2022
Onderzoek "cookies op perssites": Groupe Rossel beboet
De GBA maakt vandaag bekend dat zij een boete van 50.000 euro heeft opgelegd aan de persgroep Rossel voor haar beheer van cookies op de websites lesoir.be, sudinfo.be en sudpressedigital.be. De boete heeft vooral betrekking op schendingen in verband met de vereiste toestemming voor het plaatsen van niet-essentiële cookies. Dit is de tweede beslissing die de GBA neemt in het kader van haar thematische onderzoek naar het beheer van cookies op de meest populaire Belgische perssites.
Schendingen in verband met toestemming en de praktijk van "further browsing"
Personen die verantwoordelijk zijn voor websites die cookies willen plaatsen of lezen, moeten om dit te doen vooraf de toestemming van de gebruiker vragen, tenzij deze cookies strikt noodzakelijk zijn (om de gebruiker een dienst te verlenen waarom hij uitdrukkelijk heeft verzocht of voor de goede technische werking van een website).
De GBA heeft tijdens haar onderzoek op dit vlak echter verschillende schendingen op de bovengenoemde sites vastgesteld:
- Voorafgaande toestemming: verschillende cookies waren door deze websites op het apparaat van de bezoeker geplaatst voordat de bezoeker daarmee had ingestemd (47 voor Sudinfo, 104 voor Le Soir, 23 voor Sudpresse éditions digitales);
- Ontbreken van toestemming voor analytische en sociale netwerk-cookies: Groupe Rossel baseerde zich voor de plaatsing van analytische en sociale netwerk-cookies op het gerechtvaardigde belang, en vroeg hiervoor dus niet om de toestemming van de gebruiker, terwijl een toestemming in principe (en zeker in dit geval) vereist is voor de plaatsing van niet strikt noodzakelijke cookies;
- Informatie voor de gebruiker: het cookiebeleid was onvolledig en moeilijk toegankelijk;
- Further browsing: de sites van Groupe Rossel beschouwden het verder surfen ("further browsing") als een teken van toestemming van de gebruiker, terwijl de toestemming pas als geldig kan worden beschouwd als zij het resultaat is van een duidelijke en voldoende specifieke, actieve handeling om het accepteren van cookies te bevestigen, die losstaat van de wens om een informatiedienst te blijven gebruiken; de toestemming kan dus niet worden afgeleid uit het feit dat de gebruiker op de site blijft surfen;
- Vooraf aangevinkte toestemmingsvakjes: de toestemmingsvakjes voor de plaatsing van cookies door derde partijen waren reeds vooraf aangevinkt. Toestemming moet echter actief worden gegeven en kan dus niet worden beschouwd als "standaard" gegeven.
Wanneer een gebruiker zijn toestemming introk, was deze intrekking bovendien niet effectief.
De Geschillenkamer van de GBA heeft dan ook besloten om Groupe Rossel een boete van 50.000 euro op te leggen.
Rossel kan tegen deze beslissing beroep aantekenen.
Tweede beslissing in het kader van het thematische onderzoek "cookies op de perssites"
Op 25 mei 2022 kondigde de GBA aan dat zij 20 verschillende websites onder de loep had genomen (een volledige lijst is beschikbaar op bladzijde 2 van beslissing 103/2022) in het kader van een thematisch onderzoek naar cookies die waren geplaatst door de meest populaire Belgische perssites. Beslissing 103/2022 van vandaag is de tweede beslissing van de GBA naar aanleiding van dit onderzoek en heeft betrekking op slechts een gedeelte van het onderzoek. In het kader van deze inspectie zijn nog andere dossiers aan de Geschillenkamer overgemaakt.
Hielke Hijmans, voorzitter van de Geschillenkamer van de GBA: "De schendingen die wij op de websites van Le Soir, Sudinfo en Sudpresse éditions digitales hebben vastgesteld, betreffen een miskenning van de beginselen van gegevensbescherming zelf, en op het moment van onze beslissing behoorden deze websites tot de 10 meest bezochte mediasites in België*. Het is van wezenlijk belang dat perssites, die bovendien door een groot aantal gebruikers worden geraadpleegd, de regels inzake gegevensbescherming naleven."
[*Volgens de cijfers van het Centrum voor Informatie over de Media (CIM)]
Herinnering: regels inzake toestemming
De GBA herinnert eraan dat om geldig te zijn in de zin van de AVG, een toestemming aan bepaalde strikte voorwaarden moet voldoen. Zij moet met name geïnformeerd, ondubbelzinnig, vrijelijk (de gebruiker mag geen negatieve gevolgen ondervinden als hij weigert zijn toestemming te geven) en specifiek worden gegeven (men stemt in met een goed gedefinieerde gegevensverwerking, wat betekent dat de gebruiker de mogelijkheid moet hebben om voor bepaalde soorten cookies wel zijn toestemming te geven en voor andere niet, en in ruimere zin: de toestemming voor het verzamelen van gegevens via cookies wordt los van de wens om zich aan te melden voor een dienst gegeven).
Meer bijzonderheden over toestemming in het kader van de plaatsing van cookies zijn beschikbaar in ons thematische dossier "cookies”.