De Commission Nationale de l’Informatique et des Libertés (CNIL), de Franse tegenhanger van onze Autoriteit Persoonsgegevens, heeft Google en Amazon ieder een boete van tientallen miljoenen euro’s opgelegd. Beide techbedrijven hebben zich schuldig gemaakt aan het plaatsen van advertentiecookies zonder vooraf toestemming te vragen van gebruikers. Ook lichtten ze bezoekers vooraf onvoldoende in over het plaatsen van cookies.Dat schrijft de CNIL in zijn boetebesluit.
Zowel bij Google als bij Amazon draait het om cookies. Cookies zijn kleine bestanden die op je computer worden geplaatst als je een website bezoekt. Er zijn allerlei soorten cookies. Functionele cookies zorgen ervoor dat een website naar behoren werkt. Dit soort cookies onthouden bijvoorbeeld welke producten je in een winkelwagentje hebt gedaan, en zorgen ervoor dat je ingelogd blijft.
Analytische cookies stellen website-eigenaren in staat om bezoekersgedrag in kaart te brengen. Ze vertellen welke pagina’s iemand bezoekt, hoelang ze daar blijven hangen, of er interactie plaatsvindt (doorklikken), welke browser op welk apparaat ze gebruiken, wat de resolutie van hun beeldscherm is, en ga zo maar door.
Naast functionele en analytische cookies bestaan er ook nog cookies die door commerciële partijen worden ingezet. Tracking cookies -die Aleid Wolfsen van de AP deze week nog omschreef als ‘volgsoftware’– zijn bestanden die je surfgedrag op internet monitoren. Ze houden precies bij welke websites je bezoekt, welke artikelen je leest, welke berichten je liket, enzovoorts. Aan de hand van deze informatie -ook wel big data genoemd- bouwen techbedrijven online profielen op van gebruikers en kunnen ze hen gerichte advertenties aanbieden.
Een ander soort cookie dat informatie verzamelt, is de third party cookie. Dit type bestand wordt op je computer geplaatst door een partij die niet direct betrokken is bij de website. Denk bijvoorbeeld aan een blog over tuinieren of tuinmeubelen die een cookie van Facebook plaatst. Tracking cookies en third party cookies worden tezamen ook wel advertentiecookies genoemd.
Grofweg kun je een tweedeling maken bij cookies. Enerzijds zijn er cookies die noodzakelijk zijn om een website goed te laten functioneren (de functionele en analytische cookies). Anderzijds kennen we cookies die enkel commerciële doeleinden dienen (tracking en third party cookies).
Sinds de invoering van de cookiewet in mei 2011, zijn website-eigenaren en adverteerders in Europa verplicht om vooraf toestemming te vragen om commerciële, niet-functionele cookies te mogen plaatsen. Ook moeten ze bezoekers van tevoren informeren over de cookies die ze willen plaatsen en welk doel deze dienen.
Daar ging het volgens de CNIL mis bij Google en Amazon. In maart stelde de toezichthouder vast dat er bij een bezoek aan Google.fr automatisch cookies werden geplaatst op de computer van een bezoeker, zonder dat hij daarvoor toestemming had gegeven. Meerdere van deze cookies werden bovendien voor advertentiedoeleinden gebruikt. Ook bleven sommige advertentiecookies actief, zelfs als de bezoeker hier bezwaar tegen had gemaakt. Voor deze misstappen krijgt Google een boete van 100 miljoen euro.
Ook Amazon ging de mist in. Tussen december 2019 en mei 2020 bezocht de CNIL meerdere malen de website Amazon.fr. Daarbij werden automatisch cookies geplaatst zonder dat de bezoeker daar invloed op had. Ook hier geldt dat er naast functionele cookies tevens advertentiecookies op de computer van bezoekers terechtkwamen. Ook was de informatievoorziening vooraf ondermaats. Het CNIL oordeelt dat de informatie die Amazon verschafte te algemeen was. Voor deze overtredingen legt de Franse toezichthouder een boete van 35 miljoen euro op aan Amazon Europe Core.
Google en Amazon krijgen van de CNIL drie maanden de tijd om hun zaken op orde te brengen. Als de techbedrijven tegen die tijd nog steeds de Europese cookieregels overtreden, dan wacht hen een dwangsom van 100.000 euro per dag dat de overtreding voortduurt.
Zowel Google als Amazon is niet te spreken over de boete van de toezichthouder. In een reactie tegenover NU.nl laat de zoekgigant weten dat er sprake is van een ‘miscommunicatie’. “We staan achter onze staat van dienst over het vooraf informeren en duidelijke controlepaneel. We zullen met de CNIL in gesprek blijven, terwijl we voortdurend verbeteringen aanbrengen om ervoor te zorgen dat we hun zorgen beter begrijpen”, zo luidt de verklaring van een woordvoerder.
Amazon laat weten het niet eens te zijn met het besluit van de CNIL. De retailer zegt regelmatig zijn privacywerkwijze aan te passen om aan de verwachtingen van toezichthouders en de geldende wet- en regelgeving te voldoen (compliance). Of het bedrijf zijn cookie-instellingen heeft aangepast of dat ze dit gaat doen, is vooralsnog onduidelijk.
