog werk aan de winkel is. Om bedrijven alsnog aan te sporen om hier werk van te maken, heeft Noyb bij de toezichthouders in tien landen een klacht ingediend tegen 422 partijen. “In de informele feedback hoorden we dat bedrijven zich zorgen maakten dat concurrenten zich niet aan de regels zouden houden, wat tot oneerlijke voordelen zou leiden”, zo vertelt Schrems. “Anderen zeiden dat zij een duidelijke uitspraak van de autoriteiten willen, voordat zij zich aan de regels gaan houden. Wij hopen dan ook dat de gegevensbeschermingsautoriteiten spoedig besluiten zullen nemen en sancties zullen opleggen.”
Ongeveer de helft van alle klachten wordt ingediend bij de Datenschutzbehörde, de Oostenrijkse privacywaakhond. Of de Autoriteit Persoonsgegevens klachten over Nederlandse bedrijven heeft ontvangen, is onduidelijk. Noyb zegt op Twitter niet de intentie te hebben om een lijst te publiceren met bedrijven die de AVG-regels omtrent cookiebanners overtreden.
Noyb gaat tienduizend websites scannen
Naast de ruim vijfhonderd bedrijven die Noyb in de eerste batch heeft aangeschreven, heeft de stichting tevens gekeken hoe grote, internationale bedrijven als Amazon, Twitter, Google en Facebook hun cookiebanners hebben ingericht. Al deze partijen gaven aan niets te zien in het aanpassen van hun banners. Om die reden gaat Noyb nog eens 36 klachten over websites van deze partijen indienen.
Dit is echter pas de eerste fase. Voor het einde van het jaar wil Noyb 10.000 websites scannen, beoordelen en waarschuwen om betere cookiebanners af te dwingen. “We verwachten de eerste beslissingen tegen het einde van het jaar. Tegen die tijd zouden we de meeste andere websites moeten zien overschakelen op eenvoudige ‘ja’- of ‘nee’-opties”, zo verwacht Schrems.
Update (28 september 2021): de European Data Protection Board (EDPB), de Europese instantie waarin alle nationale toezichthouders van de EU-lidstaten verenigd zijn, heeft een taskforce in het leven geroepen waar mensen terecht kunnen met hun klachten over cookiemeldingen. De taskforce heeft drie doelen voor ogen: juridische analyses en mogelijke overtredingen uitwisselen met toezichthouders, ondersteuning bieden aan activiteiten op nationaal niveau, en de communicatie tussen toezichthouders verbeteren.
De juridische basis voor de taskforce van de EDPB is artikel 70 lid 1 (u) van de AVG. Daarin staat dat het Europees Comité voor gegevensbescherming en geschillenbeslechting als taak heeft om de samenwerking tussen nationale toezichthouders te bevorderen.
