Toestemming of gerechtvaardigd belang: zo beslist u

In de branche zijn er twee kampen. Het ene zegt: wie alleen bedrijven herkent, heeft geen toestemming nodig, het gerechtvaardigd belang volstaat. Het andere zegt: zonder instemming in de cookiebanner loopt er niets. Beide kanten hebben voor een deel gelijk, omdat ze over verschillende lagen praten. Dit artikel scheidt de lagen en geeft u aan het eind vijf vragen mee.

Het is een nuchtere duiding en geen juridisch advies. Voor uw concrete opzet hoort de beslissing bij uw privacyadviseur.

Wat vooraf geldt: de toegang tot het eindapparaat

Voordat het over de AVG gaat, doet zich een andere vraag voor: krijgt het script toegang tot het apparaat van de bezoeker? De ePrivacyrichtlijn (art. 5 lid 3) eist voor het opslaan van informatie op het eindapparaat en voor het uitlezen van zulke informatie in beginsel toestemming. Uitgezonderd is wat voor de door de gebruiker uitdrukkelijk gewenste dienst technisch noodzakelijk is.

Omgezet is dat in Duitsland in § 25 TDDDG en in Oostenrijk in § 165 Abs. 3 TKG 2021. Beide regels gelden ongeacht of er uiteindelijk persoonsgegevens ontstaan. Doorslaggevend is de toegang zelf.

Dat treft meer dan cookies:

• Een vermelding in het sessiegeheugen van de browser (sessionStorage) is een opslag op het eindapparaat.
• Het uitlezen van schermgrootte en browsertaal is het uitlezen van informatie van het eindapparaat, ook als elk afzonderlijk gegeven onschuldig lijkt.
• Opnames van klikken en muisbewegingen zijn sowieso niet iets wat een bezoeker nodig heeft voor het tonen van de pagina.

De Duitse toezichthouders volgen daarbij een strenge lijn: bereiksmeting en statistiek gelden doorgaans niet als technisch noodzakelijk. Wie een script inzet dat zulke toegang maakt, moet daarom uitgaan van een noodzakelijke toestemming. Dat is geen kwestie van smaak, maar de voorwaarde zonder welke de rest niet eens wordt bereikt.

Art. 6 lid 1 sub a tegenover sub f

Pas daarna komt de vraag op welke rechtsgrond van de AVG de daaropvolgende verwerking steunt, voor zover die persoonsgebonden is.

Of een IP-adres überhaupt een persoonsgegeven is, verduidelijkt IP-adres en AVG: is het een persoonsgegeven?. Hoe beide toetsingsstappen samenhangen, laat Bezoekersherkenning en AVG: een nuchtere duiding zien.

Toestemming (sub a). Ze moet vrijwillig, geïnformeerd, specifiek en ondubbelzinnig zijn. Ze is op elk moment in te trekken. De rechtspositie is daarvoor duidelijk zodra de banner netjes is gebouwd.

Gerechtvaardigd belang (sub f). Hier toetst u drie dingen: is er een gerechtvaardigd belang (bijvoorbeeld het aanbahnen van verkoop in B2B)? Is de verwerking daarvoor noodzakelijk? En wegen de belangen of grondrechten van de betrokken personen niet zwaarder? Overweging 47 noemt als maatstaf de redelijke verwachtingen van de betrokkenen. Direct marketing kan volgens dezelfde overweging een gerechtvaardigd belang zijn.

Daar komt het recht van bezwaar volgens art. 21 bij: betrokkenen kunnen bezwaar maken tegen de verwerking op grond van sub f. U moet dat in de praktijk mogelijk maken. Ook de informatieplichten volgens art. 13 en 14 gelden in beide gevallen.

Waarom gedragsgegevens de afweging bemoeilijken

Een bedrijfstoewijzing alleen is voor de afweging vaak nog goed te onderbouwen: de informatie is schaars. Het doel is duidelijk. Moeilijker wordt het zodra gedrag erbij komt. Welke pagina's iemand leest, hoe lang hij scrolt en waar hij klikt, zegt veel over een persoon, ook als die alleen als bezoeker van een bedrijf verschijnt. Een muisvideo toont nog meer. Hoe fijner de observatie, des te minder verwachten bezoekers haar. Dienovereenkomstig moeilijk wordt het om te onderbouwen dat uw belang zwaarder weegt.

Daar komt een praktisch probleem bij: zelfs als u de afweging zou kunnen winnen, helpt u dat niets zolang de toestemmingsplicht voor de toegang tot het apparaat bestaat. De toestemming is er dan sowieso. Er is veel voor te zeggen haar ook als rechtsgrond voor de verwerking te gebruiken, in plaats van twee grondslagen naast elkaar te beheren.

De praktische weg: statistiekcategorie, script pas daarna

De oplossing die in de praktijk het vaakst werkt, is eenvoudig:

1. Uw banner heeft een eigen categorie, meestal „Statistiek“ of „Analyse“.
2. Het script voor bezoekersherkenning laadt pas nadat de bezoeker met deze categorie heeft ingestemd.
3. Zonder instemming vindt er geen toegang tot het apparaat plaats en geen verzoek aan de dienst.

Technisch gaat dat via uw tag manager met Consent Mode of via het toestemmingsbeheer van uw banner. Een handleiding daarvoor vindt u in de Help onder Toestemming in de tag manager. Whovisit levert bijvoorbeeld een tagsjabloon die wacht op de verleende statistiektoestemming voordat ze het script laadt. Opdat de weg houdt, moet uw banner de categorie echter ook werkelijk weergeven en de keuze netjes aan de tag manager doorgeven.

Ook Google Analytics draait doorgaans achter dezelfde categorie. Wat Analytics over bedrijven verraadt en wat niet, staat in Bedrijven herkennen met Google Analytics: wat kan en wat niet.

Zwitserland: opt-outlogica

In Zwitserland is de uitgangssituatie anders. De Fernmeldegesetz (art. 45c) eist dat gebruikers worden geïnformeerd over de verwerking van gegevens op hun apparaat en die kunnen weigeren. Het is dus een bezwaaroplossing in plaats van een voorafgaande toestemming. De herziene wet op de gegevensbescherming (sinds 1 september 2023) werkt in beginsel eveneens met transparantie en bezwaarmogelijkheid in plaats van een algemene toestemmingsplicht.

Als u bezoekers uit Zwitserland en uit de EU op dezelfde pagina hebt, geldt voor de EU-bezoekers toch het strengere recht. Praktisch betekent dat: een uniforme banner met toestemming is meestal de eenvoudigste weg, ook omdat u bezoekers niet betrouwbaar naar land kunt scheiden.

Uw beslisweg in vijf vragen

1. Heeft het script toegang tot het apparaat? (Opslaan of uitlezen, ook sessiegeheugen, schermgrootte, taal.) Zo ja, dan hebt u voor DE en AT doorgaans toestemming nodig. Verder met vraag 2.
2. Is de toegang voor het gewenste tonen van de pagina technisch noodzakelijk? Bij statistiek en bezoekersherkenning bijna altijd nee.
3. Heeft uw banner een categorie die bij het doel past? Zo nee, pas aan voordat u het script inbouwt.
4. Laadt het script echt pas na instemming? Controleer op het netwerktabblad van uw browser: vóór de instemming mag er geen verzoek naar de dienst gaan.
5. Is de informatie in de privacyverklaring volledig? Is er een weg naar intrekking? Doel, rechtsgrond, ontvangers, bewaartermijn.

Antwoordt u bij vraag 1 met nee, dan kunt u over sub f nadenken. Dat komt bij procedures met toegang tot het eindapparaat in de praktijk zelden voor.

Bronnen

• Richtlijn 2002/58/EG (ePrivacy), art. 5 lid 3
• AVG, art. 6 lid 1, art. 13, 14, 21 en overweging 47
• § 25 TDDDG (Duitsland), § 165 Abs. 3 TKG 2021 (Oostenrijk)
• Art. 45c Fernmeldegesetz (Zwitserland), Datenschutzgesetz (Zwitserland) in de versie van 1 september 2023
• Orientierungshilfe van de Datenschutzkonferenz voor aanbieders van telemedia (actuele versie)