1/58
Geschillenkamer
Beslissing ten gronde 85/2022 van 25 mei 2022
Dossiernummer : DOS-2020-03432
Betreft : Gebruik van cookies op de mediawebsites van Knack en Le Vif (Roularta Media Group)
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter, en de heren Christophe Boeraeve en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot
de verwerking van persoonsgegevens, hierna WVP;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
.
De verweerster: Roularta Media Group, een naamloze vennootschap naar Belgisch recht, .
met
maatschappelijke zetel te 8800, Roeselare, Meiboom, 33 en ingeschreven in .de
Kruispuntbank der Ondernemingen onder het nummer 0434.278.896,
vertegenwoordigd door Meester Tom De Cordier, kantoorhoudend te 1170,
Watermael-Bosvoorde, Terhulpsesteenweg 178 (CMS).
Beslissing ten gronde 85/2022 - 2/58
I. Feiten en procedure
I.1. Onderzoek Inspectiedienst
1. Op 16 januari 2019 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (“GBA”) op
grond van artikel 63, 1° WOG gelezen in het licht van artikel 57, lid 1, punten a) en h) van de AVG, om
een dossier aanhangig te maken bij de Inspectiedienst in verband met het gebruik van cookies op
Belgische mediawebsites.
2. Meer bepaald werd besloten tot een onderzoek met betrekking tot de meest geraadpleegde
Belgische nieuwsmedia:1
1 HLN DPG Media nv http://hln.be/ NL
2 Het Nieuwsblad Mediahuis http://nieuwsblad.be/ NL
3 VRT VRT http://deredactie.be/ NL
4 Sudinfo Groupe Rossel http://sudinfo.be/ FR
5 La DH IPM Group SA http://dhnet.be/ FR
6 De Standaard Mediahuis http://standaard.be/ NL
7 RTBF RTBF http://rtbf.be FR
8 Gazet van Antwerpen Mediahuis http://gva.be/ NL
9 RTL Groupe RTL http://RTL.be FR
10 Het Belang van Mediahuis http://hbvl.be/ NL
Limburg
11 Le Soir Groupe Rossel http://lesoir.be/ FR
12 7 sur 7 DPG Media nv http://7sur7.be/ FR
13 La Libre IPM Group SA http://lalibre.be/ FR
14 De Morgen DPG Media nv http://demorgen.be/ NL
15 De Tijd MEDIAFIN NV http://tijd.be/ NL
16 l'Avenir Nethys.sa http://lavenir.net/ FR
17 VTM DPG Media nv http://vtm.be NL
18 Sudpresse Editions Groupe Rossel http://www.sudpressedigital.be/ FR
Digitales
19 Knack Roularta Media http://knack.be/ NL
group
20 Le Vif Roularta Media http://levif.be/ FR
group
1
Volgens de cijfers van het Centrum voor Informatie over de Media (CIM) van 2019.
Beslissing ten gronde 85/2022 - 3/58
3. Voormeld onderzoek had betrekking op de controle van de grondbeginselen van de AVG en de e-
Privacyrichtlijn bij het gebruik van cookies en meer bepaald:
- de duidelijkheid en toegankelijkheid van de informatie over cookies;
- de naleving van het verkrijgen van de toestemming van de gebruiker voor het plaatsen van
niet strikt noodzakelijke cookies;
- de (al dan niet) plaatsing van niet strikt noodzakelijke cookies voordat de toestemming van
de gebruiker is verkregen;
- de mogelijkheid voor de gebruiker om zijn aanvaarding van cookies te parametriseren (i.e.
de mogelijkheid om op een algemener niveau te differentiëren in keuzemogelijkheden), in
het bijzonder om cookies te weigeren die bedoeld zijn voor profilering voor
reclamedoeleinden.
Het onderzoek hanteerde de volgende uitgangspunten:
- Further browsing wordt niet langer aanvaard, want het is in strijd met de AVG;
- Om te voldoen aan het toestemmingsvereiste, die een vrijheid van keuze impliceert, moet
de mogelijkheid bestaan om cookies te parametriseren en moet duidelijke informatie over
de doeleinden van de categorieën van cookies worden verstrekt;
- Voor websites die momenteel met een parameterinstelling werken, moet de
doeltreffendheid van die parameterinstelling op technisch niveau worden gecontroleerd.
4. Op 7 oktober 2020 wordt het onderzoek van de Inspectiedienst voor de websites www.knack.be en
www.levif.be afgerond en wordt het dossier door de Inspecteur-generaal overgemaakt aan de
Voorzitter van de Geschillenkamer, overeenkomstigart. 91, §1 en §2 WOG.
5. De verslagen van het onderzoek van de Inspectiedienst bevatten de volgende vaststellingen:
1. Plaatsing van niet strikt noodzakelijke cookies alvorens de toestemming werd
verkregen (potentiële schending van artikel 6.1 a) AVG):
▪ Artikel 6.1 a) AVG en artikel 129 van de wet betreffende elektronische
communicatie (WEC) bepalen dat de toestemming van de betrokkenen vereist is
voor het plaatsen van de cookies, behalve wanneer het gaat om strikt noodzakelijke
cookies;
▪ Uit de technische analyse van de Inspectiedienst blijkt dat er cookies worden
geïnstalleerd voordat de betrokkene zijn toestemming heeft kunnen geven (voor
Knack 66 cookies en voor Le Vif 60 cookies). Dit zijn onder andere derdepartij
Beslissing ten gronde 85/2022 - 4/58
cookies (48 voor Knack, 44 voor Le Vif). Uit het technisch verslag zou ook blijken
dat er talrijke analytische cookies en marketing cookies werden geregistreerd.
▪ Voor zowel de site van Knack als voor Le Vif werden slechts 2 cookies als strikt
noodzakelijk bevonden.
2. Statistische cookies worden geplaatst zonder toestemming (potentiële schending van
artikel 6.1 a) AVG):
▪ Uit het cookie-instellingscherm blijkt dat Roularta Media Group op de websites van
Knack en Le Vif statistische cookies beschouwt als cookies die niet onderworpen
zijn aan een toestemming. Zij staan immers altijd standaard actief en kunnen niet
worden uitgeschakeld;
▪ Eerstepartij ‘statistische’ cookies vallen niet noodzakelijk onder de uitzondering van
‘strikt noodzakelijke cookies’ uit artikel 5.3 lid 2 van de e-Privacyrichtlijn. De
Geschillenkamer oordeelde in een beslissing ten gronde 12/2019 van 17 december
2019 dat statistische cookies niet beschouwd kunnen worden als cookies die strikt
noodzakelijk zijn om een door een abonnee gevraagde dienst te leveren, in de zin
van artikel 129 lid 2 WEC. Zij oordeelde dat het begrip “noodzakelijk” conform de
beschermingsdoeleinden van het Europese gegevensbeschermingsrecht
geïnterpreteerd worden, in de zin dat deze uitzondering enkel in het belang van de
betrokkenen (website bezoekers) en niet in het exclusief belang van de verstrekker
van de informatiedienst ingeroepen mag worden. Ook al vinden website operators
dat deze cookies voor het verstrekken van hun dienst onontbeerlijk zijn, ze zijn per
se niet absoluut noodzakelijk om de door de website bezoeker gevraagde
informatie dienst te leveren.2
▪ De Geschillenkamer sloot in dezelfde beslissing evenwel niet uit dat bepaalde
statistische cookies onder bepaalde voorwaarden wel degelijk strikt noodzakelijke
cookies zouden zijn voor het verstrekken van een door de betrokkene gevraagde
dienst, om bijvoorbeeld een navigatieprobleem te detecteren. Daarvan is in deze
zaak echter geen sprake.3
3. Vooraf aangevinkte vakjes voor de partners (potentiële schending van de artikelen 4.11,
6.1 a) en 7.1 AVG):
▪ De AVG vereist een “verklaring of een ondubbelzinnige actieve handeling” (artikel
4.11 AVG), waardoor alle veronderstelde toestemmingen op basis van een meer
2
GK, Beslissing ten gronde 12/2019 van 17 december 2019,
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-12-2019.pdf,
3
Ibid.
Beslissing ten gronde 85/2022 - 5/58
impliciete wijze van handelen van de betrokkene, niet overeenkomstig de normen
van toestemming van de AVG is. De Inspectiedienst baseert zich op het Planet49
arrest waaruit duidelijk werd dat artikel 2. F (definitie van toestemming) en artikel
5.3 (toestemming voor cookies) van de ePrivacy Richtlijn, gelezen moet worden in
samenhang met artikel 4.11 en artikel 6.1 a) van de AVG.4 Het Hof van Justitie
oordeelde vervolgens dat toestemming niet rechtsgeldig werd verleend wanneer
de opslag van informatie door middel van cookies of de toegang tot reeds op de
eindapparatuur van de gebruiker van de website opgeslagen informatie via cookies
wordt toegestaan door middel van standaard aangevinkte selectievakjes dewelke
de gebruiker moet afvinken ingeval hij weigert zijn toestemming te geven; 5
▪ Uit de technische analyse blijkt dat de cookies van partnerbedrijven standaard op
actief staan;
▪ De Inspectiedienst stelt ook vast dat de verweerster bovendien niet voldoet aan de
verplichting van artikel 7.1 van de AVG die hem oplegt om aan te tonen dat de
betrokkene zijn toestemming heeft gegeven om niet strikt noodzakelijke cookies
te plaatsen.
4. Disclaimer voor derdepartij cookies (potentiële schending van artikel 5.2 a) en 7.1 AVG):
▪ Volgens de Inspectiedienst probeert Roularta Media Group de
verantwoordelijkheid van zich af te schuiven voor derdepartij cookies die bij een
bezoek aan de sites van Knack en Le Vif geplaatst worden;
▪ Zo stelt het cookiebeleid dat Roularta Media Group niet verantwoordelijk is voor
cookies die door derden worden geplaatst en beheerd (onder meer om het mogelijk
te maken informatie te delen via sociale netwerken). Het cookiebeleid stelt ook dat
Roularta Media Group geen controle heeft over bepaalde cookies die op haar
website worden gebruikt.
▪ De Inspectiedienst verwijst wat dit aspect betreft naar het arrest
Wirtschaftsakademie van het Hof van Justitie waarin werd geoordeeld dat de
eigenaar van een website verantwoordelijk is voor de verwerking van cookies die
4
Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, Planet49 (hierna: “arrest Planet49”), paragraaf
65: “Gelet op een en ander moet op de eerste vraag, onder a) en c), worden geantwoord dat artikel 2, onder f), en artikel 5, lid 3, van
richtlijn 2002/58, gelezen in samenhang met artikel 2, onder h), van richtlijn 95/46 alsmede met artikel 4, punt 11, en artikel 6, lid 1,
onder a), van verordening 2016/679, aldus moeten worden uitgelegd dat de in deze bepalingen bedoelde toestemming niet
rechtsgeldig is verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de eindapparatuur van
de gebruiker van een website opgeslagen informatie via cookies wordt toegestaan door middel van een standaard aangevinkt
selectievakje dat deze gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.”
5
Ibid.
Beslissing ten gronde 85/2022 - 6/58
zijn website installeert of uitleest.6 Hij neemt op zijn minst deel aan het bepalen van
de doeleinden en de middelen voor de verwerking van de persoonsgegevens van
de bezoekers van zijn website door toepassingen van derden op zijn website of de
verspreiding van de inhoud van derden in de advertentieruimten van zijn website
toe te staan.7
▪ Vervolgens verwijst de Inspectiedienst naar het verantwoordingsbeginsel in artikel
5.2 van de AVG waaruit blijkt dat de verwerkingsverantwoordelijke
verantwoordelijk is voor de naleving van de beginselen inzake de verwerking van
persoonsgegevens en dat hij moet kunnen aantonen dat deze beginselen in acht
worden genomen.
▪ Deze praktijk gehanteerd door Roularta Media Group moet ook worden gezien als
een schending van artikel 7.1 AVG, aangezien een verwerkingsverantwoordelijke
moet aantonen dat de betrokkene toestemming heeft gegeven voor het plaatsen
van alle cookies die niet strikt noodzakelijk zijn.
5. Verkeerde en gebrekkige informatie (potentiële schending art. 4.11, 12.1, 13 en 14 van de
AVG).
▪ Het cookiebeleid van Roularta Media Group bevat bepalingen die niet in
overeenstemming zijn met de AVG. Zo spreekt het cookiebeleid van impliciete
toestemming voor cookies via de toegang tot de websites van Roularta Media
Group, wat in strijd is met de noodzaak van een wilsuiting door een duidelijke
verklaring of positieve handeling overeenkomstig artikel 4.11 AVG. Ook wordt
vermeld dat voor het delen van gegevens die werden verzameld via cookies geen
specifieke toestemming vereist is, hetgeen in strijd is met het specifieke karakter
van de toestemming voor een gegevensverwerking overeenkomstig artikel 4.11
van de AVG;
▪ Het cookiebeleid zou ook duidelijkheid missen over de noodzaak van het gebruik
van derdepartij cookies als gevolg van technische problemen die al langer dan een
jaar duren;
6
Arrest van het Hof van Justitie van 5 juni 2018, C-210/16, ECLI:EU:C:2018:388, Wirtschaftsakademie, par. 39: “In deze
omstandigheden moet worden geoordeeld dat de beheerder van een fanpagina op Facebook, zoals Wirtschaftsakademie, door het
vastleggen van instellingen naargelang van, met name, zijn doelpubliek en van doelstellingen voor het beheer of de promotie van zijn
activiteiten, deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking van de persoonsgegevens van de
bezoekers van zijn fanpagina. Hiervoor moet deze beheerder, in casu, worden aangemerkt als verantwoordelijke binnen de Unie,
gezamenlijk met Facebook Ireland, voor deze verwerking, in de zin van artikel 2, onder d), van richtlijn 95/46.”
7
Ibid.
Beslissing ten gronde 85/2022 - 7/58
▪ Ook stelt de Inspectiedienst vast dat de namen van de soorten cookies in het
cookiebeleid niet overeenkomen met de namen van de cookiecategorieën in de
cookie-instellingstool, wat de begrijpelijkheid niet ten goede komt;
▪ Daarnaast is in het cookiebeleid geen informatie opgenomen over de
opslagperiodes van cookies. Het cookiebeleid zou immers gewag maken van een
onbeperkte opslagperiode voor cookies;
▪ Het cookiebeleid vermeldt dat de partners gebruik maken van het “IAB Europe
Transparency & Consent Framework” dat ervoor zou zorgen dat derden de AVG
naleven. Echter, van de 449 partners die op de sites van Knack en Le Vif zijn
vermeld, zijn er 312 niet of niet meer door IAB gevalideerd;
▪ Het feit dat de gebruiker het beleid van de 449 verkopers (“vendors”) moet
raadplegen om te weten te komen wat deze bedrijven met zijn gegevens doen en
op basis daarvan een geïnformeerde beslissing te nemen om zijn toestemming te
geven, meer dan illusoir en onuitvoerbaar is. Bovendien zal dit waarschijnlijk leiden
tot het plaatsen van nog meer cookies bij het bezoeken van de links naar deze
partners;
▪ Tot slot wordt vastgesteld dat cookies niet individueel worden gedocumenteerd,
waardoor de gebruiker niet in staat is om te controleren wat er met zijn gegevens
wordt gedaan.
6. Ongerechtvaardigde opslagperiodes van cookies (potentiële schending van artikel 5.1 e)
van de AVG):
▪ De Inspectiedienst verwijst naar artikel 5.1 e) AVG waarin bepaald wordt dat cookies
niet langer mogen worden bewaard dan nodig is om het doel te bereiken. Deze
bewaartermijn mag bijgevolg niet onbepaald zijn. De informatie die wordt
verzameld en opgeslagen in een cookie en de informatie die wordt verzameld als
gevolg van het lezen van een cookie moet worden verwijderd wanneer die niet
langer nodig is voor het nagestreefde doeleinde. Een cookie die is vrijgesteld van
de toestemmingsvereiste moet een levensduur hebben die rechtstreeks verband
houdt met het doel waarvoor deze wordt gebruikt en moet worden ingesteld om te
vervallen zodra het niet langer nodig is, rekening houdend met de redelijke
verwachtingen van de gebruiker. Cookies die zijn vrijgesteld van de
toestemmingvereiste zullen daarom doorgaans dienen te verlopen wanneer de
browsersessie eindigt of zelfs eerder 8;
8
Zie “De levensduur van cookies” en de “Vragen” van het themadossier “Cookies” op de website van de GBA,
https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/internet/cookies.
Beslissing ten gronde 85/2022 - 8/58
▪ Uit het technisch analyserapport blijkt dat de effectieve opslagperiodes onredelijk
lang zijn en dat cookies een levensduur hebben van meerdere jaren. Het
cookiebeleid maakt gewag van een opslagperiode die in principe onbeperkt is.
7. Niet-naleving van de intrekking van de toestemming (potentiële schending artikel 7.3
AVG):
▪ Artikel 7.3 van de AVG bepaalt dat de betrokkene het recht heeft zijn toestemming
te allen tijde in te trekken;
▪ De technische analyse toont aan dat de intrekking van de toestemming niet
effectief is. Uit de technische analyse van de site van Knack blijkt dat het aantal
cookies niet afneemt na terugkeer naar minimale keuzes. De Inspectiedienst stelt
vast dat wanneer zij haar toestemming opnieuw intrekt er geen verandering is in de
hoeveelheid geladen cookies, in tegendeel, het aantal cookies neemt toe.9 Uit de
technische analyse van de website van Le Vif blijkt dat het onmogelijk is om de
cookiebeheertool te bedienen nadat de eerste toestemming is gegeven.
6. Op 6 november 2020 verzoekt de Geschillenkamer de Inspectiedienst op basis van artikel 94, 2° en
96, § 2 WOG om aanvullende informatie omtrent de technische onderzoeksverslagen.
7. Op 30 november 2020 wordt het aanvullend onderzoek afgerond en verstrekt de Inspectiedienst
een aanvullend onderzoeksverslag aan de Geschillenkamer.
I.2. De procedure voor de Geschillenkamer
8. Op 21 december 2020 beslist de Geschillenkamer op grond van artikel 98 WOG dat het dossier
gereed is voor behandeling ten gronde.
9. Op 21 december 2020 wordt de verweerster per aangetekende zending in kennis gesteld van deze
beslissing, alsook van het inspectieverslag en de inventaris van de stukken van het dossier dat door
de Inspectiedienst aan de Geschillenkamer werd overgemaakt. Tevens wordt de verweerster op
grond van artikel 99 WOG in kennis gesteld van de termijnen om haar verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster werd
vastgelegd op 9 februari 2021.
10. Op 6 januari 2021 ontvangt de Geschillenkamer een brief van de raadslieden van de verweerster. In
voormelde brief verzoekt de verweerster om een kopie van het dossier (art. 95, § 2, 3° WOG) en
vraagt zij de Geschillenkamer om gehoord te worden overeenkomstig artikel 98 WOG, teneinde
haar verweermiddelen mondeling te kunnen toelichten.
9
Zie hiervoor pagina 46 van het Inspectieverslag De Knack: “Tussen stap 24 “alles” en stap 26 “minimum” neemt het aantal cookies
niet af”.
Beslissing ten gronde 85/2022 - 9/58
11. Op 18 januari 2021 maakt de Geschillenkamer een kopie van het dossier over aan de verweerster.
12. Op 9 februari 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerster.
Hierna volgt de samenvatting van middelen en argumenten geformuleerd door de verweerster in
die conclusie.
13. In haar conclusie van antwoord werpt de verweerster ten eerste op dat er enkele
onnauwkeurigheden waren tijdens het onderzoek van de GBA.
▪ Middel 1: het onderzoek werd niet uitgevoerd volgens de regels van de kunst die van
toepassing zijn.
o Bij de handmatige cookiescans ontbreken essentiële elementen, te weten de lijst
van bezochte URL’s en specifieke verzoeken met betrekking tot de plaatsing van
cookies. Dit maakt het onmogelijk voor Roularta Media Group om na te gaan welke
URL’s bezocht werden tijdens het onderzoek en of deze URL’s beperkt waren tot
Roularta en of er tijdens elk toestemmingsscenario al cookies aanwezig waren of
geplaatst werden.
o Er werd gebruik gemaakt van cookiebot en Onetrust als classificatiemechanismes
(zij bieden beide geen informatie en methodologie over de gebruikte
classificatiemethode).
o Bovendien gebruikte de Inspectiedienst een gratis versie van beide mechanismen
wat niet bijdraagt tot de geloofwaardigheid van het onderzoek.
o Ten slotte vertonen de classificaties van OneTrust en Cookiebot conflicten, en
wordt nergens in het onderzoek verduidelijkt hoe deze worden opgelost wanneer
de mechanismen worden toegepast op de cookies van Roularta.
o Onduidelijke terminologie: “geen techniek”, “further browsing”, “CMP”,
“cookiewall”, “blijvende banner”, “niet-blijvende banner”.
o Onprofessionele tooling: zowel WEC als Cookie Manager zijn onvolwassen github
repositories volgens elke software ontwikkelstandaard. Hoewel het WEC het
goedkeuringsstempel van de EDPB draagt, is deze repository uitsluitend
ontwikkeld door Robert Riemann, IT Policy Officer bij de Europese toezichthouder
voor gegevensbescherming (EDPS), en wordt hij niet actief onderhouden, afgaande
op het aantal recente pull requests en openstaande issues. Ook Cookie Manager
werd ontwikkeld door een particulier (Rob Wu) die geen specifieke privacy- of
beveiligingsachtergrond heeft.
Beslissing ten gronde 85/2022 - 10/58
▪ Middel 2: het document hanteert bronnen/tools die niet officieel zijn
o De bronnen voor de cookie-indeling kunnen niet worden geverifieerd, en de
gedocumenteerde bronnen zijn niet betrouwbaar. Zowel OneTrust als Cookiebot
hebben een eigen cookie classificatiedatabase gebouwd die controllers
ondersteunt door hun begrip van cookies te bootstrappen tijdens de implementatie
van een CMP.
o Wat betreft OneTrust: de classificaties zijn gebaseerd op de richtlijnen van de ICC
in het Verenigd Koninkrijk, die niet langer beschikbaar zijn, en aangevuld met "een
laag van eenvoudige regels die het mogelijk maken duidelijker beslissingen te
nemen in bepaalde scenario's met randgevallen, en een methodologie voor de
classificatie van beste praktijken wanneer verdere informatie over het gebruik van
bepaalde cookies niet anderszins beschikbaar is".
o Wat betreft Cookiebot: eigendom van het Zweedse privacybedrijf Cybot, geeft
alleen aan dat het bedrijf een wereldwijde cookie-repository bijhoudt zonder
methodologie en bronnen te vermelden.
o De geloofwaardigheid van deze classificaties wordt verder aangetast door het feit
dat de Researcher gebruik maakt van gratis versies van zowel Cookiebot als
OneTrust die tot doel hebben gebruikers aan te zetten een volledig abonnement te
kopen.
o Verwijzing naar website gdpr.eu voor definitie van strikt noodzakelijke cookies:
website is eigendom van het Zwitserse bedrijf Proton Technologies AG. De
Inspectiedienst kon ook verwijzen naar de juiste wetgeving.
o Ratio derde partij cookies: De inspectiedienst beweert dat de verhouding tussen
first en third party cookies in de context van strikt noodzakelijke cookies dient als
proxy voor potentiële inbreuk. Dit terwijl er absoluut geen causaal verband is tussen
het doel van een cookie en het domeinbezit.
o Handmatige cookies bevatten geen tijdstempels. Hierdoor kan Roularta niet
verifiëren of deze cookies daadwerkelijk op volgorde zijn geplaatst en welke
cookies zijn toegevoegd na een specifieke toestemmingsinstelling.
14. Vervolgens gaat de verweerster in op de vaststellingen door de Inspectiedienst:
▪ Vaststelling 1: plaatsing van niet-strikt noodzakelijke cookies alvorens de toestemming
werd verkregen
Beslissing ten gronde 85/2022 - 11/58
o Roularta stelt in haar conclusies dat zij niet kan verifiëren welke cookies op het
moment van de vaststellingen effectief werden geplaatst. Zij verklaart dat door
gebrek aan technische kennis bij Roularta er een gebrekkige implementatie was
van OneTrust. Cookies die zouden geplaatst geweest zijn door adverteerders
zouden normaal gezien de toestemming moeten volgen die via het IAB TCF werd
doorgegeven. Het is volgens Roularta echter zeer moeilijk permanent te
controleren of alle IAB vendors zich aan de afspraken van het IAB TCF houden.
o Roularta geeft wel aan dat zij in 2021 alle nieuws- en content websites onder één
Roularta domein brengen waardoor deze problematiek veel beter gecontroleerd
kan worden.
▪ Vaststelling 2: statistische cookies zonder toestemming
o Volgens Roularta is het plaatsen van statistische cookies vooraleer toestemming
werd verkregen verenigbaar met art. 6.1 a) AVG. Dit omwille van het feit dat de
bedoeling van het plaatsen van deze statistische cookies is om geaggregeerde
basisstatistieken te verzamelen omtrent het gebruik van haar websites, hetgeen
noodzakelijk is voor het businessmodel van de websites:
▪ aan adverteerders moeten betrouwbare en door het CIM (Centrum voor
Informatie over de Media) gecontroleerde bezoekcijfers ter beschikking
gesteld worden;
▪ anderzijds moeten redacties in staat zijn het resultaat van online
gepubliceerde artikels te meten om zo permanent te kunnen evalueren en
bijsturen.
o Verweerster verwijst naar het feit dat geaggregeerde gegevens buiten het
toepassingsgebied vallen van de AVG.
o Bovendien had de GBA nog geen officiële richtsnoeren gepubliceerd omtrent de
verplichting tot het verkrijgen van een toestemming voor het plaatsen van
statistische cookies. Verweerster verwijst vervolgens naar het standpunt van zowel
de CNIL (Franse Autoriteit) als de AP (Nederlandse autoriteit) wat betreft
statistische cookies. Zij stelt dat zij haar praktijk wat betreft statistische cookies
had geïnspireerd op de aanbevelingen van de CNIL en de AP. Overeenkomstig
eigen interpretaties was de praktijk van Roularta wat betreft statistische cookies in
overeenstemming met de WEC en de AVG.
▪ Vaststelling 3: vooraf aangevinkte vakjes voor de partners
Beslissing ten gronde 85/2022 - 12/58
o Roularta is van oordeel dat het gebruik van vooraf aangevinkte vakjes een geldige
toestemming is.
o Partnerbedrijven binnen het OneTrust Consent Management Platform stonden
standaard op “actief”, maar Roularta verduidelijkt dat dit niet betekent dat cookies
door die partnerbedrijven werden geïnstalleerd. Het ging dus niet over een
toestemming tot het plaatsen van cookies, maar over een toestemming voor aan
een aantal partnerbedrijven toegang te geven tot gegevens voor een of meerdere
doeleinden. Als de betrokkene bijvoorbeeld geen advertentiecookies accepteerde,
dan zouden deze partnerbedrijven ook geen advertentiecookies kunnen plaatsen.
o Roularta is van oordeel, in het licht van de rechtspraak van het Hof van Justitie in het
arrest Planet49, dat de praktijk waarbij cookies van partnerbedrijven standaard op
“actief” staan een geldige toestemming uitmaakt in de zin van de artikelen 4.11 en
6.1 a) AVG.
o Roularta wijst op het feit dat zij overgeschakeld zijn naar het Didoma Consent
Management Platform in maart 2020, en dat nu geen enkel van de partnerbedrijven
nog automatisch op “actief” staat en de gebruiker altijd actief een keuze moet
maken.
▪ Vaststelling 4: disclaimer voor derde partij cookies
o Roularta stelt niet verantwoordelijk te zijn voor de verwerking van cookies die door
derden in het kader van het IAB TCF worden geplaatst.
o Verweerster steunt op het IAB Europe-onderzoek voor haar argumentatie:
“Belgium's Data Protection Authority found IAB Europe's Transparency and
Consent Framework does not meet several standards under the EU General Data
Protection Regulation, TechCrunch reports. The DPA determined the framework
fails to comply with the GDPR's principles of transparency, fairness and
accountability. IAB Europe said in response it “respectfully disagree[s] with the
[Belgian DPA]’s apparent interpretation of the law, pursuant to which IAB Europe is
a data controller in the context of publishers’ implementation of the TCF
[Transparency & Consent Framework (TCF)”.
o Vervolgens stelt verweerster dat, mocht de GBA tot een andere conclusie komen,
haar praktijken desalniettemin in overeenstemming zijn met artikel 5.2 AVG. De
verantwoordingsplicht betekent “(I) de noodzaak voor een voor de
verwerkingsverantwoordelijke om passende en doeltreffende maatregelen te
nemen ten einde de beginselen van gegevensbescherming ten uitvoer te leggen…”
Er zijn geen richtsnoeren gepubliceerd door de GBA waarin verduidelijkt wordt wat
Beslissing ten gronde 85/2022 - 13/58
bedoeld wordt onder een minimum aan passende en doeltreffende maatregelen.
Bovendien heeft Roularta ervoor gekozen om gebruik te maken van het IAB
Framework dat omschreven wordt als “the most sophisticated and scrutinised
model of GDPR-compliance for digital advertising in the world”.
o Roularta verduidelijkt dat de disclaimer niet de bedoeling had om de
verantwoordelijkheid van zich af te schuiven maar om eerder aan te geven dat zij niet
in staat is om cookies te blokkeren die door derde partijen geplaatst worden.
o Wat betreft elementen II en III van artikel 5.2 AVG: “(ii) de noodzaak om op verzoek
te kunnen aantonen dat er passende en doeltreffende maatregelen zijn genomen.
De voor de verwerking verantwoordelijke moet derhalve bewijs kunnen overleggen
van (i) hierboven”.
Verweerster geeft toe dat de vermelding in het cookiebeleid dat “Roularta Media
Group niet verantwoordelijk is voor de cookies die door derden worden geplaatst en
beheerd onder meer om het mogelijk te maken informatie te delen via sociale
netwerken” en dat “Roularta Media Group geen controle heeft over bepaalde
cookies die op haar website worden gebruikt” wat ongelukkig geformuleerd was.
Verweerster stelt dat het niet zozeer de bedoeling was om verantwoordelijkheid af
te schuiven, wel om aan te duiden dat Roularta technisch niet in staat is cookies te
blokkeren die door sommige derde partijen (in casu: adverteerders) geplaatst
worden.
Adverteerders en agentschappen kunnen, wanneer een advertentiecampagne op
één van de Roularta sites getoond wordt, via die campagne cookies of scripts
lanceren die door Roularta onmogelijk op voorhand gekend zijn.
Roularta geeft in haar conclusies aan dat de vermelding in het cookiebeleid in
kwestie werd verwijderd omdat er sinds het IAB TCF-framework van kan worden
uitgegaan dat IAB vendors conform dit framework geen cookies of scripts meer
plaatsen tenzij er zowel toestemming is voor de cookies en de betrokken vendor
goedgekeurd werd in de lijst van partnerbedrijven.
▪ Vaststelling 5: verkeerde en gebrekkige informatie
Omtrent de vermelding “.. het gebrek aan duidelijkheid in het cookiebeleid
omtrent de noodzaak van het gebruik van derde partij cookies is te wijten aan
technisch problemen”:
o Standpunt van Roularta: Op het ogenblik van de vaststelling door de GBA, was
dit probleem reeds verholpen maar stond het wel nog in het privacy-beleid. Bij
Beslissing ten gronde 85/2022 - 14/58
update van het cookiebeleid op 23 juni 2020 werd deze vermelding verwijderd.
Het probleem was concreet dat Knack een nieuw registratiesysteem gebruikte
sinds november 2018. Dit registratiesysteem maakte gebruik van functionele
cookies, om ervoor te zorgen dat gebruikers zich niet telkens opnieuw moesten
aanmelden. Technisch gezien was deze cookie een derde-partij cookie. Er bleek
een probleem te zijn voor gebruikers die standaard derde partij cookies
weigerden (zij moesten zich telkens opnieuw aanmelden). Dit probleem werd
aangekaart bij de leverancier van het registratiesysteem met het oog op een
snelle oplossing. Een oplossing werd gezocht, maar bleek moeilijker te zijn dan
gedacht. Men moest een manier vinden waarop mensen die alleen first-party
cookies aanvaarden aangemeld kunnen blijven op de website.
Omtrent het niet overeenkomen van de namen van de cookies in het
cookiebeleid, enerzijds, en de categorieën van cookies in de cookie-
instellingstool, anderzijds:
o Standpunt van Roularta: Roularta kon niet anders dan de onduidelijke
bewoordingen gebruikt door IAB TCF te gebruiken op haar consenttool (op
straffe van uitsluiting van het TCF).
Omtrent het feit dat het cookiebeleid geen informatie zou bevatten
betreffende de opslagperiodes:
o Zie uiteenzetting verweer over vaststelling 6.
Omtrent de vermelding in de toestemmingsbeheerstool met betrekking tot het
gebruik van het “IAB Europe Transparency & Consent Framework”:
o De vermelding en beknopte toelichting hadden enkel als doel transparantie te
creëren en de gebruiker te informeren over de manier waarop Roularta het
gebruik van cookies wil controleren, namelijk door zich aan te sluiten bij een
internationaal erkende standaard binnen de digitale advertising wereld.
Omtrent het feit dat de gebruiker van de website het cookiebeleid van de 449
vendors zou moeten raadplegen ten einde een idee te krijgen van wat er
gebeurd met haar gegevens:
o Een verplichting die haar werd opgelegd door het IAB TCF.
Omtrent het niet individueel documenteren van de cookies:
o Ondertussen verholpen door een update van het cookiebeleid.
▪ Vaststelling 6: ongerechtvaardigde opslagperiodes van cookies
Beslissing ten gronde 85/2022 - 15/58
o Verweerster wijst hier opnieuw naar het gebrek aan precieze richtlijnen wat
betreft de levensduur van cookies.
o Zij stelt dat het hierdoor erg moeilijk is voor bedrijven om (1) te begrijpen wat de
levensduur is wanneer cookies “niet langer mogen bewaard worden dan de tijd
die nodig is om het nagestreefde doeleinde te bereiken” en (2) hun praktijken
dienen aan te passen om aan de GBA te voldoen.
o De Inspectiedienst stelde ook foutief dat er geen informatie over de
bewaartermijn van cookies te vinden is in het privacybeleid (stuk 8): “La durée
de conservation varie de cookie à cookie, en général les cookies sont stockés
jusqu’à ce que l’utilisateur supprime les cookies (...)”. Paragraaf 11 van het
privacy beleid (Stuk 8) bevat in feite twee soorten informatie over de bewaartijd
van cookies: (i) het feit dat de duur varieert van cookie tot cookie (ii) het feit dat
de gebruiker cookies kan uitschakelen, wat resulteert in nul bewaartijd
(aangezien cookies niet actief zijn). Het is dus onjuist te stellen dat Roularta een
bewaringstermijn heeft die in beginsel onbeperkt is. Het is juist dat er geen
concrete informatie te vinden was over de opslagtermijn van cookies, maar het
gaat te ver dat de Inspectiedienst dit gelijk stelt aan een onbeperkte duur.
o Verweerster verwijst ook naar een aangepaste privacy beleid op 23 juni 2020,
waar nu een gedetailleerde beschrijving van de bewaringstermijn terug te
vinden is.
▪ Vaststelling 7: Niet-naleving van de intrekking van de toestemming
o Dit was door de technische problemen met betrekking tot het gebruik van de
cookietool OneTrust. Het probleem werd opgelost door implementatie van het
Consent Management Platform Didomi.
o Het intrekken van de toestemming moet even eenvoudig zijn als het geven
ervan: Roularta voorziet een eenvoudige en gemakkelijke toegankelijke tool, en
dat zonder het niveau van dienstverlening te verlagen.
o Roularta kan bovendien niet zelf een bepaalde cookie effectief verwijderen van
het toestel, dit dient gedaan te worden door de betrokken persoon zelf.
o Samengevat is het gevolg van het intrekken van de toestemming: “het
blokkeren en het achteraf verwijderen van cookies in de browser van de
gebruiker, er zal geen gegevensverwerking meer plaatsvinden”. De cookies
zullen wel nog steeds geïnstalleerd staan op het toestel van de gebruiker, maar
zij zullen inactief zijn en niet meer functioneel zijn.
Beslissing ten gronde 85/2022 - 16/58
15. Op 6 december 2021 wordt de verweerster ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 17 december 2021.
16. Op 17 december 2021 wordt de verweerster gehoord door de Geschillenkamer.
17. Op 23 december 2021 wordt het proces-verbaal van de hoorzitting aan de raadslieden van de
verweerster overgemaakt.
18. Op 6 januari 2022 ontvangt de Geschillenkamer de opmerkingen van de verweerster met
betrekking tot het proces-verbaal, dewelke zij mee opneemt in haar beraad.
19. Op 20 april 2022 heeft de Geschillenkamer aan de verweerster het voornemen kenbaar gemaakt
om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan
teneinde de verweerster de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief
wordt opgelegd.
20. Op 11 mei 2022 ontvangt de Geschillenkamer de reactie van de verweerster op het voornemen tot
het opleggen van een administratieve geldboete, alsmede het bedrag daarvan.
II. Motivering
II.1. Bevoegdheid van de Gegevensbeschermingsautoriteit
21. Overeenkomstig artikel 4, §1 WOG is de Gegevensbeschermingsautoriteit “verantwoordelijk voor
het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens,
in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de
verwerking van persoonsgegevens.” Uit de bewoordingen van de Memorie van Toelichting van de
WOG blijkt dat de bevoegdheid van de GBA zeer ruim dient te worden opgevat:
“De Gegevensbeschermingsautoriteit treedt op ten aanzien van wetgeving die
bepalingen bevatten inzake de verwerking van persoonsgegevens, zoals bijvoorbeeld
de wet tot regeling van een Rijksregister, de wet houdende oprichting en organisatie van
een Kruispuntbank van de sociale zekerheid, de wet tot oprichting van een
Kruispuntbank van Ondernemingen, enz.”10
Uit voorgaande kan worden afgeleid dat de bedoeling van de wetgever erin bestond de GBA een
algemene en horizontale bevoegdheid te geven wat betreft de bescherming van
persoonsgegevens. De GBA heeft dus niet enkel een toezichtbevoegdheid wat betreft de AVG,
10
Belgische Kamer van Volksvertegenwoordigers, Wetsontwerp tot oprichting van de gegevensbeschermingsautoriteit, 23 augustus
2017, DOC 54 2648/001, 13.
Beslissing ten gronde 85/2022 - 17/58
doch ook wat betreft overige wetgeving die betrekking heeft op de verwerking van
persoonsgegevens.
22. Wat betreft het gebruik van cookies dient in dit verband te worden verwezen naar de Europese
Richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de
bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (“e-
privacyrichtlijn”), die in Belgisch recht gedeeltelijk werd omgezet door de Wet Elektronische
Communicatie (WEC). In het bijzonder artikel 5, lid 3 e-Privacyrichtlijn is hierbij van belang, zoals
destijds omgezet in (gewezen) artikel 129 WEC (cf. infra). Eerstgenoemde bepaling luidt als volgt:
"De lidstaten dragen ervoor zorg dat de opslag van informatie of het verkrijgen van toegang
tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of gebruiker,
alleen is toegestaan op voorwaarde dat de betrokken abonnee of gebruiker toestemming
heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig
Richtlijn 95/46/EG, onder meer over de doeleinden van de verwerking. Zulks vormt geen
beletsel voor enige vorm van technische opslag of toegang met als uitsluitend doel de
uitvoering van de verzending van een communicatie over een elektronisch
communicatienetwerk, of, indien strikt noodzakelijk, om ervoor te zorgen dat de aanbieder
van een uitdrukkelijk door de abonnee of gebruiker gevraagde dienst van de
informatiemaatschappij deze dienst levert.”
23. Wat betreft de bevoegdheid van de Geschillenkamer met betrekking tot de e-Privacyrichtlijn en de
WEC verwijst de Geschillenkamer naar haar eerdere beslissingen 12/2019 van 17 december 2019,
19/2021 van 12 februari 2021, 24/2021 van 19 februari 2021 en 11/2022 van 21 januari 2022.
24. De Geschillenkamer onderlijnt voorts dat zij als orgaan van de GBA bevoegd is om te oordelen over
de rechtsgeldigheid van persoonsgegevensverwerkingsactiviteiten overeenkomstig artikel 4, §1
WOG, alsook artikel 55 AVG, en dit in het licht van artikel 8 van het Handvest van de grondrechten
van de Europese Unie.
25. Voorts was ten tijde van de vaststellingen van de Inspectiedienst, naar Belgisch recht, het Belgisch
Instituut voor postdiensten en telecommunicatie (BIPT) de bevoegde autoriteit voor de wet
betreffende de elektronische communicatie (WEC), met inbegrip van artikel 129 van die wet, dat
uitvoering geeft aan artikel 5, lid 3 van de e-privacyrichtlijn. Desalniettemin hangt het begrip
toestemming onder de e-privacyrichtlijn onlosmakelijk samen met de vereisten van toestemming
onder de AVG, hetgeen ook werd verduidelijkt in richtlijnen omtrent toestemming door de WP29 als
rechtsvoorganger van het Europees Comité voor gegevensbescherming (hierna: “EDPB”). 11
11
EDPB, Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, o.m. par. 7.
Beslissing ten gronde 85/2022 - 18/58
26. Daarnaast dient in dit verband in het bijzonder te worden verwezen naar Advies 5/2019 van de
EDPB betreffende de wisselwerking tussen de e-Privacyrichtlijn en de Algemene Verordening
Gegevensbescherming, waarin de EDPB stelt:
“De gegevensbeschermingsautoriteiten zijn bevoegd om de AVG te handhaven. Het enkele
feit dat een subgedeelte van de verwerking binnen het toepassingsgebied van de e-
Privacyrichtlijn valt, beperkt de bevoegdheid van de gegevensbeschermingsautoriteiten
uit hoofde van de AVG niet”.12
27. In voormeld advies stelt de EDPB dat de bepalingen uit de e-privacyrichtlijn de AVG immers
“verduidelijken en aanvullen” met betrekking tot de verwerking van persoonsgegevens in de sector
van de elektronische communicatie13, met het oog op het waarborgen van de naleving van de
artikelen 7 en 8 van het Handvest van de Grondrechten van de Europese Unie. Artikel 5, lid 3 van de
e-privacyrichtlijn wordt hierbij aangehaald als voorbeeld van dergelijke “specificeringsbepaling”.14
28. Dat de bepalingen van de e-privacyrichtlijn - alsook diens omzettingsbepalingen - als een
verduidelijking van en een aanvulling op de bepalingen van de AVG dienen te worden beschouwd,
wordt tevens expliciet bevestigd in de Memorie van Toelichting bij het wetsontwerp van de WEC:
“Afdeling 2 van hoofdstuk III van titel IV is voornamelijk gewijd aan de omzetting van
Richtlijn 2002/58/EG van 12 juli 2002 van het Europees Parlement en de Raad betreffende
de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer
in de sector elektronische communicatie (de zogenaamde «Richtlijn betreffende privacy en
elektronische communicatie», hierna kortweg: «de Privacyrichtlijn»). De bepalingen van
deze afdeling stellen op sommige plaatsen een specifiek privacybeschermend regime in,
dat aangepast is aan de karakteristieken en noden van de sector van de elektronische
communicatie. Op andere plaatsen moeten de bepalingen van deze afdeling gezien worden
als een aanvulling van de bepalingen van de wet van 8 december 1992 betreffende de
bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van
persoonsgegevens (hierna kortweg: “de Privacywet’).” 15 (eigen onderlijning)
29. In zijn arrest Planet49 oordeelde het Hof van Justitie bovendien dat het verzamelen van cookies als
een verwerking van persoonsgegevens kan worden aangemerkt. 16 Het Hof bevestigde in voormeld
arrest dat de bedoeling van artikel 5, lid 3 e-privacyrichtlijn erin bestaat om “de gebruiker te
beschermen tegen een inmenging in zijn privéleven, ongeacht of die inmenging betrekking heeft op
12
EDPB, advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, met
name wat betreft de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, randnr. 69.
13
Ibid, randnr. 38.
14
Ibid, randnr. 41.
15
Wetsontwerp betreffende de elektronische communicatie, Parl. St. Kamer, DOC 51 1425/001, p. 73. Het huidige artikel 129 is in het
wetsontwerp artikel 138.
16
Arrest Planet49, § 45.
Beslissing ten gronde 85/2022 - 19/58
persoonsgegevens”.17 Verder stelde het Hof van Justitie dat artikel 5, lid 3 van de e-privacyrichtlijn
uitgelegd moet worden in het licht van de AVG, en meer bepaald de artikelen 4.11, 6.1 a)
(toestemmingsvereiste) en 13 AVG (te verstrekken informatie).
30. Hieromtrent wijst de Geschillenkamer ook naar het voorstel voor de e-Privacyverordening waarin
staat bepaald dat het toezicht en de naleving van de verordening zal worden toevertrouwd aan de
toezichthoudende autoriteiten die verantwoordelijk zijn voor het toezicht op Verordening (EU)
2016/679.18
31. De Geschillenkamer wijst er tot slot op dat sinds de inwerkingtreding van de wet van 21 december
2021 houdende omzetting van het Europees Wetboek voor elektronische communicatie en
wijziging van diverse bepalingen inzake elektronische communicatie op 10 januari 2022 de GBA
voortaan overeenkomstig het Belgisch recht bevoegd is voor het toezicht op de bepalingen inzake
de plaatsing en het gebruik van cookies (i.e. “de opslag van informatie of het verkrijgen van toegang
tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker”).
Voormelde wet bracht onder meer wijzigingen aan de WEC. Meer bepaald voorziet artikel 256 van
de wet van 21 december 2021 de opheffing van artikel 129 WEC en de overheveling van deze
bepaling naar de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met
betrekking tot de verwerking van persoonsgegevens (WVP).19 Artikel 10/2 WVP luidt voortaan als
volgt:
“In toepassing van artikel 125, § 1, 1°, van de wet van 13 juni 2005 betreffende de elektronische
communicatie en onverminderd de toepassing van de Verordening en deze wet is de opslag van
informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de
eindapparatuur van een abonnee of een gebruiker slechts toegestaan op voorwaarde dat:
1° de betrokken abonnee of gebruiker, overeenkomstig de voorwaarden bepaald in de
Verordening en in deze wet, duidelijke en precieze informatie krijgt over de doeleinden van de
verwerking en zijn rechten op basis van de Verordening en van deze wet;
2° de abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn
overeenkomstig de bepaling onder 1°.
Het eerste lid is niet van toepassing voor de technische opslag van informatie of de toegang tot
informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als
uitsluitend doel de verzending van een communicatie via een elektronische-communicatienetwerk
17
Arrest Planet49, §69.
18
Artikel 18, Voorstel voor een Verordening van het Europees Parlement en de Raad met betrekking tot de eerbiediging van het
privéleven en de bescherming van persoonsgegevens in elektronische communicatie, en tot intrekking van richtlijn 2002/58/EG,
COM/2017/010 final.
19
Wet van 21 december 2021 houdende omzetting van het Europees Wetboek voor elektronische communicatie en wijziging van diverse
bepalingen inzake elektronische communicatie, B.S. 31 december 2021.
Beslissing ten gronde 85/2022 - 20/58
uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren
wanneer dit hiervoor strikt noodzakelijk is.”
Gelet op het feit dat de GBA over de residuaire bevoegdheid beschikt tot toezicht op de bepalingen
van de WVP, wordt hiermee de materiële bevoegdheid van de GBA inzake de plaatsing en het
gebruik van cookies bevestigd.
32. De Geschillenkamer wijst er evenwel op dat, gelet op het feit dat deze wijziging dateert van na de
sluiting van de debatten in onderhavige zaak, in casu verder rekening zal worden gehouden met het
wetgevend kader zoals het bestond ten tijde van de (aanvang van de) procedure voor de GBA.
33. In elk geval is de GBA dus bevoegd om te oordelen – ook onder de wettelijke situatie die gold ten
tijde van de vaststellingen van de Inspectiedienst – om te oordelen over de rechtsgeldigheid van een
gegeven toestemming voor het plaatsen van cookies. De GBA is in die zin eveneens bevoegd om
haar controlebevoegdheid uit te oefenen inzake alle andere algemene voorwaarden die worden
opgelegd door de AVG bij activiteiten die een verwerking van persoonsgegevens inhouden – zoals
de verplichtingen inzake transparantie en informatie (artikel 12 e.v. AVG). 20
II.2. Introductie betreffende de algemene principes inzake het gebruik van cookies
34. Alvorens in te gaan op de vaststellingen opgenomen in het verslag van het onderzoek, acht de
Geschillenkamer het nuttig om de algemene beginselen betreffende het gebruik van cookies en
andere traceringsmiddelen in herinnering te brengen. 21
35. De term "traceringsmiddelen" omvat cookies en HTTP-variabelen, die kunnen worden geplaatst via
webbakens of webpixels, flash cookies, toegang tot terminalinformatie van API's (Local Area
Network), en informatie uit API's (LocalStorage, IndexedDB, reclame-identifiers zoals identifiers
zoals IDFA of Android ID, GPS-toegang, enz.), of een andere identificator die wordt gegenereerd
door een software of een besturingssysteem (serienummer, MAC-adres, unieke terminalidentifier
(UDI), of een reeks gegevens die wordt gebruikt om een unieke een unieke vingerafdruk van de
terminal (bv. via vingerafdrukken).
36. Cookies en andere traceringsmiddelen kunnen worden onderscheiden aan de hand van
verschillende criteria, zoals het doel dat zij dienen, het domein waarin zij zijn geplaatst of hun
levensduur.
20
Vergelijking omtrent de reikwijdte van deze controlebevoegdheid eveneens het arrest van het Hof van Justitie van de EU van 15 juni
2021, C-645/19, ECLI:EU:C:2021:483, par. 74.
21
Zie te dezen ook de themapagina op de website van de Gegevensbeschermingsautoriteit, beschikbaar via:
https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/internet/cookies
Beslissing ten gronde 85/2022 - 21/58
37. Cookies kunnen voor diverse doeleinden worden gebruikt (bijvoorbeeld ter ondersteuning van de
communicatie over het netwerk, voor publieksmeting, voor marketing- en/of gedragsgerichte
reclamedoeleinden, voor authentificatiedoeleinden, etc.).
38. Zij kunnen onder meer worden gebruikt om de communicatie via het netwerk te ondersteunen
(inlogcookies), om het publiek van een website te meten (cookies voor bezoekersaantal, ook wel
"analytische cookies" of "statistische cookies" genoemd), voor marketing- en/of reclame op basis
van gedrag, voor authenticatiedoeleinden, voor de beveiliging van websites, voor load balancing,
voor het personaliseren van de gebruikersinterface of om het gebruik van een mediaspeler mogelijk
te maken (flash cookies).
39. Cookies kunnen eveneens worden onderscheiden op basis van het domein waardoor zij worden
geplaatst op uw toestel. De "eerste partij" cookies worden rechtstreeks geplaatst in de adresbalk
van de browser door het geregistreerde domein. Het gaat met andere woorden om cookies die de
eigenaar van de website die u bezoekt, rechtstreeks plaatst. De "derde partij" cookies worden
geplaatst door een domein dat verschilt van het domein dat door u bezocht wordt. Dit is het geval
wanneer de website elementen incorporeert uit andere websites, zoals beelden, sociale media
“plugins” (bijvoorbeeld de "vind-ik-leuk knop" van Facebook) of advertenties. Wanneer deze
elementen door de browser of andere software vanop andere websites worden opgehaald, kunnen
deze websites ook cookies plaatsen die dan kunnen worden gelezen door de websites die ze hebben
geplaatst. Deze "derde partij cookies" stellen deze derden in staat om het gedrag van de
internetgebruikers in de loop van de tijd en op tal van websites te volgen en op basis van deze
gegevens profielen van personen aan te maken (profilering), zodat zij in de toekomst bijvoorbeeld
nauwkeuriger en doelgerichter marketing kunnen plaatsen tijdens de toekomstige surfsessies van
deze internetgebruikers, die op die manier worden opgespoord.
40. Cookies kunnen verder worden onderscheiden al naargelang hun levensduur. In dit verband wordt
een onderscheid gemaakt tussen "sessiecookies" en “persistente cookies”. Sessiecookies worden
automatisch verwijderd wanneer u uw browser sluit, terwijl de "persistente cookies" in uw toestel
(computer, smartphone, tablet, etc.) opgeslagen blijven tot een vooraf bepaalde vervaldatum (die
desgevallend kan worden uitgedrukt in minuten, dagen of jaren).
41. Verder dient vanuit juridisch standpunt een onderscheid te worden gemaakt tussen, enerzijds, de
traceringsmiddelen dewelke de voorafgaandelijke toestemming vereisen van de gebruiker en,
anderzijds, deze waarvoor dit niet vereist is.
42. Overeenkomstig artikel129 WEC zijn er twee situaties waarin voor het plaatsen of lezen van cookies
geen voorafgaandelijke toestemming van de betrokkene dient te worden verkregen: 22
22
Voor zover van belang luidt artikel 129 WEC als volgt: “De opslag van informatie of het verkrijgen van toegang tot informatie die
reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker is slechts toegestaan op voorwaarde dat […] 2° de
abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn overeenkomstig de bepalingen in 1°. Het eerste lid is
Beslissing ten gronde 85/2022 - 22/58
1) wanneer de cookie als uitsluitend doel heeft de verzending van een communicatie via een
elektronische-communicatienetwerk uit te voeren (bijvoorbeeld cookies voor load balancing); en
2) wanneer de cookie strikt noodzakelijk is om een uitdrukkelijk door de abonnee of eindgebruiker
gevraagde dienst te leveren (zoals bijvoorbeeld cookies die het mogelijk maken het winkelwagentje
te bewaren of cookies die worden gebruikt om de veiligheid van een bankapplicatie te garanderen).
43. Voor de plaatsing van andere cookies en traceringsmiddelen is wel de voorafgaandelijke
toestemming van de gebruiker vereist, in overeenstemming met artikel 129 WEC.
44. Het betreft onder meer cookies of andere traceringsmiddelen die zorgen voor de weergave van
(gepersonaliseerde) reclame of betreffende functies voor het delen op sociale netwerken. Bij
gebrek aan een geldige toestemming kunnen deze niet strikt noodzakelijke cookies niet op het
toestel van de gebruiker worden geplaatst of gelezen.
45. De Geschillenkamer wijst erop dat, teneinde in overeenstemming te zijn met de AVG, de voormelde
toestemming geïnformeerd, specifiek en vrij dient te zijn en dat de gebruiker deze even eenvoudig
moet kunnen intrekken als ze werd gegeven (cf. ook infra titel II.5.6).
II.3. Wat betreft het vermeende gebrek aan richtsnoeren
46. De verweerster werpt in haar conclusie van antwoord op dat cookie compliance een technisch en
complex onderwerp is dat zowel technische als juridische expertise vereist. Ze stelt dat de GBA
onvoldoende ondersteuning zou hebben geboden aan bedrijven om de toepasselijke regelgeving
correct toe te passen.
47. De verweerster stelt meer bepaald dat de GBA, ten tijde van de vaststellingen door de
Inspectiedienst in onderhavig dossier, geen richtsnoeren had uitgevaardigd betreffende het gebruik
van cookies. Dit in tegenstelling tot de Franse toezichthoudende autoriteit (CNIL).
48. De Geschillenkamer wijst erop dat zowel op het niveau van de Europese Unie, als op het Belgisch
niveau, reeds adviezen en standpunten van autoriteiten bestonden omtrent cookies onder de e-
privacyrichtlijn vele jaren vóór 25 mei 2018. 23 Op het Europese niveau vaardigde de Werkgroep
Artikel 29 in 2012 een opinie uit omtrent de uitzonderingen voor toestemming voor cookies. 24 Op
het Belgisch niveau vaardigde de rechtsvoorganger van de GBA, de Commissie voor de
niet van toepassing voor de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een
abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie via een elektronische-
communicatienetwerk uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit
hiervoor strikt noodzakelijk is." (de Geschillenkamer onderlijnt)
23
Overeenkomstig artikel 99 AVG is de Verordening in voege sinds die datum.
24
WP29, Opinion 04/2012 on Cookie Consent Exemption (“Advies 4/2012 over ontheffing van de toestemmingsverplichting voor
cookies”), 7 juni 2012, WP194, beschikbaar via: https://ec.europa.eu/justice/article-29/documentation/opinion-
recommendation/files/2012/wp194_en.pdf.
Beslissing ten gronde 85/2022 - 23/58
Bescherming van de Persoonlijke Levenssfeer (“CBPL”), in 2015 reeds richtlijnen omtrent het
gebruik van cookies uit.25 Bovendien bestonden op het moment van het vaststellingen van de
Inspectiedienst, en bestaan er op vandaag, heel wat richtsnoeren en adviezen die rechtstreeks
betrekking hebben op de situatie inzake cookies die zich in voorliggend dossier voordoet, zoals
richtsnoeren betreffende een rechtsgeldige toestemming.26
49. Het klopt inderdaad dat de juridische situatie, alsook de technische mogelijkheden met en voor
cookies, sinds de inwerkingtreding van de AVG gewijzigd zijn. De Geschillenkamer heeft reeds in
2019 haar eerste beslissing betreffende cookies genomen, dewelke ook gepubliceerd werd op de
website van de Gegevensbeschermingsautoriteit.27
50. Hoewel de Geschillenkamer duidelijk erkent dat zowel de EDPB als de GBA zelf als
toezichthoudende autoriteit bevoegdheden hebben om adviezen en richtsnoeren te formuleren en
publiceren in verband met de bescherming van persoonsgegevens, wijst de Geschillenkamer er
evenwel op dat dit tot het taken- en bevoegdheidspakket van die instellingen hoort, en niet op zich
een verplichting uitmaakt.28 Het kan immers niet van toezichthoudende autoriteiten verwacht
worden dat zij in een gedigitaliseerde samenleving over elk (gewijzigd) aspect van de verwerking van
persoonsgegevens proactief een positie innemen, waarbij het ontberen van zo’n positionering enige
handhaving in de weg zou staan.
51. Om die reden heeft de Europese wetgever er immers voor gekozen de verantwoordelijkheid voor
de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke te plaatsen, zonder
voorbehoud bij het ontbreken van duidelijkheid omtrent bepaalde technische situaties. 29 Onder die
verwerkingsverantwoordelijkheid valt ook het aantonen dat betrokkenen een rechtsgeldige
toestemming verleenden, alsook de adequate opvolging van de gevolgen van het intrekken ervan,
hetgeen uiterst relevant is in het voorliggend geval.30
52. Het is te dezen de verweerster als beheerder van de litigieuze websites die een keuze maakt voor
een bepaalde structuur door een bepaalde aanbieder voor het plaatsen van cookies (keuze voor
bepaalde “middelen”) om via die weg onder meer publicitaire inkomsten te vergaren (keuze voor een
bepaald “doel”). Door de keuze van de verweerster voor een bepaald beheer van haar websites, is
het de de complexiteit van de verwerkingsactiviteiten van de verweerster op zich die noopt tot een
25
CBPL, Aanbeveling uit eigen beweging over het gebruik van cookies nr. 01/2015.
26
Op het moment van de vaststellingen waren onder meer de volgende richtsnoeren relevant: WP29, Richtsnoeren omtrent
Toestemming onder Verordening 2016/679, WP259 rev.01, zoals overgenomen door het Europees Comité voor
Gegevensbescherming dd. 25 mei 2018: EDPB, Endorsement 1/2018, beschikbaar via:
https://edpb.europa.eu/sites/default/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
27
Geschillenkamer Gegevensbeschermingsautoriteit, Beslissing 12/2019 van 17 december 2019, beschikbaar via:
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-12-2019.pdf.
28
Resp. artikelen 70, punt e) en 58, lid 3, punt b) AVG.
29
Artikelen 5, lid 2, alsook 24 en 25 AVG;
30
Vergelijk ter informatieve titel: E.M. FRENZEL, “DS-GVO art. 5. Grundsätze für die Verarbeitung personenbezogener Daten” in Boris
P Paal and Daniel Pauly (eds), Datenschutz-Grundverordenung Bundesdatenschutzgesetz (CH Beck 2021), (85)106, rn. 52.
Beslissing ten gronde 85/2022 - 24/58
degelijk - en weliswaar technisch complex - onderzoek en vervolgens analyse van een feitelijke
situatie. Het vermeende ontbreken van concrete richtlijnen in de huidige context kan dus geen
dienstig argument zijn tegen een inbreuk op de gegevensbeschermingswetgeving.
II.4. Wat betreft de beweerde onnauwkeurigheden tijdens het onderzoek
53. De verweerster werpt in eerste instantie op dat het onderzoek van de Inspectiedienst niet
uitgevoerd zou zijn volgens de regels van de kunst. Samengevat stelt de verweerster dat:
- er discrepanties bestaan tussen de resultaten verkregen via de geautomatiseerde en de
manuele cookiescan;
- er een gebrek is aan documentatie van de cookieclassificatie door Onetrust en Cookiebot;
- er onduidelijke terminologie wordt gehanteerd in het onderzoeksverslag;
- er gebruik wordt gemaakt van onprofessionele tooling.
54. Ten tweede beweert de verweerster dat de Inspectiedienst bronnen en tools gebruikte die niet
officieel zijn.
55. De Geschillenkamer wijst er vooreerst op dat overeenkomstig artikel 72 WOG de inspecteur-
generaal en de inspecteurs mogen “overgaan tot elk onderzoek, elke controle en elk verhoor, alsook
alle inlichtingen inwinnen die zij nodig achten om zich ervan te vergewissen dat de grondbeginselen
van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die
bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens, waarop zij
toezicht uitoefenen, werkelijk worden nageleefd”.
56. Artikel 67 WOG bepaalt dat “de onderzoeksmaatregelen aanleiding [kunnen] geven tot een proces-
verbaal tot vaststelling van een inbreuk. Dat proces-verbaal heeft bewijskracht tot het tegendeel
bewezen is”. De Inspectiedienst heeft meerdere onderzoekshandelingen gesteld waarvan zij de
resultaten uitgebreid heeft neergeschreven in verslagen.
57. De vaststellingen van de Inspectiedienst zijn bestuurshandelingen die ressorteren onder de
materiële motiveringsplicht, en moeten om die reden worden gedragen door "motieven die in rechte
en in feite aanvaardbaar zijn en die daarom moeten kunnen worden gecontroleerd ."31 Onder de
materiële motiveringsplicht is het daarentegen niet vereist dat zulke motieven expliciet vermeld
worden in de bestuurshandeling zelf. Het is dus met andere woorden niet vereist dat de
Inspectiedienst alle aspecten – zoals het uitgebreid schetsen van de gebruikte programmeertaal
31
I. Opdebeek & S. De Somer, Algemeen Bestuursrecht (2e editie), 2019, 435, par. 944.
Beslissing ten gronde 85/2022 - 25/58
waarbinnen en waarmee zij onderzoeksinstrumenten inzet, de technische terminologie en zo meer
– van haar vaststellingen formeel motiveert.
58. Het is slechts in het kader van "beslissingen met individuele draagwijdte", zoals de voorliggende van
de Geschillenkamer, dat in de beslissing zelf (expliciet) de juridische en feitelijke overwegingen
moeten worden vermeld die aan de beslissing ten grondslag liggen, en dit op afdoende wijze.32 De
Belgische wetgever heeft de toetsing van de onderzoekshandelingen van de Inspectiedienst
overigens uitdrukkelijk beperkt, daar zij het aan de Inspecteur-Generaal en diens inspecteurs laat
om ervoor te zorgen "dat de middelen die zij aanwenden passend en noodzakelijk zijn." (art. 64, §2
WOG). Het is dan ook niet aan de Geschillenkamer om de keuzes voor bepaalde
onderzoeksmiddelen te toetsen, waar zij kennelijk binnen de bevoegdheden van de Inspectiedienst
ressorteren, en waarbij de principes van algemeen behoorlijk bestuur kennelijk zijn nageleefd .33
59. Wat betreft de door de verweerster ingeroepen discrepanties tussen de manuele en de
geautomatiseerde cookiescan, wijst de Geschillenkamer erop dat voormelde verschillen te
verklaren zijn door het feit dat bij de handmatige scan manueel extra bewerkingen werden verricht,
dan wel de “maximale” toestemming werd verleend in de cookiebanner, waardoor bijkomende
cookies werden geplaatst. Dit is evenwel niet mogelijk bij de geautomatiseerde cookiescan –
uitgevoerd via de Website Evidence Collector (WEC) – die geen toestemming kan verlenen en via
dewelke bijgevolg enkel die cookies worden gedetecteerd die zonder toestemming werden
geplaatst.
60. Er dient er in dit verband bovendien op te worden gewezen dat zulks uitdrukkelijk werd aangegeven
in het technisch onderzoeksverslag opgesteld door de Inspectiedienst.34
61. Voor wat betreft de cookies die zonder toestemming werden geplaatst, dient erop te worden
gewezen dat de verschillende methodes wel effectief nagenoeg dezelfde resultaten opleverden.
62. In dit verband dient bovendien te worden benadrukt dat het technisch geenszins mogelijk is dat
cookies zouden worden gedetecteerd die niet werden geplaatst. Indien de detectie van de cookies
onzorgvuldig zou zijn gebeurd - quod non - dan zou dit enkel tot gevolg hebben kunnen gehad dat
effectief geplaatste cookies niet werden gedetecteerd door de tool en zou dit bijgevolg enkel in het
voordeel van de verweerster kunnen zijn geweest.
32
Artikel 3 Wet van 29 juli 1991 betreffende de uitdrukkelijke motivering van de bestuurshandelingen, zie ook arrest Hof van Beroep
Brussel (sectie Marktenhof) van 9 oktober 2019, 2019/AR/1006: “De belangrijkste bestaansreden van de motiveringsplicht […]
bestaat erin dat de betrokkene in de hem aanbelangende beslissing zelf de motieven moeten kunnen aantreffen op grond waarvan ze
werd genomen […]”
33
Zie mutatis mutandis ook Arrest Hof van Beroep Brussel (sectie Marktenhof) van 7 juli 2021, 2021/AR/320, 21: “Het [Marktenhof]
heeft geen rechtsmacht om te oordelen over uitspraken gedaan door de Inspectiedienst […]”
34
Cf. bijvoorbeeld technisch onderzoeksverslag website Knack, p. 4 (“3. Analyse”): “Eerst werden alle websites, waaronder de website
van “Knack”, automatisch onderzocht door WEC. Daarna werden de verschillende voorgelegde keuzes, aangereikt door de website
wat cookies betreft, manueel gevolgd van “minimale” toestemming tot “maximale” toestemming (…).”.
Beslissing ten gronde 85/2022 - 26/58
63. In aansluiting hierop wijst de Geschillenkamer erop, met betrekking tot het argument van de
verweerster volgens hetwelk niet kan worden gecontroleerd of bij het onderzoek het
cachegeheugen al dan niet werd leeggemaakt en eventueel tijdelijke internetbestanden aanwezig
waren, enkel relevant kan zijn voor het manuele onderzoek via Cookiemanager, doch dat dit niet van
toepassing is voor het automatische onderzoek verricht via de WEC (die steeds het onderzoek
begint als was de browser nog op geen enkele wijze gemanipuleerd in die zin). Ook tijdens dit laatste
automatische onderzoek werden wel degelijk niet strikt noodzakelijke cookies gedetecteerd op de
onderzochte websites.
64. Wat betreft het door de verweerster opgeworpen argument betreffende het vermeende
onprofessionele karakter van de gehanteerde tools, in het bijzonder de Website Evidence Collector,
wijst de Geschillenkamer er vooreerst op dat overeenkomstig artikel 64, §2 WOG de inspecteur-
generaal en de inspecteurs er, bij de uitoefening van de in hoofdstuk 6 bedoelde bevoegdheden, op
toezien dat de door hen gebruikte middelen passend en noodzakelijk zijn. Dit is het geval ongeacht
of het gebruikte middel ad hoc software is of niet, een beta-versie of niet.
65. Bovendien dient erop te worden gewezen dat de wijzigingen die tussen versies 0.3.1 en 1.0.0 werden
aangebracht aan de tool WEC enkel "features" of "bug fixes" betreffen, m.n. verbeteringen ten
voordele van de onderzoeker, zodat de tool niet crasht, bevriest of geen foutmeldingen genereert.
Met andere woorden, indien de WEC versie 0.3.1 een cookie heeft gedetecteerd, dan betekent dit
dat de tool heeft gewerkt. Een instrument als deze kan immers onmogelijk door een storing per
ongeluk een niet-bestaande cookies detecteren.
66. Tot slot wijst de Geschillenkamer erop dat de verweerster op geen enkele manier aantoont dat deze,
als verwerkingsverantwoordelijke, in staat is zelf een volledige inventarisering van de geplaatste
cookies te maken. De verweerster heeft op geen enkel moment tijdens de procedure een eigen
inventarisering van de op de betrokken websites gehanteerde cookies voorgelegd. Integendeel
stelde de verweerster tijdens de hoorzitting dat IAB een dominante positie inneemt en diens
vereisten op die manier als het ware worden opgelegd, en dat de uitgevers bijgevolg niet bij machte
zijn om al deze cookies te controleren. De verweerster voegde er op het moment van de hoorzitting
aan toe dat de inventarisatie van de cookies idealiter meermaals per dag zou moeten gebeuren
aangezien de situatie voortdurend wijzigt. Het feit dat een aanbieder echter een machtspositie –
bijvoorbeeld een mono- of oligopolistische positie op de markt van online advertenties – inneemt,
kan dan ook op zich geen ontheffing van verantwoordelijkheden voor de
verwerkingsverantwoordelijke meebrengen.
II.4. Het IAB Transparency and Consent Framework (“IAB TCF”)
Beslissing ten gronde 85/2022 - 27/58
67. De Geschillenkamer refereert te dezen naar haar beslissing 21/2022 van 2 februari 2022 .35
68. De Geschillenkamer stelde in deze beslissing: “IAB Europe is een federatie die de digitale reclame-
en marketingindustrie op Europees
niveau vertegenwoordigt. Het omvat zowel bedrijfsleden als nationale verenigingen, met
hun eigen bedrijfsleden. Indirect vertegenwoordigt IAB Europe ongeveer 5.000 bedrijven,
waaronder zowel grote ondernemingen als nationale leden”36
69. IAB Europe beschreef haar werking zelf als volgt: “In zijn huidige vorm is het TCF een
sectoroverschrijdende norm voor beste praktijken die
het voor de digitale reclame-industrie gemakkelijker maakt om bepaalde EU-voorschriften
inzake privacy en gegevensbescherming na te leven en die particulieren meer transparantie en
controle over hun persoonsgegevens moet bieden. Het is met name een "kader" waarbinnen
bedrijven onafhankelijk opereren en dat hen helpt te voldoen aan de AVG-rechtsgrondslag voor de
verwerking van persoonsgegevens en aan de ePrivacy-richtlijn, die voorschrijft dat de gebruiker
toestemming moet geven voor de opslag van en toegang tot
informatie op een apparaat van de gebruiker.”37
70. In de conclusie van antwoord alsook tijdens de hoorzitting wordt door de verweerster gesteld dat
deze enkel advertenties op haar website kan toelaten indien zij het IAB TCF respecteert.
71. De Geschillenkamer wijst er vooreerst op dat de verweerster geen bewijzen aandraagt ter
ondersteuning van de hierboven uiteengezette argumentatie. De Geschillenkamer stelt bovendien
vast dat de beheerders van andere en gelijkaardige mediawebsites geen gebruik maken van het IAB
TCF. In ieder geval is verweerder niet verplicht om het TCF van IAB te gebruiken.
72. De Geschillenkamer wijst er op dat de verweerster als beheerder van de litigieuze websites en als
verwerkingsverantwoordelijke in de zin van artikel 4, punt7) AVG van de persoonsgegevens van de
gebruikers van voormelde websites op basis van de in artikelen 5, lid 2 j° 24 AVG vervatte
verantwoordingsplicht verantwoordelijk is voor het naleven van de bepalingen van de AVG voor de
betrokken verwerking en voor het aantonen ervan.
II.5. Vastgestelde inbreuken
II.5.1. Gebrek aan een geldige toestemming (artikel 6, lid 1, punt a) AVG j° artikel 129
WEC)
35
Beschikbaar via: https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-21-2022.pdf.
36
Ibid, par. 36.
37
Ibid., par. 39.
Beslissing ten gronde 85/2022 - 28/58
II.5.1.1. Het plaatsen van niet strikt noodzakelijke cookies alvorens de
toestemming werd verkregen – vaststelling 1 Inspectiedienst
73. Artikel 6, lid 1 AVG bepaalt dat een verwerking van persoonsgegevens alleen rechtmatig is indien
deze gebaseerd is op één van de in deze bepaling genoemde verwerkingsgrondslagen.
74. Artikel 6, lid 1 AVG dient wat betreft de verwerking van persoonsgegevens via de plaatsing van
cookies in samenhang te worden gelezen met (gewezen) artikel 129 WEC (huidig artikel 10/2 WVP),
aangezien dit artikel een precisering en aanvulling is op de bepalingen van de AVG.38
75. Voormeld artikel bepaalt bijgevolg dat voor het plaatsen en/of lezen van cookies de toestemming
van de betrokkene vereist is, behalve indien de cookies strikt noodzakelijk zijn om 1) de verzending
van een communicatie via een elektronische-communicatienetwerk uit te voeren of 2) om een
uitdrukkelijk door de gebruiker gevraagde dienst te leveren.
76. In zijn arrest Planet49 heeft het Hof van Justitie geoordeeld dat de term “toestemming” in artikel 5,
lid 3 van Richtlijn 2002/58 (omgezet in Belgisch recht via gewezen artikel 129 WEC, huidig artikel
10/2 WVP) verwijst naar “de toestemming van een betrokkene” zoals gedefinieerd en nader bepaald
in Richtlijn 95/46 (d.i. de rechtsvoorganger van de AVG).39 De EDPB stelt in zijn Richtsnoeren
05/2020 van 4 mei 2020 betreffende toestemming in dit verband: “The EDPB notes that the
requirements for consent under the GDPR are not considered to be an ‘additional obligation’, but
rather as preconditions for lawful processing. Therefore, the GDPR conditions for obtaining valid
consent are applicable in situations falling within the scope of the e-Privacy Directive”.40
77. De Geschillenkamer wijst erop dat artikel 4, punt 11) AVG de geldige “toestemming” definieert als
volgt: “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de
betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem
betreffende verwerking van persoonsgegevens aanvaardt”.
78. Uit de technische analyses van de Inspectiedienst blijkt dat er voor de website van Knack 66 cookies
en voor de website van Le Vif 60 cookies werden geïnstalleerd vooraleer de toestemming van de
betrokkene werd gevraagd. Het betreft hier onder meer derde partij cookies (48 voor de website
van Knack en 44 voor de website van Le Vif). Hoewel het in beginsel niet uitgesloten is dat derde
partij cookies ook strikt noodzakelijk zijn voor de werking van de website, kan het juridisch
onderscheid met een eerste partij echter wel een parameter zijn in de evaluatie of een cookie strikt
38
EDPB, advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, met
name wat betreft de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, randnr. 38.
39
Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, Planet49, paragraaf 50.
40
EDPB, Guidelines 05/2020 on Consent under Regulation 2016/679, 4 mei 2020, p. 6 (nr. 7). Vrije vertaling: “De EDPB merkt op dat
de toestemmingsvereisten van de AVG niet als een "aanvullende verplichting" dienen te worden beschouwd, maar veeleer als
voorwaarden voor een rechtmatige verwerking. De AVG-voorwaarden voor het verkrijgen van een geldige toestemming zijn derhalve
van toepassing in situaties die onder het toepassingsgebied van de e-Privacyrichtlijn vallen.”
Beslissing ten gronde 85/2022 - 29/58
noodzakelijk is.41 Daarenboven toont de verweerster niet aan dat deze cookies überhaupt strikt
noodzakelijk zijn.
79. In dit verband verwijst de Geschillenkamer naar het advies nr. 10/2012 van de gewezen Commissie
voor de Bescherming van de Persoonlijke Levenssfeer (voorganger van de GBA) over het
wetsontwerp houdende diverse bepalingen inzake elektronische communicatie. Hierin werd gesteld
dat de cookies die zijn vrijgesteld van de vereiste van toestemming voornamelijk bepaalde “first
party cookies” zijn. De Commissie wees er op dat het in dit geval gaat om cookies die door de
gebruiker zelf geplaatst zijn en die onder meer taalinstellingen en persoonlijke voorstellen
onthouden bij een webwinkel (bijvoorbeeld klantidentificatie en het virtueel winkelwagentje). 42
Verder wordt in voormeld advies gesteld dat bepaalde cookies duidelijk niet onder de vrijstelling op
de informatieplicht vallen. Het gaat hierbij om de meest intrusieve en nieuwste cookievormen (zoals
“supercookies” of “evercookies”). De Commissie stelde dat het hier voornamelijk om “third party”
cookies gaat waarover zeer weinig of niet door de diverse verantwoordelijken wordt geïnformeerd,
en waarvoor bijzondere expertise en software vereist is teneinde de cookies te verwijderen.43 Er
werd in dat advies ook duidelijk gevraagd aan de wetgever om in artikel 129 WEC bijkomende
toelichting te geven over voor welk type cookies concreet toestemming vereist is. 44 De wetgever
heeft nagelaten hier verdere verduidelijking over te geven.
80. De Groep Gegevensbescherming Artikel 29 heeft in haar Advies 04/2012 over ontheffing van de
toestemmingsverplichting voor cookies gesteld dat: “cookies van derden” bovendien doorgaans
niet “strikt noodzakelijk” zijn voor het bezoek aan de website, aangezien dergelijke cookies
doorgaans verband houden met een andere dienst dan die waarom de gebruiker “uitdrukkelijk
heeft gevraagd”.45 De Groep Gegevensbescherming Artikel 29 stelt dat “aan de hand van het doel,
de specifieke implementatie, of de specifieke verwerking moet worden bepaald of een cookie al dan
niet kan worden vrijgesteld van de toestemmingsvereiste”.
81. Toestemming moet in beginsel verkregen worden voor alle cookies, behalve indien de cookies
“functioneel” of “strikt noodzakelijk” zijn, volgens de criteria bepaald in artikel 129 WEC (zie supra).
41
Vergelijk: WP29, Opinion 04/2012 on Cookie Consent Exemption, 7 juni 2012, p. 5: “[…]’third party’ cookies are usually not ‘strictly
necessary’ to the user visiting a website since these cookies are usually related to a service that is distinct from the one that has been
‘explicitly requested’ by the user.” ; vrije vertaling door de Geschillenkamer: “derde party cookies zijn doorgaans niet strikt
noodzakelijk voor de bezoeker van een website, gezien deze cookies doorgaans gerelateerd zijn aan een dienst die verschillend is van
deze die uitdrukkelijk verzocht werd door de gebruiker.”
42
Advies nr. 10/2012 van 21 maart 2012 betreffende het wetsontwerp houdende diverse bepalingen inzake elektronisch
communicatie (CO-A-2012-009), § 51.
43
Advies nr. 10/2012, § 52.
44
Advies nr. 10/2012, § 64.
45
Groep Gegevensbescherming Artikel 29, advies nr. 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, p.60.
Beslissing ten gronde 85/2022 - 30/58
Het is overeenkomstig haar verantwoordingsplicht aan de verweerster om aan te tonen dat cookies
strikt noodzakelijk zijn, en dat om die reden geen toestemming vereist is.
82. Uit het verslag van het onderzoek van de Inspectiedienst blijkt dat slechts 2 cookies op zowel de
website van Knack als van Le Vif als strikt noodzakelijk werden bevonden. Enkel deze twee cookies
zouden dus in principe zonder de toestemming van de betrokkene geplaatst mogen worden. Te
dezen, herhaalt de Geschillenkamer, brengt de verweerster geen argumentatie aan waarom de
ander cookies die de Inspectiedienst detecteerde, (eveneens) als strikt noodzakelijk zouden moeten
worden beschouwd.
83. De Inspectiedienst steunde zich voor de omschrijving van “strikt noodzakelijke cookies” op een
definitie opgenomen op de website www.gdpr.eu46, waarin strikt noodzakelijke cookies als volgt
worden gedefinieerd:
“Strictly necessary cookies - These cookies are essential for you to browse the website and
use its features, such as accessing secure areas of the site. Cookies that allow web shops
to hold your items in your cart while you are shopping online are an example of strictly
necessary cookies. These cookies will generally be first-party session cookies. While it is
not required to obtain consent for these cookies, what they do and why they are necessary
should be explained to the user”. (eigen onderlijning)
In het Nederlands: “Strikt noodzakelijke cookies – Deze cookies zijn essentieel voor u om te
surfen op de website en om gebruik te maken van diens mogelijkheden, zoals het bezoeken
van beveiligde delen van de site. Cookies die webshops toelaten om zaken in het mandje te
leggen tijdens het online winkelen zijn voorbeelden van strikt noodzakelijke cookies. Deze
cookies zullen in het algemeen eerste-partij cookies betreffen. Hoewel het niet vereist is
om toestemming voor deze cookies te verkrijgen, moet de gebruiker wel worden uitgelegd
wat zij doen en waarom zijn noodzakelijk zijn.” (eigen vertaling en eigen onderlijning door de
Geschillenkamer )
De Geschillenkamer wijst erop dat voormelde definitie werd gehanteerd ter verduidelijking bij de
vaststellingen van de Inspectiedienst. Uit de eigenlijke wettelijke bepaling, artikel 129 WEC, kan in
se het zelfde worden gededuceerd.
84. Voor zowel de website van Le Vif als voor Knack werden er 2 cookies als strikt noodzakelijk
gekwalificeerd:
Le Vif Knack
OptanonConsent OptanonConsent
46
Een website gesubsidieerd door de EU in het kader van het Horizon 2020 Framework Programme.
Beslissing ten gronde 85/2022 - 31/58
PHPSESSID PHPSESSID
Om de verschillende cookies te classificeren hield de Inspectiedienst rekening met de informatie
over de specifieke cookie op de website, het cookiebotverslag of een manuele ondervraging.47
85. De Geschillenkamer wijst erop dat de verweerster in haar conclusie van antwoord zelf aangeeft dat
ten gevolge van een gebrek aan technische kennis de destijds gehanteerde cookietool OneTrust op
gebrekkige wijze werd geïmplementeerd. De verweerster voegt hieraan toe dat cookies die zouden
zijn geplaatst geweest. Tijdens de hoorzitting van de verweerster bleek bovendien dat deze
erkent dat weldegelijk niet strikt noodzakelijke cookies werden geplaatst zonder het verkrijgen
van de toestemming van de betrokkenen.
86. Op basis van bovenstaande oordeelt de Geschillenkamer dat door de verweerster een inbreuk werd
gepleegd op artikel 6, lid 1, punt a) AVG j° artikel 129 WEC.
II.5.1.2. Plaatsen van statistische cookies zonder toestemming– vaststelling 2
Inspectiedienst
87. Uit het technisch analyseverslag van de Inspectiedienst blijkt dat er statistische cookies worden
geplaatst voordat er toestemming werd verkregen. Uit de destijds door de verweerster
gehanteerde cookie-instellingstool blijkt immers dat statistische cookies altijd op actief staan en dat
zij niet kunnen worden uitgeschakeld.
88. De Geschillenkamer wil verduidelijken dat uit artikel 129 WEC, dat een aanvulling en precisering is
van de bepalingen van de AVG, blijkt dat het plaatsen en/of het lezen van cookies de toestemming
van de betrokkene vereist, behalve indien de cookies strikt noodzakelijk zijn om de verzending van
een communicatie via een elektronisch-communicatienetwerk uit te voeren, of om een uitdrukkelijk
door de gebruiker gevraagde dienst te leveren. De Geschillenkamer zal hieronder haar standpunt
wat betreft het plaatsen van statistische cookies verduidelijken.
89. In de beslissing ten gronde 12/2019 heeft de Geschillenkamer statistische cookies gedefinieerd
als “het verzamelen van informatie over de technische gegevens van de uitwisseling of over het
gebruik van de website (bezochte pagina’s, gemiddelde duur van het bezoek,...) om de werking ervan
te verbeteren [dit is te zeggen om het gebruik van de website te leren kennen]. De gegevens die op
die manier door de website worden verzameld, zijn in principe samengevoegd en worden anoniem
verwerkt maar kunnen ook voor andere doeleinden worden verwerkt”.48
47
Zie voor de classificatie van de verschillende cookies p. 15-29 in het technisch rapport van Knack.
48
GBA, beslissing ten gronde 12/2019 van 17 december 2019, p. 31.
Beslissing ten gronde 85/2022 - 32/58
In de betreffende zaak werden er ook statistische cookies geplaatst zonder voorafgaande
toestemming van de betrokkene. De Geschillenkamer oordeelde toen dat “volgens de huidige
stand van de wetgeving er geen uitzondering voor toestemming voor “eerste partij analytische
cookies’ bestaat, zodat een voorafgaandelijke toestemming voor het plaatsen van dergelijke
cookies wel degelijk vereist is”.49 De Geschillenkamer wees in de beslissing ten gronde 12/2019 in
dat verband ook naar een advies van de voorganger van de GBA (CBPL) dat stelde dat het “aan de
wetgever is om de problematiek op te helderen van de niet-vrijstelling van de toestemming van de
gebruikers in verband met de cookies voor analyse van herkomst”.
De plaatsing van “eerste partij statistische cookies” kon volgens de Geschillenkamer ook niet
worden gebaseerd op het gerechtvaardigde belang van de eigenaar van de website, gezien de
lezing van artikel 5, lid 3 van de e-privacyrichtlijn.
90. Ook op Europees niveau heeft de Werkgroep Artikel 29 reeds in 2012 een standpunt ingenomen
over de toestemmingsvereiste voor statistische cookies. Het is duidelijk dat de werkgroep 29 van
mening is dat “eerste partij analytische cookies” niet vrijgesteld zijn van de toestemmingsvereiste
aangezien zij niet strikt noodzakelijk zijn om een door de gebruiker of abonnee uitdrukkelijk
gevraagde functie aan te bieden. Het is volgens de Werkgroep artikel 29 zelfs zo dat de gebruiker
zonder problemen toegang kan krijgen tot alle functies die de website biedt, ook wanneer dergelijke
cookies uitgeschakeld zijn.50 Zij heeft toen bijkomend gesteld dat “het echter niet waarschijnlijk
[is] dat analysecookies van de eerste partij een privacyrisico opleveren, indien zij strikt worden
beperkt tot geaggregeerde statistieken ten behoeve van de website-exploitant en worden ingezet
door websites die in hun privacybeleid al duidelijke informatie geven over deze cookies en passende
privacywaarborgen bieden”.51 De Werkgroep artikel 29 voegt hier aan toe: “Mocht artikel 5, lid 3, van
Richtlijn 2002/58/EG worden herzien, dan is het passend dat de Europese wetgever overweegt een
derde ontheffingscriterium toe te voegen voor cookies die strikt beperkt zijn tot cookies van de
eerste partij ten behoeve van geanonimiseerde en geaggregeerde statistieken”.
91. Samengevat heeft de GBA in haar beslissing ten gronde 12/2019 het standpunt ingenomen dat voor
het plaatsen van “eerste partij analytische cookies” in beginsel wel degelijk een voorafgaandelijke
toestemming van de betrokkene vereist is.
49
GBA, Beslissing ten gronde 12/2019 van 17 december 2019, p. 31.
50
Groep Gegevensbescherming artikel 29, Advies 04/2012 over ontheffing van de toestemmingsverplichting voor cookies, 7 juni
2012, 00879/12/NL, p. 11.
51
Wel dient hierbij te worden opgemerkt dat het proces waarbij gegevens worden geaggregeerd op zich een verwerking van
persoonsgegevens kan uitmaken die dient te beantwoorden aan de gegevensbeschermingswetgeving, ongeacht of dat proces
inderdaad resulteert in statistische data, zie ook overweging 162 AVG: “[…] Het statistische oogmerk betekent dat het resultaat van
de verwerking voor statistische doeleinden niet uit persoonsgegevens, maar uit geaggregeerde gegevens bestaat […]” (eigen
onderlijning)
Beslissing ten gronde 85/2022 - 33/58
92. In haar verweer haalt de verweerster aan dat de statistische cookies geïnstalleerd worden met als
uitsluitende doeleinden om geaggregeerde basisstatistieken te verzamelen omtrent het gebruik
van haar websites. In haar cookie policy was ook het volgende te lezen over statistische cookies:
“Analytische en statistische cookies worden steeds ingeladen, zij worden gebruikt om volledig
anoniem inzicht te krijgen in de wijze waarop van de website gebruik wordt gemaakt en welke
pagina’s met frequentie worden bezocht. Deze informatie is onder meer noodzakelijk in het
kader van de CIM Internet Studie en wordt gebruikt voor trafiek- en profielanalyse opdat we
ons werk nog beter op uw noden kunnen afstemmen.” 52
93. De Geschillenkamer herinnert eraan dat wanneer statistische cookies geplaatst worden op de
eindapparatuur van een internetgebruiker zij nog geïdentificeerd zullen kunnen worden aan de hand
van IP-adressen en andere identificatoren.53 Het Hof van Justitie heeft immers in haar vaste
rechtspraak altijd een zeer brede definitie gehanteerd van zowel “persoonsgegevens” als van het
begrip “identificeerbaarheid”. Zo stelde zij dat “zolang informatie immers wegens haar inhoud, doel
of gevolg, gekoppeld kan worden aan een geïdentificeerde of identificeerbare natuurlijke persoon
met middelen die redelijkerwijs kunnen worden ingezet 54 , ongeacht of de informatie aan de hand
waarvan de betrokkene kan worden geïdentificeerd geheel bij dezelfde
verwerkingsverantwoordelijke berust dan wel deels bij een andere entiteit, dient deze informatie als
een persoonsgegeven te worden beschouwd”.55
94. Op grond van het technische verslag van de Inspectiedienst voor de website van Knack (p. 15-29)
stelt de Geschillenkamer vast dat voor de meeste statistische cookies de websitebeheerder ofwel
een uniek identificatienummer, ofwel een IP-adres ter beschikking heeft bij het uitlezen van de
cookies. Dit is logisch aangezien alleen zo de website kan achterhalen hoe vaak de website bezocht
wordt door dezelfde gebruiker.
95. Wat betreft het IP-adres stelt de Geschillenkamer dat het duidelijk is dat hierdoor een natuurlijke
persoon geïdentificeerd kan worden. Een IP-adres werd reeds door het Hof van Justitie aangemerkt
als een persoonsgegeven onder de AVG. 56 Aangezien door de plaatsing en het uitlezen van een
statistisch cookie op de eindapparatuur van de gebruiker de websitebeheerder ook het IP-adres ter
beschikking heeft, is het voor de verwerkingsverantwoordelijke ook mogelijk om de gebruiker te
52
Stuk 15 uit stukkenbundel van de verweerster.
53
Zie hiervoor overweging 30 AVG; artikel 4, punt 1) AVG vermeldt ook expliciet “een online identificator”.
54
HvJEU Arrest C-434/16 van 20 december 2017, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, par. 35.
55
HvJEU Arrest C-582/14 van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, ECLI:EU:C:2016:779, par. 43; HvJEU
Arrest C-434/16 van 20 december 2017, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, par. 31: zie ook FR. ZUIDERVEEN
BORGESIUS, “Singling out people without knowing their names – Behavioural targeting, pseudonymous data, and the new Data
Protection regulation”, Computer Law & Security Review, vol. 32-2, 2016, pp. 256-271; en FR. ZUIDERVEEN BORGESIUS, “The Breyer Case
of the CJEU – IP Addresses and the Personal Data Definition”, EDPL, 1/2017, pp. 130-137.
56
HvJEU Arrest C-582/14 van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, ECLI:EU:C:2016:779, par. 43.
Beslissing ten gronde 85/2022 - 34/58
identificeren. Het gaat bijgevolg over de verwerking van informatie van een identificeerbare
persoon (door een online identificator, cf. art. 4, punt 1) AVG).
96. Wat betreft het registreren van een uniek identificatienummer verwijst de Geschillenkamer naar de
beslissing ten gronde 12/2019 waar reeds een standpunt werd ingenomen over de kwalificatie van
een uniek identificatienummer. Hier oordeelde de Geschillenkamer dat het toekennen van een uniek
identificatienummer een vorm van pseudonimisatie is in de zin van artikel 4. punt 5) AVG.57 Ook de
Groep Gegevensbescherming artikel 29 heeft zich reeds uitgesproken over de invulling van het
begrip “gepseudonimiseerde gegevens”.58 Zij stelde aldaar dat pseudonimisering het verhullen van
een identiteit betekent. De identiteiten van personen kunnen door middel van pseudonimisering als
zodanig worden verhuld dat re-identificatie onmogelijk wordt, bijvoorbeeld door middel van
eenrichtingsversleuteling, waardoor in se geanonimiseerde gegevens ontstaan. 59 Herleidbare
gepseudonimiseerde gegevens kunnen worden beschouwd als informatie over een indirect
identificeerbare persoon en zijn dus persoonsgegevens in de zin van de AVG.60 In het geval dat
door gebruik van een pseudoniem gegevens kunnen worden herleid tot de betrokkene, zodat diens
identiteit kan worden vastgesteld, zijn de regels voor gegevensbescherming van toepassing. 61
Steunende op de vaste rechtspraak van het Hof van Justitie stelt de Geschillenkamer vast dat het
mogelijk is om de identiteit van een betrokkene te achterhalen door combinatie van het uniek
identificatienummer met andere informatie die al dan niet met behulp van derden verkregen kan
worden.62 Het uniek identificatienummer moet in casu gezien worden als een persoonsgegeven in
de zin van de AVG.
97. Gelet op de voorgaande vaststellingen alsmede de ruime interpretatie van het begrip
persoonsgegevens, zoals bevestigd in de rechtspraak van het Hof van Justitie van de EU,
concludeert de Geschillenkamer dat wat betreft de statistische cookies (waar er ook steeds een IP-
adres van de gebruiker ter beschikking is), er daadwerkelijk een voorafgaande toestemming vereist
is overeenkomstig artikel 6, lid 1, punt a) AVG in samenhang met de nationale uitvoeringsbepaling
van artikel 5, lid 3 van de e-privacyrichtlijn. Het gaat immers om een verwerking van informatie van
een identificeerbare natuurlijke persoon waardoor de regels van de AVG zonder twijfel van
toepassing zijn. Het gebrek aan zo’n toestemming bij de website van de verweerster voor de door
57
Volgens artikel 4.1.5 AVG is “Pseudonimisering” gedefinieerd als “het verwerken van persoonsgegevens op zodanige wijze dat de
persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens
worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen
worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon
worden gekoppeld”
58
Groep Gegevensbescherming Artikel 29, Advies 4/2007 over het begrip persoonsgegevens, https://ec.europa.eu/justice/article-
29/documentation/opinion-recommendation/files/2007/wp136_nl.pdf.
59
Ibid., p. 18-19.
60
Ibid., p. 19.
61
Het Hof van Justitie heeft in het Arrest Breyer gesteld dat “om te bepalen of een persoon identificeerbaar is, moet worden gekeken
naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is,
dan wel door enig ander persoon, kunnen worden ingezet om voornoemde persoon te identificeren” (§42).
62
HvJEU Arrest C-582/14 van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, ECLI:EU:C:2016:779, par. 48.
Beslissing ten gronde 85/2022 - 35/58
de Inspectiedienst geïdentificeerde statistische cookies maakt aldus een inbreuk uit op artikel 6, lid
1, punt a) juncto artikel 129 WEC.
II.5.2. Vooraf aangevinkte vakjes voor de partners (artikelen 4, punt 11), 6, lid 1, punt
a) en 7, lid 1 AVG) – vaststelling 3 Inspectiedienst
Vaststellingen Inspectiedienst:
98. Uit het rapport van de Inspectie blijkt dat voor Knack en Le Vif 449 “partners” of “vendors” per
default toestemming wordt gegeven aan de hand van vooraf aangevinkte vakjes. Dit blijkt ook
duidelijk uit screenshots van de websites opgenomen in de technische rapporten van zowel Knack
als Le Vif:
99. De Inspectiedienst stelt dat de AVG een “verklaring of een ondubbelzinnige actieve handeling”
vereist (artikel 4, punt11) AVG), waardoor alle veronderstelde toestemmingen op basis van een meer
impliciete wijze van handelen van de betrokkene, niet overeenkomstig de normen van toestemming
van de AVG is. De Inspectiedienst baseert zich op het Planet49 arrest waaruit duidelijk werd dat
artikel 2, punt f) (definitie van toestemming) en artikel 5, lid 3 (toestemming voor cookies) van de e-
privacyrichtlijn, gelezen moet worden in samenhang met artikel 4, punt 11) en artikel 6, lid1, punt a)
van de AVG. Het Hof van Justitie oordeelde vervolgens dat toestemming niet rechtsgeldig werd
verleend wanneer de opslag van informatie door middel van cookies of de toegang tot reeds op de
Beslissing ten gronde 85/2022 - 36/58
eindapparatuur van de gebruiker van de website opgeslagen informatie via cookies wordt
toegestaan door middel van standaard aangevinkte selectievakjes dat deze gebruiker moet
afvinken ingeval hij weigert zijn toestemming te geven. Bovendien stelt de Inspectiedienst dat de
verweerster ook niet voldoet aan de verplichting in artikel 7, lid 1 AVG die hem oplegt aan te tonen
dat de betrokkene toestemming heeft gegeven om niet strikt noodzakelijke cookies te plaatsen.
Standpunt verweerster:
100. De verweerder stelt dat de derde vaststelling van de Inspectiedienst foutief is. Zij geeft toe dat de
partnerbedrijven binnen het OneTrust Consent management platform standaard op “actief”
stonden, maar dat dit niet betekende dat er automatisch cookies door deze derde partnerbedrijven
werden geïnstalleerd. Volgens de verweerster ging het immers niet over een toestemming tot het
plaatsen van cookies, maar wel over een aanduiding welke IAB vendors gebruik zouden kunnen
maken van een toestemming voor één of meerdere doeleinden, op voorwaarde dat deze
toestemming gegeven werd. Dit zou namelijk enkel het geval zijn indien de betrokkene de
desbetreffende cookies accepteerde binnen de cookietool. De verweerster is bijgevolg van oordeel
dat, in het licht van de rechtspraak van het Hof van Justitie in het arrest Planet49, de praktijk waarbij
de cookies van partnerbedrijven standaard op “actief” staan een geldige toestemming uitmaakt in
de zin van de artikelen 4.11 en 6.1 a) AVG.
101. De Geschillenkamer stelt vast dat de verweerster aangeeft in haar conclusies dat zij haar praktijk
heeft aangepast wat betreft dit aspect door het implementeren van een nieuw Didomi Consent
Management Platform in maart 2020. Geen van de partnerbedrijven zou momenteel nog
automatisch op “actief” staan en de gebruiker moet nu actief een keuze maken.
Standpunt Geschillenkamer:
102. De Geschillenkamer zal in dit onderdeel ingaan op de criteria voor een geldige toestemming. Artikel
4, punt 11) AVG definieert “toestemming” van de betrokkene als “elke vrije, specifieke,
geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een
verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van
persoonsgegevens aanvaardt”.
103. Artikel 7 AVG bevat de voorwaarden die van toepassing zijn op de toestemming:
1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke
kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van
zijn persoonsgegevens.
2. Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die
ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in
een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal
zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere
Beslissing ten gronde 85/2022 - 37/58
aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt
op deze verordening, is dit gedeelte niet bindend.
3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken
van de toestemming laat de rechtmatigheid van de verwerking op basis van de
toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn
toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming
is even eenvoudig als het geven ervan.
4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt
onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een
overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor
een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die
overeenkomst.
104. Voorts stelt artikel 5, lid 3 van de e-privacyrichtlijn, zoals omgezet door artikel 129 van de WEC op
het moment van het onderzoek van de Inspectiedienst, de voorwaarde dat de gebruiker "zijn
toestemming heeft gegeven" voor het plaatsen en raadplegen van cookies op zijn eindapparatuur,
met uitzondering van de technische registratie van informatie of de levering van een dienst waarom
de abonnee of eindgebruiker uitdrukkelijk heeft verzocht en waarbij de plaatsing van een cookie
strikt noodzakelijk is voor dat doel.
105. Overweging 17 van de e-privacyrichtlijn specifieert dat voor de toepassing van deze richtlijn het
begrip “toestemming” dezelfde betekenis moet hebben als “toestemming van de betrokkene”, zoals
gedefinieerd en gespecificeerd in de AVG.63
106. In het Planet49-arrest heeft het Hof van Justitie van de Europese Unie de toestemmingsvereiste
voor het plaatsen van cookies na de inwerkingtreding van de AVG verduidelijkt. Zij stelde dat
uitdrukkelijke actieve toestemming is vereist: “actieve toestemming" is dus onbetwistbaar vereist
volgens de correcte interpretatie van de AVG.64 Overweging 32 bepaalt immers dat:
“Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling,
bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge
verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig
met de verwerking van zijn persoonsgegevens instemt. Hiertoe zou kunnen behoren het
klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische
instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een
andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de
voorgestelde verwerking van zijn persoonsgegevens. Stilzwijgen, het gebruik van reeds
63
De AVG als vervanger van Richtlijn 95/46/EG.
64
Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, Planet49, par. 73.
Beslissing ten gronde 85/2022 - 38/58
aangekruiste vakjes of inactiviteit mag derhalve niet als toestemming gelden. De toestemming
moet gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden dienen.
Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden
verleend. Indien de betrokkene zijn toestemming moet geven na een verzoek via elektronische
middelen, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het
gebruik van de dienst in kwestie.” (de Geschillenkamer onderlijnt).
107. Op basis van deze overwegingen stelt de Geschillenkamer dat de toestemming bedoeld in de
artikelen 2, punt f), en 5, lid 3 van Richtlijn 2002/58, omgezet in artikel 129 WEC ten tijde van de
vaststellingen, gelezen in samenhang met art. 4, lid 11 en art. 6, lid 1 punt a) van de AVG, niet geldig
wordt gegeven door een standaard aangevinkt vakje dat de gebruiker moet uitvinken om te
weigeren toestemming te geven (in casu gaat het dus over het geven van toestemming aan de
partners voor één of meerdere doeleinden waarvoor in een ander venster toestemming dient te
worden gegeven).65
108. Dit betekent concreet dat de betrokkene informatie moet krijgen over de wijze waarop hij zijn
wensen met betrekking tot cookies kenbaar kan maken, en hoe hij “alle, sommige of geen cookies”
kan accepteren.
109. Zo is bijvoorbeeld het bevestigen van een aankoop of het aanvaarden van de algemene
voorwaarden niet voldoende om ervan uit te gaan dat op geldige wijze toestemming is gegeven voor
het plaatsen of het uitlezen van cookies. Evenmin kan toestemming worden gegeven voor het
loutere “gebruik” van cookies, zonder enige nadere specificatie van de gegevens die via deze
cookies worden verzameld of de doeleinden waarvoor deze gegevens worden verzameld. De AVG
vereist inderdaad een meer gedetailleerde keuze dan een eenvoudig "alles of niets", maar vereist
geen toestemming voor elke afzonderlijke cookie. Indien de beheerder van een website of mobiele
applicatie toestemming vraagt voor verschillende soorten cookies, moet de gebruiker de keuze
hebben om toestemming te geven (of te weigeren) voor elk soort cookie, of zelfs, in een tweede
informatielaag met keuzes, voor elke cookie afzonderlijk.
110. Door het gebruik van vooraf aangevinkte vakjes, zoals uiteengezet door de Inspectiedienst in haar
verslagen, begaat de verweerster een inbreuk op artikelen 4, punt) 11 j° 6, lid 1, punt a) en 7, lid 1 AVG,
zoals uitgelegd in overweging 32 van de AVG.
II.5.3. Disclaimer voor derdepartij cookies (potentiële schending van artikel 5, lid 2 en
7, lid 1 AVG) – vaststelling 4 Inspectiedienst
65
Dit hangt ook samen met de specificiteitsvereiste van de toestemming, cfr EDPB, Richtsnoeren 05/2020 inzake toestemming
overeenkomstig Verordening 2016/679,
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_nl.pdf, § 50.
Beslissing ten gronde 85/2022 - 39/58
Vaststelling inspectiedienst:
111. Volgens de Inspectiedienst probeert de verweerster de verantwoordelijkheid van zich af te schuiven
voor derdepartij cookies die bij een bezoek aan de sites van Knack en Le Vif geplaatst worden.
112. Zo stelt het cookiebeleid dat de verweerster niet verantwoordelijk is voor cookies die door derden
worden geplaatst en beheerd, waarbij het onder meer gaat om cookies die het mogelijk te maken
informatie te delen via sociale netwerken. Ook stelt de verweerster dat zij geen controle heeft over
bepaalde cookies die op haar website worden gebruikt.
113.De Inspectiedienst verwijst wat dit aspect betreft naar het arrest Wirtschaftsakademie van het Hof
van Justitie waarin werd geoordeeld dat de eigenaar van een website verantwoordelijk is voor de
verwerking van cookies die vanop zijn website worden geïnstalleerd of uitgelezen.66 Hij neemt op
zijn minst deel aan het bepalen van de doeleinden en de middelen voor de verwerking van de
persoonsgegevens van de bezoekers van zijn website door toepassingen van derden op zijn website
of de verspreiding van de inhoud van derden in de advertentieruimten van zijn website toe te staan.
114.Vervolgens verwijst de Inspectiedienst naar het verantwoordingsbeginsel in artikel 5, lid 2 van de
AVG waaruit blijkt dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de
beginselen inzake de verwerking van persoonsgegevens en moet hij kunnen aantonen dat deze
beginselen in acht worden genomen.
115.Deze praktijk gehanteerd door de verweerster moet ook en zoals reeds eerder besproken, worden
beschouwd als een schending van artikel 7, lid 1 AVG, aangezien een verwerkingsverantwoordelijke
moet aantonen dat de betrokkene toestemming heeft gegeven voor het plaatsen van cookies
vanop zijn website die niet strikt noodzakelijk zijn.
Standpunt verweerster:
116.De verweerster stelt niet verantwoordelijk te zijn voor de verwerking van cookies die door derden in
het kader van het IAB TCF worden geplaatst.
Deze interpretatie werd volgens de verweerster ook bevestigt door de GBA in het lopende IAB
Europe onderzoek: “Belgium's Data Protection Authority found IAB Europe's Transparency and
Consent Framework does not meet several standards under the EU General Data Protection
Regulation, TechCrunch reports. The DPA determined the framework fails to comply with the
GDPR's principles of transparency, fairness and accountability. IAB Europe said in response it
“respectfully disagree[s] with the [Belgian DPA]’s apparent interpretation of the law, pursuant to
which IAB Europe is a data controller in the context of publishers’ implementation of the TCF”.
117. Vervolgens stelt de verweerster dat, mocht de Geschillenkamer tot een andere conclusie komen,
haar praktijken desalniettemin in overeenstemming zijn met artikel 5, lid 2 AVG. De
66
Arrest van het Hof van Justitie van 5 juni 2018, C-210/16, ECLI:EU:C:2018:388, Wirtschaftsakademie, o.m. par. 39.
Beslissing ten gronde 85/2022 - 40/58
verantwoordingsplicht betekent “(I) de noodzaak voor een voor de verwerkingsverantwoordelijke
om passende en doeltreffende maatregelen te nemen ten einde de beginselen van
gegevensbescherming ten uitvoer te leggen”.67 Er zijn geen richtsnoeren gepubliceerd door de GBA
waarin verduidelijkt wordt wat bedoeld wordt onder een minimum aan passende en doeltreffende
maatregelen. Bovendien heeft Roularta ervoor gekozen om gebruik te maken van het IAB
Framework dat omschreven wordt als “the most sophisticated and scrutinised model of GDPR-
compliance for digital advertising in the world”. Roularta verduidelijkt dat de disclaimer niet de
bedoeling had om de verantwoordelijkheid van zich af te schuiven, maar eerder om aan te geven dat
zij niet in staat is om cookies te blokkeren die door derde partijen geplaatst worden.
118. Het afschuiven van de verantwoordelijkheid in het cookiebeleid had niet zozeer de bedoeling had
om verantwoordelijkheid af te schuiven, aldus de verweerster; wel om aan te duiden dat de
verweerster technisch niet in staat is cookies te blokkeren die door sommige derde partijen (in casu:
adverteerders) geplaatst worden.
Adverteerders en agentschappen kunnen, wanneer een advertentiecampagne op één van de
Roularta sites getoond wordt, via die campagne cookies of scripts lanceren die door Roularta
onmogelijk op voorhand gekend zijn.
119.De verweerster geeft in haar conclusies aan dat de zin in kwestie werd verwijderd uit de cookie policy
omdat er sinds het IAB TCF-framework van kan worden uitgegaan dat IAB vendors conform dit
framework geen cookies of scripts meer plaatsen tenzij er zowel toestemming is voor de cookies en
de betrokken vendor goedgekeurd werd in de lijst van partnerbedrijven.
Standpunt van de Geschillenkamer:
120. De Geschillenkamer gaat niet akkoord met de stelling van de verweerster, waar zij stelt dat zij niet
verantwoordelijk is voor de verwerking van cookies door een derde.68
121. De verantwoordelijkheid van IAB Europe sluit de verantwoordelijkheid van andere
verwerkingsverantwoordelijken binnen het TCF-framework niet uit.69 De Geschillenkamer wijst
erop dat de verweerster gezien moet worden als een (mede-)verwerkingsverantwoordelijke in het
kader van TCF, omdat zij worden verondersteld te beslissen of zij al dan niet met een geregistreerde
CMP samenwerken, en in staat zijn eveneens te bepalen welke adverteerders op hun website of in
hun applicatie reclame mogen aanbieden en welke middelen (cookies) zij hiervoor kunnen
aanwenden.
67
WP29, Advies 3/2010 over het “verantwoordingsbeginsel”, 13 juli 2010, WP173, 10, beschikbaar via:
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp173_nl.pdf.
68
Beslissing Geschillenkamer GBA 21/2022 van 2 februari 2022, beschikbaar via:
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-21-2022.pdf.
69
Beslissing ten gronde 85/2022 - 41/58
122. De verweerster geeft aan in haar conclusie dat zij gezien de machtspositie van IAB Europe verplicht
was om het IAB TCF te implementeren. De Geschillenkamer oordeelt dat dit argument van de
verweerster niet gevolgd kan worden. Ten algemene kan bovendien worden opgemerkt dat er
alternatieve aanbieders op de markt beschikbaar zijn, nog los van het feit dat het niet klopt dat er
enige verplichting in hoofde van de verweerster zou bestaan om gebruik te maken van het aanbod
van IAB om advertenties via haar websites te kunnen faciliteren. Roularta was vrij in haar keuze om
het IAB TCF te implementeren en draagt dan ook de verantwoordelijkheid voor de gevolgen van die
implementatie.
123. De Geschillenkamer oordeelt dat de verweerster moet worden geïdentificeerd als
verwerkingsverantwoordelijke, hetgeen in deze procedure ook niet wordt betwist. Als
verwerkingsverantwoordelijke is zij verantwoordelijk voor de verwerking van persoonsgegevens en
moet zij de conformiteit met de beginselen inzake verwerking van persoonsgegevens kunnen
aantonen. De verweerster kan dan ook de verantwoordelijkheid voor het plaatsen van cookies door
derden op haar websites niet loskoppelen van haar verwerkingsverantwoordelijkheid. Bovendien
stelt het cookiebeleid dat zij geen controle heeft over bepaalde cookies die op haar website worden
geplaatst. Nochtans is het aan de verweerster als beheerder van de websites, en in casu als
verwerkingsverantwoordelijke onder het gegevensbeschermingsrecht, om passende technische
en organisatorische maatregelen te nemen om ervoor te zorgen dat haar verwerkingsactiviteiten in
overeenstemming zijn met de wetgeving ter zake. Het afwijzen van de verantwoordelijkheid voor
het plaatsen van cookies door derden tegenover betrokkenen waarvoor de verweerster aangeduid
kan worden als verwerkingsverantwoordelijke is een inbreuk op artikel 5, lid 2 AVG, juncto artikel 24
AVG (de verantwoordingsplicht).70
124. Samengevat, de Geschillenkamer concludeert dat de verweerster de op haar rustende verplichting
tot verantwoording (artikel 5, lid 2, j° artikel 24) niet heeft nageleefd, door het ontkennen van het
dragen van verantwoordelijkheid ten aanzien van de betrokkenen.
II.5.4. Verkeerde en gebrekkige informatie (potentiële schending van de artikelen 4,
punt 11), 12, lid 1, 13 en 14 van de AVG) – vaststelling 5 Inspectiedienst
125. De Inspectiedienst stelt een inbreuk vast op de transparantiebeginselen van de AVG door het
gebrekkig cookiebeleid van Roularta Media Group. Zo bepaalt artikel 12, lid 1 AVG dat de
verwerkingsverantwoordelijke passende maatregelen moet nemen, opdat de betrokkenen de door
o.a. artikel 13 van de AVG verplichte informatie in een beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke vorm en in een duidelijke en eenvoudige taal ontvangt.
70
De verplichting in artikel 5.2 en 24.1 AVG houdt namelijk in dat de VV moet aantonen dat zij aan de verplichtingen van de AVG
voldoet. Als de VV nalaat dit aan te tonen, is er een schending van deze artikelen. Zie hiervoor ook: Article 39 Data Protection Working
Party, Opinion 3/2010 on the principle of accountability, 13 July 2010, 12, https://ec.europa.eu/justice/article-
29/documentation/opinion-recommendation/files/2010/wp173_en.pdf.
Beslissing ten gronde 85/2022 - 42/58
De artikelen 13 en 14 van de AVG bepalen vervolgens welke informatie verstrekt moeten worden
door de verwerkingsverantwoordelijke aan de betrokkene. In de leden 1 en 2 van beide artikelen
wordt een lijst aan informatie opgesomd die door de verwerkingsverantwoordelijke aan de
betrokkene moet worden gegeven.
126. Ter verduidelijking van de wetgeving ter zake, heeft het Hof van Justitie in het arrest Planet49 ook
verduidelijkt hoe de verwerkingsverantwoordelijke, vóór het plaatsen van cookies, informatie moet
geven over hoelang de cookies actief blijven en of derden al dan niet toegang tot de cookies kunnen
hebben, om een behoorlijke en transparante informatie te waarborgen (artikel 5.3 ePrivacy Richtlijn
met betrekking tot het plaatsen van cookies juncto de informatieverplichtingen uit art. 13.1 (e) en art.
13. 2 (a) AVG).
Vaststellingen Inspectiedienst:
127. De Inspectiedienst stelt vast dat er tekortkomingen waren in het cookiebeleid:
▪ Het cookiebeleid van de verweerster bevat bepalingen die niet in overeenstemming zijn
met de AVG. Zo spreekt het cookiebeleid van impliciete toestemming voor cookies via de
toegang tot de websites van de verweerster, wat in strijd is met de noodzaak van een
wilsuiting door een duidelijke verklaring of positieve handeling overeenkomstig artikel 4,
punt 11) AVG. Ook wordt vermeld dat voor het delen van gegeven die werden verzameld via
cookies geen specifieke toestemming vereist is, hetgeen in strijd is met het specifieke
karakter van de toestemming voor een gegevensverwerking overeenkomstig artikel 4,
punt 11) van de AVG;
▪ Het cookiebeleid zou ook duidelijkheid missen over de noodzaak van het gebruik van
derdepartij cookies te wijten aan technische problemen die al langer dan een jaar duren;
▪ Ook stelt de Inspectiedienst vast dat de namen van de soorten cookies in het cookiebeleid
niet overeenkomen met de namen van de cookiecategorieën in de cookie-instellingstool,
wat de begrijpelijkheid niet ten goede komt;71
Cookiebeleid Cookie-instellingstool
Noodzakelijke cookies Noodzakelijke functionele cookies
71
Inspectiedienst, Technisch onderzoeksrapport over het gebruik van cookies op de website van Knack (stuk 6 administratief dossier),
39.
Beslissing ten gronde 85/2022 - 43/58
Analytische cookies Analytische cookies
Sociale mediacookies Inhoudsselectie en levering en
rapportage
Advertentiecookies Reclameselectie en levering en
rapportage
Inhoud Personalisatie
Advertentie- en marketing cookies
▪ Daarnaast is in het cookiebeleid geen informatie opgenomen over de opslagperiodes van
cookies. De Privacy Policy vermeldt enkel:“Roularta Media Group zal uw gegevens niet
langer bewaren dan wettelijk is toegelaten en dan noodzakelijk is voor de doeleinden
vermeld in dit document”. Verder vermeldt het cookiebeleid: “de bewaartermijn verschilt
van cookie tot cookie, algemeen geldt dat de cookie wordt bewaard totdat de gebruiker zijn
cookies verwijdert.”
▪ Het cookiebeleid vermeldt het gebruik dat de partners maken van het “IAB Europe
Transparency & Consent Framework” als toestemmingsbeheertool, dat ervoor zorgt dat
derden de AVG naleven, terwijl van de 449 partners die op de sites van Knack en Le Vif zijn
vermeld er 312 niet of niet meer door IAB gevalideerd zijn;
▪ De gebruiker moet het beleid van de 449 verkopers raadplegen om te weten te komen wat
deze bedrijven met zijn gegevens doen en op basis daarvan een geïnformeerde beslissing
nemen om zijn toestemming te geven. Dit is illusoir en onuitvoerbaar en zal bovendien
leiden tot het plaatsen van nog meer cookies bij het bezoeken van de links naar deze
partners;
▪ Tot slot wordt vastgesteld dat cookies niet individueel worden gedocumenteerd, waardoor
de gebruiker niet in staat is om te controleren wat er met zijn gegevens wordt gedaan.
In de privacy policy is er summiere informatie over cookies:
Standpunt Geschillenkamer:
Beslissing ten gronde 85/2022 - 44/58
128. De Geschillenkamer stelt vast dat de verweerster in haar conclusies aangeeft dat zij haar
cookiebeleid heeft aangepast wat betreft bepaalde aspecten 72:
- De vermelding dat het registratiesysteem van de verweerster tijdelijk door een technisch
probleem gebruik maakte van third party cookies om aan te melden op de websites van de
verweerster is nu verwijderd (het probleem zou dan ook opgelost zijn door over te gaan naar
een nieuwe registratiesoftware dat enkel gebruik maakt van een puur functionele cookie
om ervoor te zorgen dat gebruikers zich niet telkens opnieuw moeten aanmelden);
- In de update van het cookiebeleid dd. 31 juli 2020 staan alle cookies correct
geïnventariseerd en gedocumenteerd.
Het rechtzetten van enkele onnauwkeurigheden kan de inbreuk van het verleden niet ongedaan
maken. De Geschillenkamer is bijgevolg van oordeel dat de verweerster een onzorgvuldige houding
aannam ten opzichte van meerdere aspecten aangaande haar transparantieverplichting uit hoofde
van de artikelen 12 en 13 AVG.
129. Ten eerste situeren de inbreuken zich bij de foutieve informatie in het cookiebeleid.
Overeenkomstig artikel 13 en 14 (resp. leden 1 en 2) AVG moet samengevat de volgende informatie
verstrekt worden aan de betrokkene: de naam en contactgegevens van de
verwerkingsverantwoordelijke, de reden waarom de gegevens worden verwerkt, de bewaartermijn
van de persoonsgegevens, met welke bedrijven/organisaties de gegevens worden gedeeld, alsook
de rechten inzake gegevensbescherming van de betrokkene. Wat betreft dit laatste element stelde
de Inspectiedienst vast dat er foutieve informatie werd gegeven in de privacy policy van de
verweerster, zoals het bestaan van een impliciete toestemming in tegenstrijd met de bepalingen
daaromtrent in de AVG.
130. De Geschillenkamer stelt dat het geven van foutieve informatie over de toestemmingsvereiste in
de AVG een schending uitmaakt van artikel 12, lid 1 en artikel 13 en 14 van de AVG.
131.Ten tweede, wat betreft de vermelding van het tijdelijk technisch probleem waardoor third party
cookies tijdelijk gebruikt werden om gebruikers aan te melden. Dit probleem zou echter dateren van
19 november 2018, zodat onmogelijk nog gesproken kan worden van een “tijdelijk” probleem (de
vaststelling van de vermelding in het cookiebeleid dateert van 8 januari 2020). De Geschillenkamer
oordeelt bovendien dat een technische moeilijkheid een schending van de regels van de AVG niet
kan rechtvaardigen, gelet op het feit dat het hier om een langdurige schending gaat waar grote
aantallen betrokkenen nadeel van kunnen ondervinden, en waarbij de verantwoordelijkheid van de
verwerkingsverantwoordelijke voor die activiteiten geenszins kan worden teniet gedaan.
72
zie stuk 20 van de stukkenbundel van de verweerster: nieuw cookiebeleid.
Beslissing ten gronde 85/2022 - 45/58
132. Ten derde, wat betreft de inconsistenties tussen het cookiebeleid en de cookiebeheerstool.
Verweerster rechtvaardigt dit door te stellen dat zij verplicht werd door IAB Europe om deze termen
te gebruiken in de consenttool, op straffe van uitsluiting van het IAB TCF. Zij wou in haar eigen
cookiebeleid meer begrijpelijke termen gebruiken. De Geschillenkamer begrijpt het standpunt van
verweerster wat betreft het verplicht moeten toepassen van de termen voorgesteld door IAB
Europe in haar consenttool. Dit neemt echter niet weg dat het gebruiken van verschillende termen
in haar privacy policy de onduidelijkheid vergroot en in die zin niet in overeenstemming met het
verstrekken van informatie in “beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke
vorm en in duidelijke en eenvoudige taal” (artikel 12, lid 1 AVG omtrent de invulling van artikelen 13
en 14 AVG).
133. Ten vierde, wat betreft het gebrek aan informatie over de opslagperiodes van de cookies. De
Inspectiedienst stelde vast dat er enkel een vermelding was in het cookiebeleid dat de
bewaartermijn “afhankelijk is van cookie tot cookie”. De verweerster stelt dat de opvattingen van de
Inspectiedienst dat er “geen concrete informatie over de opslagperiodes te vinden is” en dat “het
cookiebeleid gewag maakt van een opslagperiode die in beginsel onbeperkt is” onjuist zijn. Zij stelt
dat er in principe twee soorten informatie over de bewaartijd van de cookies opgenomen waren in
het cookiebeleid: (i) het feit dat de bewaartijd varieert van cookie tot cookie, (ii) het feit dat de
gebruiker cookies kan uitschakelen, wat resulteert in een niet bestaande bewaartijd. De verweerster
stelt bijgevolg dat de Inspectiedienst te ver ging door te stellen dat deze informatie gelijk staat met
een onbeperkte bewaartermijn.
134. De Geschillenkamer volgt de verweerster wat betreft dit laatste element. De informatie in het
cookiebeleid maakt geen gewag van een in beginsel onbeperkte opslagperiode. Dit neemt echter
niet weg dat de informatie in het cookiebeleid onvoldoende duidelijk en transparant was, gezien er
geen enkele indicatie was omtrent de concrete bewaartermijnen, en deze informatie dus ook niet
voorhanden was voor betrokkenen. Artikel 13, lid 2, punt a) AVG en artikel 14, lid 2, punt a) AVG
vermelden duidelijk dat er informatie gegeven moet worden over “de periode gedurende welke de
persoonsgegevens worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die
termijn”. De Commissie voor de Bescherming van de Persoonlijke Levenssfeer, de
rechtsvoorganger van de GBA overeenkomstig art. 3 WOG, gaf reeds in 2017 een aanbeveling aan
Facebook omtrent haar cookiebeleid. Hierin stelde de Commissie dat de betrokkene op duidelijke
en begrijpelijke wijze volledig en nauwkeurig geïnformeerd moet worden over de bewaartermijn van
de gegevens die zij via cookies inzamelt. 73 Volgens de Commissie zou het geven van die informatie
ook noodzakelijk zijn om een geïnformeerde toestemming te kunnen verzekeren en om van een
73
CBPL, Aanbeveling nr. 03/2017 van 12 april 2017 aanvulling op aanbeveling nr.04/2015 uit eigen beweging met betrekking tot 1)
facebook, 2) de gebruikers van internet en/of Facebook alsook 3) de gebruikers en aanbieders van Facebook diensten, inzonderheid
social plug-ins (CO-AR-2017-004)
Beslissing ten gronde 85/2022 - 46/58
eerlijke en rechtmatige verwerking te kunnen spreken. 74 De tekortkoming zou ondertussen wel
rechtgezet zijn door verweerster in haar vernieuwd cookiebeleid.75
135. Door het ontbreken van duidelijke en transparante informatie omtrent de concrete
bewaartermijnen voor de cookies geplaatst op haar website, zoals vastgesteld door de
Inspectiedienst, maakt de verweerster een inbreuk op artikelen 13 en 14 j° 12, lid 1 AVG.
136. Ten vijfde, wat betreft de vermelding in de toestemmingsbeheerstool met betrekking tot het
gebruik van het “IAB Europe Transparency & Consent Framework”. De verweerster stelt dat zij met
deze vermelding enkel de transparantie wilden vergroten en de gebruiker wou informeren over de
manier waarop zij het gebruik van cookies wil controleren, namelijk door aan te sluiten bij een
internationaal erkende standaard binnen de digitale advertising wereld. De Inspectiedienst vond
deze vermelding in het privacybeleid onvoldoende om aan de 449 partners van zowel Knack als Le
Vif per default toestemming te geven (uit het Inspectieverslag blijkt bovendien dat 312 van de 449
partners - een overgroot deel - niet gevalideerd meer zijn door IAB).
137. Uit deze elementen leidt de Geschillenkamer af dat de informatie die de verweerster aan de
gebruikers verstrekt hierdoor een schijn probeert op te wekken van het respecteren van de regels
inzake gegevensbescherming. Er kan onmogelijk worden aangenomen dat deze vermelding de
transparantie zou verhogen, des te meer nu blijkt dat de informatie ook foutief was. Om die reden
moet worden vastgesteld dat ook op dit punt de informatie die door de verweerster verstrekt werd
onvoldoende duidelijke en transparant is onder artikelen 13 en 14, j° 12, lid 1 AVG.
138. Ten zesde, wat betreft het feit dat de gebruiker van de website in principe het beleid van de 449
partners zou moeten raadplegen teneinde te weten wat er met zijn gegevens gebeurt en teneinde
op basis hiervan een geïnformeerde toestemming te geven. Deze doorverwijzing kan niet worden
aanvaard als enig dragend element in de informatieverstrekking tegenover betrokkenen, daar dit de
verantwoordelijkheid inzake informatieverplichtingen de facto teniet doet voor de
verwerkingsverantwoordelijke – hetgeen niet in overeenstemming is met de bepalingen van de AVG
in deze context. Het feit dat betrokkenen geen concretere en overzichtelijke informatie ter
beschikking hebben omtrent het gebruik en verder gebruik van hun persoonsgegevens, maakt om
die reden een inbreuk uit op de informatieverplichting onder artikelen 13 en 14 j° 12, lid 1 AVG.
139. Ten zevende gaat de Geschillenkamer in op de vaststellingen van de Inspectiedienst omtrent het
niet individueel documenteren van de cookies in het cookiebeleid van de verweerster.
De Geschillenkamer wijst er dienaangaande op dat overeenkomstig artikelen 13 en 14, j° artikel 12,
lid 1 AVG, transparante informatie dient te worden verschaft over cookies die persoonsgegevens
verzamelen of anderzijds verwerken. Deze vereiste geldt ongeacht of er al dan niet een
74
Ibid.
75
Stuk 20 van de stukkenbundel van verweerster.
Beslissing ten gronde 85/2022 - 47/58
toestemming dient te worden gegeven voor het installeren en uitlezen van zulke cookies, en dus
ook in het geval wanneer het een strikt noodzakelijke cookie betreft.
140. In het cookiebeleid is er maar een beperkt aantal informationele elementen te vinden over cookies:
Gezien de zeer beperkte verstrekte informatie in verhouding met de lijst van aanwezige cookies 76,
stelt de Geschillenkamer onomstotelijk een probleem omtrent informatieverplichtingen vast.
141.De volgende informatie zou zeker per categorie cookies afzonderlijk vermeld moeten worden opdat
een cookie voldoende gedocumenteerd zou zijn: de persoonsgegevens die worden verwerkt, de
doeleinden van de verwerking voor zulke cookies en de bewaartermijn van zulke cookies (zie
hiervoor de informatieverplichtingen in artikel 13, lid1 en 14, lid 1 AVG). Aangezien deze informatie
ontbreekt bij ieder categorie van gebruikte cookies in het cookiebeleid, kan onmogelijk geoordeeld
worden dat de cookies voldoende gedocumenteerd waren.
142. De Geschillenkamer leidt uit de hierboven opgesomde vaststellingen van inbreuken af dat de
verweerster haar informatieverplichtingen overeenkomstig artikelen 13 en 14, j° 12, lid 1 AVG op het
moment van die vaststellingen niet naleefde. Hierbij benadrukt de Geschillenkamer dat het de
verantwoordelijkheid van de verwerkingsverantwoordelijke is om zelf ervoor te zorgen dat de op de
website verstrekte informatie met de werkelijkheid strookt, in overeenstemming met de voormelde
bepalingen in de AVG. De Geschillenkamer verwijst hier nadrukkelijk op de in de artikelen 5, lid
2 en 24 AVG vastgelegde verantwoordingsplicht.
II.5.5. Ongerechtvaardigde opslagperiodes van cookies (artikel 5, lid 1, punt e) AVG) –
vaststelling 6 Inspectiedienst
143. Artikel 5, lid 1, punt e) AVG bepaalt dat persoonsgegevens niet langer mogen worden bewaard dan
nodig is om het beoogde doel te bereiken (beginsel van “opslagbeperking”). De bewaartermijn mag
bijgevolg niet onbeperkt zijn. De informatie die wordt verzameld en opgeslagen in een cookie en de
informatie die wordt verzameld als gevolg van uitlezing van de cookie moet worden verwijderd
wanneer deze niet langer nodig is voor het nagestreefde doeleinde.
144. Op de website van de GBA wordt in het themadossier “cookies” het volgende gesteld betreffende
de opslagtermijn of levensduur van cookies:
76
Voor een overzicht met de namen van de geïnstalleerde cookies, en de vaststellingen i.v.m. het gebrekkig karakter ervan, zie:
Technisch onderzoeksrapport over het gebruik van cookies op de website van Knack, stuk 6 administratief dossier, blz. 29 e.v.
Beslissing ten gronde 85/2022 - 48/58
“Een cookie dat is vrijgesteld van de toestemmingsvereiste moet een levensduur hebben
die rechtstreeks verband houdt met het doel waarvoor het wordt gebruikt en moet worden
ingesteld om te vervallen zodra het niet langer nodig is, rekening houdend met de redelijke
verwachtingen van de gemiddelde gebruiker. Cookies die zijn vrijgesteld van toestemming
zullen daarom waarschijnlijk verlopen wanneer de browsersessie eindigt of zelfs eerder.
Maar, dat is niet altijd het geval. Bijvoorbeeld, in het winkelwagen scenario, kan een
winkelier het cookie zo instellen dat deze blijft staan na het einde van de browsersessie of
voor een paar uur om rekening te houden met het feit dat de gebruiker per ongeluk de
browser kan sluiten en redelijkerwijs kan verwachten de inhoud van het winkelwagentje te
vinden wanneer hij een paar minuten later terugkeert naar de website van de winkelier. In
andere gevallen kan de gebruiker de dienst uitdrukkelijk verzoeken om bepaalde informatie
van de ene naar de andere sessie te onthouden, waarvoor het gebruik van permanente
cookies vereist is.”77
145. Uit de technische analyseverslagen van de Inspectiedienst, zowel wat betreft de website van Knack
als deze van Le Vif, blijkt dat de effectieve opslagperiodes voor sommige cookies onredelijk lang zijn
en dat de cookies een levensduur van meerdere jaren hebben. Hieronder een overzicht van cookies
met onredelijk lange opslagperiodes (uitgedrukt in dagen):
- UID: 720 dagen (Le Vif en Knack)
- _gfp_64b: 1000 dagen (Knack en Le Vif)
- OB-USER-TOKEN: 90000 dagen (Knack en Le Vif)
- U: 730 dagen (Le Vif)
- Gdyn: 1698 dagen (Le Vif en Knack)
- Gtest: 1698 dagen (Knack)
146. De verweerster werpt op dat de Gegevensbeschermingsautoriteit in het verleden geen specifieke
richtlijnen heeft gegeven betreffende de precieze opslagperiodes van cookies. Deze stelt dat het
omwille van deze onzekerheid voor haar niet duidelijk was wat concreet verstaan moet worden
onder “een levensduur die niet langer mag zijn dan de tijd die nodig is om het nagestreefde doeleinde
te bereiken”.
147. De Geschillenkamer wijst er evenwel op dat het gebrek aan richtlijnen van een toezichthoudende
overheid niet kan worden aangewend door een verwerkingsverantwoordelijke als reden voor het
niet naleven van de bepalingen van de AVG. 78 Deze is er immers, overeenkomstig de in artikelen 5,
77
https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/cookies. De Geschillenkamer onderlijnt.
78
Zie ook supra, onderdeel II.3 van de voorliggende beslissing.
Beslissing ten gronde 85/2022 - 49/58
lid 2 en 24 AVG vervatte verantwoordingsplicht, toe gehouden om er zich zelf van te verzekeren dat
de door hem uitgevoerde verwerkingen van persoonsgegevens gebeuren conform de bepalingen
van de AVG en dient zulks te kunnen aantonen.
148. In aansluiting op voorgaande dient erop te worden gewezen dat de verweerster, indien deze van
oordeel was dat de levensduur van bepaalde cookies en de bewaartermijn van de via deze cookies
verzamelde persoonsgegevens wel proportioneel was, deze dit desgewenst had kunnen aantonen
of had kunnen aanvoeren in de loop van de procedure waarom zij van oordeel is dat de gehanteerde
bewaartermijnen wel voldoen aan de vereisten van artikel 5, lid 1, punt e) AVG. De verweerster deed
dit evenwel niet.
149. Uit de verslagen van de Inspectiedienst blijkt bovendien dat de levensduur van bepaalde cookies in
casu manifest disproportioneel is en in geen enkel geval als evenredig kan worden beschouwd met
het nagestreefde doeleinde. In dit verband dient in het bijzonder te worden verwezen naar de cookie
“OB-USER-TOKEN”, met een levensduur van 90.000 dagen oftewel ongeveer 246 jaar.
150. De verweerster stelt in haar conclusie van antwoord dat de bewaarperiode zoals vastgesteld in
diens privacybeleid inhoudt dat de geplaatste cookies worden bewaard tot wanneer deze door de
gebruiker worden verwijderd.79 De verweerster stelt dat de vaststelling van de Inspectiedienst,
volgens dewelke de bewaartermijnen “onbepaald” zouden zijn, bijgevolg niet correct is.
151.Hoewel het klopt dat er niet door de verweerster werd gesteld dat het om een onbeperkte
opslagperiode gaat, is het weliswaar zo dat het niet duidelijk proactief vastleggen van (criteria voor)
de concrete bewaartermijnen een kennelijke tekortkoming inhoudt in het licht van het beginsel
inzake opslagbeperking.
152. Op basis van bovenstaande stelt de Geschillenkamer vast dat de verweerder een inbreuk heeft
gepleegd op artikel 5, lid 1, punt e) AVG.
II.5.6. Niet naleving van de intrekking van de toestemming (artikel 7, lid 3 AVG) -
vaststelling 7 Inspectiedienst
153. Overeenkomstig artikel 7, lid3 AVG heeft de betrokkene “het recht zijn toestemming te allen tijde
in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis
van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming
geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als
het geven ervan.”
79
Cf. conclusie van antwoord verweerder, p. 32, nr. 86 e.v..
Beslissing ten gronde 85/2022 - 50/58
Vaststellingen Inspectiedienst:80
154. Uit het technische analyserapport betreffende de website van Le Vif blijkt dat:81
- wanneer de inspecteur naar de site surfte, 60 cookies werden gedetecteerd vooraleer de
toestemming werd gegeven;
- wanneer de inspecteur zijn toestemming gaf voor alle cookies in de cookieconsenttool, er
147 cookies werden gedetecteerd;
- wanneer de inspecteur wou terugkeren naar het keuzescherm (consenttool) om zijn
toestemming in te trekken, deze werd geconfronteerd met een zwart scherm, waarna de
website blokkeerde:
De Inspectiedienst stelde bijgevolg vast dat het onmogelijk was om de toestemming in te
trekken.
155. Voor de website van Knack stelde de Inspectiedienst vast dat 82:
- bij het nemen van stappen 1 tot en met 15 (in stap 15 werden alle cookies aanvaard), 86
cookies werden gedetecteerd;
- in stap 24 (verwijderen van de cookies en herladen van de webpagina): aantal cookies 73→
stap 25 (alle cookies opnieuw toestaan en herladen van de pagina): aantal cookies 85 →
stap 26 (terugkeer naar minimum cookies en herladen): aantal cookies 88;
Tussen stap 24 “alle cookies” en stap 26 “minimum cookies” neemt het aantal cookies niet af,
integendeel, het aantal cookies neemt toe.
80
Verslag van de Inspectiedienst, stuk 10, blz. 30, met verwijzing naar de vaststellingen in de technische onderzoeksrapporten
dienaangaande.
81
Pagina 36 van het technisch analyserapport van Le Vif.
82
Voor een overzicht van al de doorlopen stappen door de Inspectiedienst wordt verwezen naar pagina 31 tot en met 33 van het
technisch analyseverslag.
Beslissing ten gronde 85/2022 - 51/58
156. Bovendien blijkt uit het technisch analyserapport van de Inspectiedienst dat het intrekken van de
toestemming moeilijker is dan het geven ervan:
- Voor Le Vif is er zelfs sprake van een onmogelijkheid tot het intrekken van de toestemming
(zie supra).
- Voor Knack blijkt dat het aanpassen van de toestemming enkel mogelijk is door via de
“footer” te klikken op “cookie instellingen”:
Standpunt verweerster:
157. In haar conclusie van antwoord stelt de verweerster met betrekking tot de hierboven beschreven
vaststellingen van de Inspectiedienst aangaande de intrekking van de toestemming dat bepaalde
van deze problemen te wijten zijn aan een ongelukkige configuratie van de OneTrust cookietool, die
op het ogenblik van de vaststellingen werd gehanteerd, door verweerster. Ze stelt in dit verband
meer bepaald dat ten eerste bij de implementatie van voormelde tool geen correcte technische link
werd gemaakt tussen de al dan niet gegeven toestemming en de first party cookies die door de site
zelf werden geplaatst. Zij stelt dat voor wat betreft de cookies geplaatst door adverteerders de
toestemming wel correct werd afgedwongen door het toepassen van het IAB TCF. De verweerster
voegt hieraan toe dat voormeld probleem op 31 maart 2020 werd opgelost door de implementatie
van het CMP Didomi.
158. Ten tweede stelt de verweerster, wat betreft de vaststelling van de Inspectiedienst volgens
dewelke voor de website www.levif.be een zwart scherm wordt verkregen wanneer wordt getracht
de toestemming in de trekken, dat dit eveneens te verklaren is door een configuratieprobleem van
de OneTrust cookietool. De verweerster stelt dat het evenwel haar bedoeling was met de invoeging
van het tabblad “meer info en configuratie” gebruikers in staat te stellen hun toestemming kosteloos
te wijzigen. Ze stelt te betreuren dat de Inspectiedienst tijdens zijn onderzoek werd geconfronteerd
met een zwart scherm in plaats van het betrokken instelscherm. 83
Standpunt Geschillenkamer
159. De Geschillenkamer stelt op basis van de vaststellingen van de Inspectiedienst, de hierboven
weergegeven bewijsstukken alsook de verklaringen van de verweerster vast dat er meer stappen
nodig zijn om de toestemming in te trekken, dan om de toestemming te geven. Dit is niet in
overeenstemming met artikel 7, lid 3 AVG, dat bepaalt dat het intrekken van de toestemming even
eenvoudig moet zijn als het geven ervan.
160. Het feit dat er technische problemen opduiken tijdens het proces van het intrekken van de
toestemming, wijst erop dat niet de correcte technische maatregelen zijn getroffen opdat een
83
Conclusie van antwoord verweerster, p. 33.
Beslissing ten gronde 85/2022 - 52/58
betrokkene te allen tijde haar of zijn toestemming kan intrekken. Daarnaast blijkt dat, zelfs wanneer
voor de betrokkene de schijn wordt gewekt dat zij of hij de toestemming heeft ingetrokken, de
technische situatie niet naar een basissituatie verandert, doch integendeel, meer cookies die
persoonsgegevens verwerken blijken te kunnen worden gedetecteerd op de website van Knack.
161.Derhalve stelt de Geschillenkamer met betrekking tot zowel de website van Knack als die van Le Vif
een inbreuk vast op artikel 7, lid 3 AVG.
III. Inbreuken en sanctionering
162. Samengevat stelt de Geschillenkamer in casu inbreuken op de volgende bepalingen vast in hoofde
van de verweerder:
- artikel 6, lid 1 AVG, in samenhang gelezen met artikel 129, lid 2 van de wet betreffende
de elektronische communicatie (thans artikel 10/2 van de wet van 30 juli 2018 betreffende
de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens84), wegens de plaatsing van niet strikt noodzakelijke cookies op haar
websites www.knack.be en www.levif.be zonder dat toestemming werd verkregen.
Overeenkomstig de voormelde bepalingen vereist de verwerking van persoonsgegevens
door middel van het plaatsen en/of lezen van cookies de voorafgaandelijke toestemming
van de betrokkene, behalve indien de cookies strikt noodzakelijk zijn om 1) de verzending
van een communicatie via een elektronische-communicatienetwerk uit te voeren of 2) om
een uitdrukkelijk door de gebruiker gevraagde dienst te leveren. Uit de vaststellingen van
de Inspectiedienst en de stukken van het dossier blijkt dat op beide voormelde websites
cookies werden geplaatst die niet als strikt noodzakelijk kunnen worden beschouwd en dit
zonder dat de toestemming van de gebruiker werd verkregen. Er werd ook vastgesteld dat
statistische cookies werden geplaatst zonder toestemming van de gebruiker. De
verweerster ontkent noch weerlegt voormelde vaststelling in haar conclusie van antwoord
en tijdens de hoorzitting.
- artikelen 4, punt)11 j° 6, lid 1, punt a) en 7, lid 1 AVG, zoals uitgelegd in overweging 32 van
de AVG, wegens het niet voldoen aan de voorwaarden betreffende de toestemming vervat
in voormelde bepalingen. Meer bepaald werd vastgesteld dat op de websites
www.knack.be en www.levif.be ten tijde van het onderzoek gebruik werd gemaakt van
zogenaamde “vooraf aangevinkte vakjes”, waarbij de cookies van de partnerbedrijven
standaard als “actief” stonden aangeduid. Zulks kan evenwel geenszins een geldige
84
BS 5 september 2018.
Beslissing ten gronde 85/2022 - 53/58
toestemming in de zin van artikel 4, punt 11) AVG uitmaken voor de plaatsing van cookies
(i.e. “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee
de betrokkene door middel van een verklaring of een ondubbelzinnige actieve
handeling hem betreffende verwerking van persoonsgegevens aanvaardt”). Deze
praktijk is tevens in strijd met de rechtspraak van het Hof van Justitie van de Europese Unie
(arrest Planet4985).
- artikelen 5, lid 2 en artikel 24 AVG, wegens het publiceren van een disclaimer op de
betrokken websites waarbij de verweerster stelt niet verantwoordelijk te zijn voor de
plaatsing van derde partij cookies op deze sites en dit onder meer in het kader van het
gebruik van het IAB Transparency and Consent Framework. Deze stelling van de
verweerster is evenwel in strijd met de rechtspraak van het Hof van Justitie van de
Europese Unie in het arrest Wirtschaftsakademie, 86 waarin het Hof oordeelde dat de
eigenaar van een website verantwoordelijk is voor de verwerking door middel van cookies
die zijn website installeert of uitleest. Deze houding van verweerster is bijgevolg in strijd
met artikel 5, lid 2 j° artikel 24 AVG, luidens dewelke de verwerkingsverantwoordelijke
verantwoordelijk is voor de naleving van de bepalingen van de AVG en het aantonen
hiervan.
- artikelen 12, lid 1, j° 13 en 14 AVG, aangezien de wijze waarop de informatie aan de
betrokkenen werd verstrekt, niet voldoet aan het vereiste van een "transparante,
begrijpelijke en gemakkelijk toegankelijke vorm". Vooreerst werd vastgesteld dat het
privacybeleid foutieve informatie bevatte, onder meer betreffende toestemming voor het
gebruik van cookies, alsook met betrekking tot de noodzaak tot het aanvaarden van
derdepartijcookies. Het privacybeleid bevatte tevens ten tijde van het onderzoek geen
volledige oplijsting van de verschillende soorten of categorieën van cookies die werden
geplaatst. Evenmin bevatte dit beleid afdoende informatie betreffende de (criteria ter
bepaling van de) levensduur van de geplaatste cookies en de bewaartermijn van de aldus
verzamelde gegevens, zoals nochtans vereist door artikelen 13, lid 2, punt a) en 14, lid 2, punt
a) AVG. Het privacybeleid bevatte evenmin informatie betreffende de verwerkingen door
partners, waardoor de betrokkenen het beleid van een groot aantal partners en vendors
zouden moeten raadplegen teneinde deze informatie te verkrijgen.
- artikel 5, lid 1, punt e) AVG, wegens de niet-naleving van het beginsel van opslagbeperking.
Een cookie dient een levensduur te hebben die rechtstreeks verband houdt met het doel
85
HvJ-EU, C-673/17, 1 oktober 2019, ECLI:EU:C:2019:801.
86
HvJ-EU, C-210/16, 5 juni 2018, ECLI:EU:C:2018:388.
Beslissing ten gronde 85/2022 - 54/58
waarvoor deze wordt gebruikt en moet worden ingesteld om te vervallen zodra deze niet
langer nodig is, rekening houdend met de redelijke verwachtingen van de gebruiker.
- artikel 7, lid 3 AVG, wegens het nalaten ervoor te zorgen dat de intrekking van de
toestemming voor de plaatsing van cookies even eenvoudig is dan het verlenen ervan.
Meer bepaald wordt vastgesteld voor de website www.levif.be dat het intrekken van de
toestemming technisch onmogelijk is via de cookiebeheertool, doordat deze beheertool
blokkeert en een zwart scherm verschijnt. Uit de technische analyse van de website
www.knack.be blijkt dat de intrekking van de toestemming niet effectief is, aangezien het
aantal cookies niet afneemt na een terugkeer naar de minimale keuzes. De verweerster
ontkent noch weerlegt deze vaststelling en stelt in haar conclusie van antwoord dat dit
probleem te wijten was aan een slechte configuratie van de destijds gehanteerde
cookietool OneTrust.
163. De Geschillenkamer beslist ingevolge deze inbreuken over te gaan tot het opleggen van een
administratieve geldboete van 50.000 EUR aan de verweerder voor voormelde inbreuken. De
Geschillenkamer beslist eveneens om de verweerster te gelasten om de verwerking van
persoonsgegevens in overeenstemming brengen met de toepasselijke bepalingen van de
gegevensbeschermingswetgeving binnen een termijn van 3 maanden te rekenen vanaf de
ontvangst van de onderhavige beslissing.
164. Er dient in dit verband op te worden gewezen dat de administratieve geldboete er niet toe strekt
om een gemaakte overtreding te beëindigen, maar wel een krachtige handhaving van de regels van
de AVG beoogt. Zoals blijkt uit overweging 148 AVG, stelt de AVG immers voorop dat bij elke
ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van
administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd. 87
Hierna toont de Geschillenkamer aan dat de inbreuken die de verweerder heeft begaan op de
voornoemde bepalingen van de AVG geenszins kleine inbreuken betreffen, noch dat de geldboete
onevenredige last zou berokkenen aan een natuurlijk persoon zoals bedoeld in overweging 148 AVG,
waarbij in elk van beide gevallen kan worden afgezien van een geldboete. Het feit dat het een eerste
vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op
87
Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met
inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende
maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine
inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een
geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van
de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid,
of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met
de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij
een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van
administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen
van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigen
onderlijning]
Beslissing ten gronde 85/2022 - 55/58
generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve
geldboete op te leggen. De Geschillenkamer legt de administratieve geldboete op in toepassing van
artikel 58, lid 2, punt i) AVG. Het instrument van administratieve boete heeft geenszins tot doel
inbreuken te beëindigen. Daartoe voorzien de AVG en de WOG in een aantal corrigerende
maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 8° en 9° WOG.
165. Rekening houdend met artikel 83 AVG88, motiveert de Geschillenkamer het opleggen van een
administratieve sanctie in concreto:
a) de aard, de ernst en de duur van de inbreuk (art. 83.2 a) AVG): de vastgestelde inbreuken
betreffen onder meer een schending van de bepalingen van de AVG met betrekking tot de
beginselen inzake gegevensbescherming (art. 5 AVG) en de rechtmatigheid van de verwerking (art.
6, lid1 AVG) alsook transparantie (art. 12 e.v. AVG). Een schending van voormelde bepalingen geeft
overeenkomstig artikel 83, lid 5 AVG aanleiding tot de hoogste geldboetes.
Er dient eveneens te worden gewezen op de omvang van de verwerking in termen van aantal
betrokkenen. De betrokken websites behoren volgens de cijfers van het Centrum voor Informatie
over de Media (CIM) tot de twintig meest bezochte mediawebsites van België, waardoor het aantal
betrokkenen per definitie significant te noemen valt.
b) de eerdere relevante inbreuken door de verwerkingsverantwoordelijken (art. 83.2 e) AVG): de
verweerder maakte nooit eerder het voorwerp uit van een handhavingsprocedure van de
Gegevensbeschermingsautoriteit.
h) de wijze waarop de GBA kennis heeft gekregen van de inbreuk (art. 83.2 h) AVG): de inbreuken
werden niet gemeld door de verweerster doch werden vastgesteld in het kader van een onderzoek
door de Inspectiedienst op eigen initiatief van het Directiecomité van de GBA.
166. Op 20 april 2022 werd een sanctieformulier (“formulier voor reactie tegen voorgenomen sanctie”)
overgemaakt aan de verweerster. In dit sanctieformulier werden de in deze beslissing voorliggende
inbreuken vermeld, alsook het bedrag van 50.000 EUR dat als voorgenomen hoogte voor de boete
geldt. Op 11 mei 2022 maakte de verweerster haar reactie op dit sanctieformulier over aan de
Geschillenkamer.
167. Samengevat stelt de verweerster in dit antwoord:
1) De inbreuken deden zich volgens de verweerster slechts gedurende beperkte tijd voor, gezien
de verweerster de OneTrust-cookietool slechts 7 maanden gebruikte.
88
Alsook de rechtspraak van het Marktenhof, cf. o.m. Hof van Beroep Brussel (sectie Marktenhof), X. N.V. t. GBA, Arrest 2020/1471
van 19 februari 2020.
Beslissing ten gronde 85/2022 - 56/58
2) Volgens de verweerster verwijst de Geschillenkamer onterecht naar een “groot aantal
betrokkenen”, waar volgens de verweerster de Geschillenkamer niet aantoont over welke
concrete grootorde dit gaat. Volgens de verweerster geeft de CIM-rangschikking “geen enkele
indicatie over het aantal bezoekers”, c.q. betrokkenen – aangezien enkel de bezoeken worden
gemeten. Meerdere bezoeken kunnen immers toegeschreven worden aan dezelfde
betrokkenen, onder meer doordat betrokkenen de websites van de verweerster via diverse
toestellen bezoeken.
3) De verweerster haalt daarnaast aan dat zij grieven houdt met betrekking tot de methodologie
waarmee de hoogte van de geldboete wordt bepaald, en maakt de vergelijking met de in het
buitenland opgelegde boetes voor soortgelijke inbreuken. Zij stelt ook dat de voorgenomen
geldboete “buiten verhouding staat” tot de bescheiden omzet die haar (onderzochte) websites
uit digitale advertenties vergaarden.
4) De verweerster geeft tot slot aan dat de omzet waarnaar het sanctieformulier verwijst deze is
van de volledige groep, en dat deze omzet niet volledig in rekening mag worden genomen voor
de berekening van de geldboete, nu niet alle dochtervennootschappen deel uitmaken van
“dezelfde economische eenheid”.
168. Wat het eerste argument van de verweerster in haar antwoord op het boeteformulier betreft,
verwijst de Geschillenkamer naar de vaststellingen die de Inspectiedienst heeft gedaan op een
aantal concrete tijdstippen binnen de periode van haar onderzoek. Het feit dat een wijziging in het
beheer van de websites van de verweerster heeft plaatsgevonden na deze vaststellingen, doet op
zich geen afbreuk aan de inbreuken die op die momenten zijn vastgesteld. Het klopt dat de
Geschillenkamer rekening kan houden met een door de verweerster aangetoonde verbetering van
de situatie gedurende de procedure bij de Gegevensbeschermingsautoriteit, maar dit vereist
weliswaar dat de verweerster in concreto aanduidt waarom en hoe een bepaalde gewijzigde situatie
als verzachtende omstandigheid kan gelden. Te dezen toont de verweerster niet aan dat het niet
langer gebruiken van de OneTrust-cookietool betekent dat de situatie voor betrokkenen bij de
verwerking van persoonsgegevens nadien verbeterd is.
169. Met betrekking tot het tweede argument wijst de Geschillenkamer erop dat, hoewel de CIM-cijfers
waar onder meer de Inspectiedienst naar verwees in haar verslagen geen concrete indicatie geeft
van het aantal betrokkenen, deze cijfers wel degelijk een algemene indicatie bieden voor de
populariteit van nieuwswebsites. Het feit dat de verschillende organen van de
Gegevensbeschermingsautoriteit niet in concreto aantonen hoeveel betrokkenen er getroffen zijn
door de activiteiten van een bepaalde verwerkingsverantwoordelijke waartegen een
handhavingsprocedure loopt, betekent niet dat aanwijzingen met betrekking tot de grootteorde van
het aantal betrokkenen niet relevant kunnen zijn voor de vaststellingen omtrent de ernst van één of
meerdere inbreuken op de wetgeving inzake persoonsgegevensbescherming, inzonderheid de
Beslissing ten gronde 85/2022 - 57/58
impact op een bepaalde grootteorde aan betrokkenen. Een vergelijking kan worden gemaakt met
een situatie waarbij het aantal betrokkenen niet juist kan worden vastgesteld, maar waar er
indicaties zijn van het concrete aantal betrokkenen.89 Mutatis mutandis toont het feit dat de
verweerster de (algemeen verwoorde) grootteorde van het aantal betrokkenen die haar websites
bezoeken, betwist, zonder zelf enig tegenbewijs te leveren dat het om een andere grootorde gaat,
onvoldoende aan waarom de CIM-cijfers geen indicatie kunnen geven van de grootorde van het
aantal betrokkenen.
170. Omtrent het derde argument met betrekking tot de hoogte van de geldboete, wijst de
Geschillenkamer erop dat het plaatsen van cookies in dezen een commerciële zaak is voor de
verweerster, waarbij zij aanzienlijke financiële belangen heeft bij het verwerven van de hiermee
gelinkte advertentie-inkomsten. De Geschillenkamer verwijst ten informationele titel naar de
richtlijnen inzake administratieve geldsancties, die op het moment van de vaststellingen van de
Inspectiedienst, en het overmaken van het boeteformulier, nog niet aangenomen waren. 90
171. Als vierde argument haalt de verweerster aan dat de Geschillenkamer niet aantoont dat de
vennootschappen die ressorteren onder haar overkoepelende groep, deel uitmaken van
dezelfde economische eenheid. De Geschillenkamer wijst er te dezen op dat zij gedurende de
procedure is opgetreden tegen de verweerster als groep, en in de procedure ook de verweerster
in die hoedanigheid heeft aangewezen. De verweerster verwijst bovendien in haar antwoord op
het sanctieformulier zélf naar zichzelf onder haar juridische vorm als groep, zonder onderscheid
te maken tussen de beweerde verscheidene economische activiteiten, of zonder zich zelf te
presenteren als onderdeel van een (afgezonderde) economische activiteit. De Geschillenkamer
onderlijnt dan ook dat zij boetes kan opleggen op basis van de omzet van een volledige
onderneming, hetgeen de groep als juridische entiteit ontegensprekelijk is. 91 Ten overvloede
wijst de Geschillenkamer erop dat toezichthoudende autoriteiten de bevoegdheid hebben om –
mits adequate motivering – boetes op te leggen tot 10.000.000, resp. 20.000.000 EUR,
ongeacht de grootorde van de onderneming, doch afhankelijk van het soort inbreuk. 92
172. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de daarin
bepaalde beoordelingscriteria. De Geschillenkamer wijst erop dat de andere criteria van art. 83.2.
89
Geschillenkamer GBA, Beslissing 4/2021 van 27 januari 2021, 46; een beroep tegen deze beslissing werd ongegrond verklaard; Hof
van Beroep Brussel (Marktenhof), 7 juli 2021, 2021/AR/320.
90
Guidelines 04/2022 on the calculation of administrative fines under the GDPR, 16 mei 2022, beschikbaar via:
https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-042022-calculation-administrative_en.
91
Artikel 83, leden 4, 5 en 6 AVG.
92
Ibidem.
Beslissing ten gronde 85/2022 - 58/58
AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die
welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
IV. Publicatie van de beslissing
Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer,
wordt deze beslissing overeenkomstig artikel 95, §1, 8° WOG gepubliceerd op de website van de
Gegevensbeschermingsautoriteit met vermelding van de identificatiegegevens van de verweerder en
dit omwille van de specificiteit van onderhavige beslissing – die ertoe leidt dat zelfs in geval van
weglating van de identificatiegegevens de heridentificatie onvermijdelijk of minstens zeer
waarschijnlijk is – alsook het algemeen belang van deze beslissing.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 58, lid 2, punt i) j° artikel 83 AVG en artikel 100, §1, 13° WOG een
administratieve geldboete van 50.000 EUR op te leggen wegens de schending van artikel 6, lid
1 AVG j° artikel 129 WEC; artikelen 4, punt 11) j° 6, lid 1, punt a) en 7, lid 1 AVG; artikelen 5, lid 2
en 24 AVG; artikelen 12, lid 1, j° 13 en 14 AVG; artikel 5, lid 1, punt e) AVG; en artikel 7, lid 3 AVG.
- de verweerster op grond van artikel 58, lid 2, punt d) AVG en artikel 100, § 1, 9° WOG te gelasten
om de verwerking van persoonsgegevens in het kader van dewelke verschillende inbreuken
werden vastgesteld in de onderhavige beslissing en waarvoor overeenkomstig het eerste
streepje van dit dispositief een geldboete werd opgelegd, in overeenstemming te brengen met
de bepalingen van de AVG binnen een termijn van 3 maanden te rekenen vanaf de ontvangst van
de beslissing ten gronde en hiervan het bewijs te leveren.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(Get). Hielke Hijmans
Voorzitter van de Geschillenkamer