Expliciete toestemming bij plaatsen cookies

De discussie over het plaatsen van cookies bij bezoekers van websites is de afgelopen periode aangezwengeld, met name door het wetsvoorstel dat de Europese richtlijn 2009/136/EC implementeert. In dat wetsvoorstel wordt namelijk gesproken van een ondubbelzinnige toestemming van de gebruiker voordat cookies worden geplaatst. De richtlijn gebruikt het woord ondubbelzinnig echter niet en na veel kritiek schijnt die term uit de laatste versie van het (nog niet gepubliceerde) conceptwetsvoorstel verwijderd te zijn.

Tot op heden worden cookies vaak geplaatst zonder expliciete toestemming. Ik tref vaak een indrukwekkende hoeveelheid cookies aan bij de back-up van Mijn Documenten in Windows. Uit de eerste paar bestanden is meteen al duidelijk dat ik geen expliciete instemming heb gegeven voor alle cookies die in de map staan.

Over die instemming kan je overigens wel van mening verschillen. Ik had natuurlijk de privacy-instellingen van mijn browser omhoog kunnen krikken, zodat er bijvoorbeeld helemaal geen cookies meer worden geaccepteerd. Door te kiezen voor minder privacy accepteer ik ook dat er cookies geplaatst worden. Problematisch hierbij is echter wel de vraag hoe expliciet ik kies voor de matige privacy-instellingen. Mijn browser heeft me bij de installatie of bij het opstarten niet gevraagd wat ik met cookies wil doen. De gemiddelde gebruiker weet wellicht niet eens dat deze instellingen bestaand en aan te passen zijn.

Zou ik de privacy-instellingen op scherp stellen, dan loop ik wel tegen beperkingen in de gebruiksvriendelijkheid op. Het kan namelijk prettig zijn ingelogd te blijven op bepaalde websites, al is dat niet de meest veilige functionaliteit. In die gevallen kies je doorgaans wel expliciet voor de lokale opslag van de inloggegevens met een speciale vinkbox. Aanvinken betekent ingelogd blijven. Voor dergelijke toepassingen bestaat er dus al een vorm van een expliciete toestemming.

De Artikel 29 werkgroep wil, net als in het eerste Nederlandse wetsvoorstel, de verplichting om een expliciete instemming aan te bieden zowel bij de leveranciers van browsers leggen als bij adverteerders en de aanbieders van websites. De standaardinstellingen van een webbrowser kunnen volgens de werkgroep niet worden gezien als een instemming met de plaatsing van cookies. Bovendien zouden adverteerders en aanbieders van websites de bezoekers moeten informeren over het doel van de cookies zodat die bezoekers een geïnformeerde keuze kunnen maken over het wel of niet toestaan van de plaatsing van cookies. Het informeren van bezoekers bij de plaatsing van (of wijziging van bestaande) cookies is overigens al langer een verplichting die echter niet of zelden wordt nageleefd.

Zelf heb ik, buiten het onthouden van inloggegevens, geen ervaring met websites die om expliciete toestemming vragen bij het opslaan van cookies. Voorbeelden zijn welkom in de reacties.