In het grondige besluit van 130 pagina’s stelt de waakhond dat het Transparency and Consent Framework (TCF) van marketingorganisatie IAB Europe, ingezet door meer dan 80 procent  van de websites en apps in Europa, in een aantal opzichten tegen databeschermingswet AVG indruist.

TCF is niet transparant genoeg. Consumenten hebben geen sjoege dat hun toestemming voor het plaatsen van tracking cookies (ook: third party cookies) betekent dat hun gegevens worden verwerkt door duizenden onbekende reclamebedrijven, ook al staan die genoemd in cookie- en privacyverklaringen. De data voeden de Real-Time Bidding (flitsveilingen) die websites voorzien van reclame gericht op vermeende interesses, en daar kun je als consument weinig tegen doen. Van de noodzakelijke bescherming en controle over gegevens zoals voorgeschreven door de AVG, komt te weinig terecht ook al kunnen consumenten hun toestemming onthouden.

De klacht was ingediend door organisaties en individuen, zoals de ICCL in Ierland, Panoptykon Foundation en Bits of Freedom in Nederland, en individuen als de Belgische onderzoeker Jef Ausloos van het Instituut voor Informatierecht (Ivir) van de Universiteit van Amsterdam.

Direct in overtreding

IAB Europe is in Brussel gevestigd, vandaar dat Belgische Gegevensbeschermingsautoriteit (GBA) de zaak heeft afgehandeld. Andere toezichthouders hebben geholpen en ingestemd met het Belgische oordeel. Er kwamen ook nationaal ingediende klachten tegen de cookies bij de toezichthouders in de verschillende lidstaten binnen.

IAB krijgt een boete van 250.000 euro, en twee maanden tijd om een voorstel te doen om het systeem aan te passen. Dat wordt dan weer beoordeeld door de GBA. Dus Europese uitgevers die TCF hanteren – zoals DPG Media met AD, Nu.nl en Volkskrant, Mediahuis met Telegraaf.nl en RTL - meenden nog wat respijt te hebben.

De Nederlandse Autoriteit Persoonsgegevens kwam daar echter overheen met de mededeling dat de Nederlandse uitgevers die TCF in die twee maanden nog blijven gebruiken, in overtreding zijn en straf kunnen krijgen. Dit zag de markt als nare aanscherping, te meer daar er geen enkel overleg geweest was. De AP meent dat deze onmiddellijke handhaving een logisch uitvloeisel is van het Belgische oordeel.

Instemmend commentaar

De Europese consumentenorganisatie BEUC stelt in een verklaring dat de TCF-veroordeling de nekslag is voor tracking cookies: ‘Dit besluit kan de hele wijze van online adverteren met tracking technologie aan banden leggen. Wat overigens al veel eerder had moeten gebeuren…Online reclamebedrijven maken vaak gebruik van toestemmingsmechanismen die ondoorzichtig en manipulatief zijn en de consument geen echte keuze bieden om ‘nee’ te zeggen.’

Rejo Zenger in een commentaar van Bits of Freedom: ‘En er is natuurlijk ook niets mis met een advertentie van een bouwmarkt als je een klusvideo bekijkt. Maar er is wel heel veel mis met het heimelijk toestemming vragen voor spionage, en daar is de toezichthouder het gelukkig mee eens.’

IAB Europe meent in een reactie dat het systeem TCF aangepast kan worden. IAB Europe heeft er grote bezwaren tegen dat dat ze wordt bestempeld als ‘verwerkingsverantwoordelijke’ (‘controller’) voor de verzamelde persoonsgegevens. De facto zijn dat immers de websites die TCF gebruiken en mogelijk de veilingen die de persoonsgegevens hanteren voor het plaatsen van reclame.

Claims en zandbak

Tegen de uitspraak kan IAB Europe bezwaar aantekenen bij de Belgische toezichthouder en ook naar het Europese Hof van Justitie gaan. Dat betekent uitstel van executie. Ondertussen kunnen Europese uitgevers en adverteerders doorgaan met gebruik van tracking cookies, maar kunnen met terugwerkende kracht strafbaar zijn.

Dit betekent dat ze het risico lopen op boetes. Ook kunnen claimwolven opstaan die geld ruiken met het indienen van massaclaims, net als die reeds lopen tegen Oracle, Salesforce, Facebook en de GGD in Nederland. Nu de IAB als standaardisatieorgaan verantwoordelijk wordt gehouden, is het juridisch een interessante vraag of ook deze club aan de massakassa gedaagd kan worden.

Tracking cookies zijn vanaf 2023 niet meer hanteerbaar als Google ze voor Chrome gaat blokkeren. Google wil het surfgedrag van gebruikers van Chrome zelf in klaart gaan brengen met een Sandbox, wat nu is uitgewerkt met ‘Topics’: verwerking van persoonsgegevens in doelgroepen waarop advertenties gericht kunnen worden. De data zelf verwerkt Google.

Tegen deze machtsgreep van Google is in verschillend elanden bezwaar gemaakt bij toezichthouders voor mededinging, onder meer in Engeland. En er is net een grote klacht van Europese uitgevers bij de Europese Commissie neergelegd vanwege de machtspositie van Google in de reclamemarkt.

Reclame op trefwoorden

Ondertussen tuigen uitgevers hun eigen systemen voor dataverzameling op met logins en ‘first party cookies’ waarmee ze bezoekers toch kunnen blijven profileren voor reclame. De profielen worden dan niet meer ingezet via het open systeem van veilingen maar uitgevers halen zelf technologie in huis van partijen als Oracle en Salesforce. Of dat op termijn nog wel is toegestaan onder de AVG, valt te bezien.

In dat geval resteert voor uitgevers louter reclame plaatsen op grond van de context van het nieuws, het ouderwetse adverteren aan de hand van trefwoorden. NRC Media doet dit al, en kan profiteren van de vrij homogene, rijke doelgroep van lezers.

Of we van ‘contextgerelateerd adverteren’ zoveel beter van worden is de vraag. Een onvoorzien gevolg kan zijn dat journalistiek dan meer gedwongen wordt om over onderwerpen te schrijven die meer reclame aantrekken, zoals over auto’s, vakantiegebieden, kaas etc. (In de praktijk maak ik dat al mee met één opdrachtgever. Daar gaan we het een volgende keer over hebben.)