Eerste boete voor overtreding regels rond cookies

De Gegevensbeschermingsautoriteit (GBA), de vroegere Privacycommissie, oordeelde dat de website Jubel.be de regels rond cookies overtrad, meldt De Standaard. Volgens de Euorpese GDPR-richtlijn moeten gebruikers toestemming verlenen wanneer er cookies worden gebruikt die niet strikt noodzakelijk zijn. Bovendien moet het cookiebeleid transparant zijn. Op beide vlakken schoot Jubel.be tekort.

Dat net Jubel.be wordt veroordeeld is ironisch: het gaat om een website gespecialiseerd in juridische informatie. Anne Knops, zaakvoerder van Knops Publishing en uitgever van Jubel.be, betreurt de boete. 'Ons cookiebeleid was niet in orde. Als juridisch platform vinden we dat belangrijk en dus hebben we meteen meegewerkt. We zijn trots dat wij nu in orde zijn.'

Maar Knops gooit ook een steen naar vele andere websites. 'Ik denk dat heel weinig sites in orde zijn, en dan druk ik me nog eufemistisch uit', klinkt het in De Standaard.

Geen toestemming

Wat had de website dan precies verkeerd gedaan? In de eerste versie van de site werden cookies gebruikt zonder toestemming van de gebruiker. In een latere versie waren de vakjes om toestemming te geven op voorhand aangekruist. Dat is een praktijk die vaak voorkomt, maar niet mag volgens de regels.

Daarnaast was de uitleg over het cookiebeleid niet in alle talen beschikbaar, stonden er fouten in en was die onvolledig. De site lijstte niet alle cookies op, omdat die ook door derde partijen geplaatst kunnen worden, bijvoorbeeld om statistieken bij te houden. 

Precedent

De Geschillenkamer van de GBA heeft de website een boete van 15.000 euro opgelegd. De website kan nog tegen de boete in beroep gaan. Volgens Magali Feys, advocate en oprichter van Acontrario, dat bedrijven adviseert rond IT en privacy, is dit een belangrijk precedent. 'Veel bedrijven hebben bijna twee jaar na de invoer van de GDPR-regels het gevoel dat er weinig controle is. Deze boete kan dus wel een wake up call zijn.'

Het bedrag van 15.000 euro noemt ze een 'speldenprik', en ze verwacht vooral grotere boetes. 'Nog veel belangrijker dan cookies is de bescherming van persoonlijke gegevens van gebruikers. Het privacybeleid is lang onduidelijk geweest, maar hoe meer tijd verstrijkt, hoe minder bedrijven het 'ik wist het niet'-argument kunnen gebruiken.'

Drempel

Volgens Feys is de onwetendheid over privacy nog steeds zeer aanwezig. 'Het gebeurt regelmatig dat klanten uit de lucht vallen als blijkt dat ze niet in orde zijn met het beleid. Veel bedrijven kopiëren ook elkaars regels, maar zo werkt het niet meer.' Daar zijn de vereisten te specifiek voor: bij cookies moet duidelijk aangegeven zijn welke data gebruikt worden en voor welke doeleinden. Dat is niet zomaar over te nemen. 

Maar bedrijven staan soms ook expliciet weigerachtig tegenover de privacy- en cookiebanners. 'Het wordt vaak een bijkomende drempel genoemd, die gebruikers in de armen van de concurrentie zou duwen. De prioriteiten liggen elders.' En dat is jammer, zegt Feys, want GDPR maakt ook veel mogelijk. '