GBA neemt maatregelen tegen Mediahuis voor onrechtmatig gebruik van cookiebanners op perssites

---

Het dossier

De GBA heeft klachten ontvangen van een Nederlandse burger, vertegenwoordigd door NOYB voor 4 perssites van Mediahuis inzake het onrechtmatig gebruik van cookiebanners. De klager geeft via zijn gemandateerde vertegenwoordiger  (NOYB) aan dat de perssites geen “alles weigeren” knop op het eerste informatieniveau van de cookiebanner voorzien en dat er gebruik wordt gemaakt van misleidende knopkleuren (“deceptive design patterns”). Ook kaart de klager aan dat het niet zo eenvoudig is om toestemming in trekken, en dat niet strikt noodzakelijke cookies enkel na toestemming geplaatst mogen worden. De GBA besliste om voor deze klachten een schikkingsprocedure aan te vangen, maar doordat het schikkingsvoorstel niet volledig aanvaard werd, werd er overgegaan tot een behandeling ten gronde van het dossier.

De klachten werden door de Oostenrijkse non-profit privacyrechtenorganisatie NOYB ingediend, die als gemandateerde vertegenwoordiger optrad in het dossier. Tijdens het dossier werd de mandatering van de vertegenwoordiger in vraag gesteld, omdat de klager stagiair was bij NOYB op het moment dat NOYB door de persoon gemandateerd werd om klacht in te dienen. De GBA is van oordeel dat de mandatering in dit dossier geldig is, omdat er geen enkele aanwijzing is dat NOYB het initiatief nam om de klager ertoe te zetten klacht in te dienen. De klager gaf trouwens zelf ook aan dat hij niet op instructie van NOYB een probleem heeft vastgesteld. In de beslissing inzake Roularta (beslissing 112/2024 - ook beschikbaar in het Engels) daarentegen heeft de Geschillenkamer beslist dat de mandatering niet geldig is, omdat NOYB in deze zaak aan de klager vroeg een “modelzaak” met een vooraf bepaalde praktijk en verwerkingsverantwoordelijke te onderzoeken.

Conclusies

• Alles-weigeren knop: De plaatsing van niet strikt noodzakelijke cookies is enkel toegestaan op voorwaarde dat de toestemming vrij, specifiek, ondubbelzinnig en op een geïnformeerde wijze wordt verkregen. De Geschillenkamer oordeelt dat toestemming niet vrij kan gegeven worden als er geen evenwaardige keuzemogelijkheid wordt geboden met op dezelfde informatieniveau zowel een “alles weigeren” als een “alles accepteren”-optie. Ook is de toestemming niet ondubbelzinnig omdat de gebruiker niet weet dat hij cookies kan weigeren vermits deze optie pas in een volgend informatieniveau wordt aangeboden. De Geschillenkamer beveelt Mediahuis om haar cookiebanners op dit punt in overeenstemming te brengen, en waar nodig een “alles weigeren”-optie te voorzien.
• Misleidende knopkleuren: De Geschillenkamer is van oordeel dat op de perssites gebruik wordt gemaakt van deceptive design patterns door de knop “akkoord en afsluiten” (alles accepteren) meer in de verf te zetten aan de hand van opvallende kleuren en hierdoor de betrokkene ertoe aan te zetten op deze knop te klikken. De Geschillenkamer concludeert dat het behoorlijkheidsprincipe volgens de AVG geschonden is, alsook dat de toestemming niet geldig is, en beveelt dat de opties ‘’alles weigeren’ en “alles accepteren” op gelijkwaardige wijze worden weergegeven.
• Toestemming intrekken: Op het moment van de indiening van de klacht, was het voor de gebruiker niet even gemakkelijk om zijn toestemming in te trekken. Dit kon enkel na een aantal kliks, terwijl voor het accepteren van alle cookies bij het verkrijgen van toestemming slechts één klik nodig was. Dit is een inbreuk op de AVG, maar de Geschillenkamer heeft ermee rekening gehouden dat Mediahuis ondertussen de nodige stappen ondernomen heeft om dit te verhelpen.
• Gerechtvaardigd belang: Voor de plaatsing van niet strikt noodzakelijke cookies (zoals analytische cookies voor marketingdoeleinden) moet er altijd toestemming zijn. Er mag ingeval van afwezigheid hiervan achteraf niet gekozen worden voor een andere wettelijke basis, nl. het gerechtvaardigd belang, als ‘back-up’ om de plaatsing van cookies toch te laten plaatsvinden. De Geschillenkamer herhaalt dat perssites de toestemming van de gebruiker moeten vragen voor de plaatsing van niet strikt noodzakelijke cookies.

Maatregelen

De GBA beveelt Mediahuis om binnen de 45 dagen na kennisneming van de beslissing de nodige aanpassingen uit te voeren door 1) de cookiebanners aan te passen (op vlak van de weigeringsknop) waarbij 2) geen gebruik gemaakt wordt van misleidende knopkleuren. Indien de cookiebanners nog steeds niet conform zijn vanaf de 46ste dag na bekendmaking van de beslissing, wordt er voor elk niet opgevolgd bevel een dwangsom van 25.000 EUR per dag en per niet-conforme perssite opgelegd. Bovendien berispt de GBA Mediahuis ook en wijst de GBA erop dat Mediahuis enkel strikt noodzakelijke cookies mag plaatsen en uitlezen op grond van het gerechtvaardigd belang.

Mediahuis kan tegen deze beslissing beroep aantekenen bij het Marktenhof.

Cookies: één van de prioriteiten van de GBA

In 2023 had de GBA aangekondigd dat cookies een transversale prioriteit zou worden en heeft in die optiek nieuwsberichten gepubliceerd, documentatie gebundeld en tools ontwikkeld zoals:

• cookie-checklist
• publicatie van EDPB-richtlijnen
• bijwerking van het themadossier “cookies” alsook ons eigen cookiebanner
• nieuwsbericht over het gebruik van een “alles weigeren”-knop

Hielke Hijmans, voorzitter van de Geschillenkamer: “Deze beslissing vestigt de aandacht op het belang van het juiste gebruik van cookies, zoals de verplichting om een knop “alles weigeren” aan te bieden in de cookiebanner wanneer het gaat om cookies die niet strikt noodzakelijk zijn. Deze optie moet vanaf het begin aan de gebruiker worden aangeboden, zodat hij een vrije en geïnformeerde keuze kan maken en meteen kan zien welke mogelijkheden hij heeft. Een voorbeeld van goede praktijken wordt gegeven in de cookie-checklist op onze website".