4 grote internetondernemingen wordt geboden het plaatsen en/of uitlezen van ’tracking cookies’ zonder dat de gebruiker daarvoor toestemming heeft verleend te staken en gestaakt te houden. Aldus de rechtbank Amsterdam in een recent kort geding, dat wat mij betreft wel wat meer aandacht had mogen krijgen. Want ja, je kunt dus een cookieplaatsverbod afdwingen bij de rechter.

Toegegeven, het is wel een wat dure en tijdrovende operatie. Deze meneer trok ten strijde tegen Linkedin en Microsoft vanwege diverse tracking cookies die hij aantrof, inclusief cookies “na diens expliciete weigering die toestemming te verlenen”. Reactie Microsoft: dat kunnen wij niet want we weten niet wie u bent, maar zie de handleiding van uw browser.

Dank je de koekoek dacht die meneer, en stapte naar de kortgedingrechter. Een relatief makkelijk verhaal: cookies zijn informatie, en informatie opslaan op randapparaten via telecommunicatie mag alleen met toestemming (art. 11.7a Telecommunicatiewet). Behalve functionele, en dat is natuurlijk discussie genoeg.

De rechter ziet echter genoeg aanknopingspunten voor de stelling dat deze cookies niet voor functionele doeleinden worden geplaatst, maar (direct of indirect) voor advertentiedoeleinden. ALleen al het in kaart brengen van (individuele) bezoekers en hun surfgedrag kan wel degelijk al als tracking cookie worden aangemerkt, aldus de rechter.

Was er toestemming? Die moesten de ‘partners’ van MS en Linkedin natuurlijk netjes vragen volgens de contracten, dus het was geregeld. Maar nee:

De betrokken gedaagden blijven als verwerkingsverantwoordelijken echter (ook) zelf verantwoordelijk voor het bewerkstelligen van het verkrijgen van toestemming op rechtsgeldige en rechtmatige wijze voor het plaatsen en uitlezen van de tracking cookies en zij kunnen daar op grond van artikel 26 lid 3 AVG ook op worden aangesproken, ongeacht wat er in het contract met haar partners staat.

Je moet meer doen dan enkel instructies of standaardtools geven en zeggen dat het wel goed zat zo. De bedrijven wordt dan ook verboden om nog cookies te plaatsen – en wel op straffe van een dwangsom van 500 euro per cookie, gemaximeerd op 25.000 euro.

Ik voorzie wel wat executieproblemen bij dit vonnis: hoe moet Microsoft weten dat dit cookie gezet wordt bij deze eindgebruiker?

Arnoud