5.1. Informatieasymmetrie
Zoals beschreven in hoofdstuk drie is uit gedragsstudies gebleken dat één van de grootste problemen op het gebied van cookies de informatieasymmetrie is. Consumenten lezen of begrijpen de privacyverklaringen niet en gaan akkoord met de cookies zonder te begrijpen waar ze akkoord mee gaan. Met de informatieplicht van de huidige cookiebepaling werd beoogd deze informatieasymmetrie te beperken, maar dit is niet effectief gebleken.
Het enige verschil dat de EPV voor de informatieplicht met zich mee zal brengen, is het feit dat deze niet meer expliciet is opgenomen in de cookiebepaling, maar dat deze voortvloeit uit de vereisten van de AVG voor een geldige toestemming.180 De EPV bevat verder geen extra regels met betrekking tot de invulling van de informatieplicht. Voor bedrijven zal er met inwerkingtreding van de EPV dus niks veranderen met betrekking tot de informatie die moet worden verschaft en de manier waarop dit moet worden gedaan.
Waarschijnlijk zal in de praktijk daarom alsnog gebruik worden gemaakt van een cookiebeleid of cookieparagraaf in de privacyverklaring.
De Europese wetgever blijft met de EPV dus binnen het informatieparadigma. Het uitgangspunt blijft dat hoe meer informatie aan de consument wordt verstrekt omtrent de cookies, hoe beter de consument in staat zou zijn om een betekenisvolle keuze te maken omtrent de acceptatie van cookies.181 Uit gedragsstudies is echter gebleken dat het vasthouden aan het informatieparadigma geen oplossing is voor het bewerkstelligen van een
geïnformeerde keuze bij de consument.182 De privacyverklaringen zullen lang, saai, vaag en ingewikkeld blijven, met als gevolg dat consumenten de verklaringen wederom niet zullen lezen of begrijpen. De problemen die bestaan met betrekking tot de privacyverklaringen zullen waarschijnlijk niet verdwijnen met de EPV en het probleem van de
informatieasymmetrie wordt hiermee niet opgelost.
Ik acht het zelfs verdedigbaar dat de informatieasymmetrie zal toenemen aangezien de EPV de mogelijkheid introduceert om toestemming te verkrijgen via browserinstellingen. Op grond van de AVG hebben bedrijven ook dan nog steeds de verplichting de consument te informeren omtrent het gebruik van cookies. Dit zal dan eenmalig gebeuren, voordat de consument de toestemming geeft via de browserinstellingen. Wolters Ruckert en Abdul-
180 Zie subparagraaf 4.2.1. 181 Oehler & Wendt 2017. 182 Solove 2013, p.1885.
Aliyeva vragen zich terecht af hoe het informeren van de consument in dat geval afdoende kan gebeuren. Hoe kunnen consumenten in één keer voldoende geïnformeerd worden voor alle websites en over alle (toekomstige) cookies bij installatie van een browser?183 Volgens Leentfaar kan de consument op het moment van het geven van de toestemming onmogelijk inschatten waar specifieke websites deze toestemming voor gaan gebruiken.184 Ook de Artikel 29-werkgroep is van mening dat er geen sprake kan zijn van een geïnformeerde toestemming bij het geven van toestemming via algemene browserinstellingen.185 Het is onmogelijk dat de consument in één keer alle relevante informatie kan verkrijgen over alle (toekomstige) cookies, wat zou betekenen dat de informatieasymmetrie zal toenemen met de EPV.
Aan de andere kant is het verdedigbaar dat consumenten beter geïnformeerd zullen zijn, doordat ze eerder bereid zijn om één keer een privacyverklaring te lezen. Als je maar één keer de privacyverklaring hoeft te lezen, kost dit namelijk maar één keer tijd en moeite. Uit onderzoek naar algemene voorwaarden is echter gebleken dat ook verklaringen die maar één keer gelezen hoeven te worden over het algemeen niet gelezen worden door de consument.186 Ik acht het onwaarschijnlijk dat dit anders zal zijn voor privacyverklaringen. Aangezien de EPV geen extra eisen stelt aan de privacyverklaringen, zullen de verklaringen lang, saai en ingewikkeld blijven. Zelfs wanneer consumenten ervoor zouden kiezen de verklaring wel te lezen, zullen ze deze niet begrijpen. De informatieasymmetrie zal hierdoor waarschijnlijk blijven bestaan en de kennis en controle over de persoonsgegevens zal daarom niet toenemen.
Op grond van het bovenstaande trek ik de conclusie dat de EPV met betrekking tot het probleem van de informatieasymmetrie waarschijnlijk geen verbeteringen met zich mee zal brengen. De bescherming van de privacy van consumenten zal daarmee niet verbeteren.
5.2. Toestemmingsmoeheid
In combinatie met de informatieplicht heeft het toestemmingsvereiste van de huidige cookiebepaling als gevolg gehad dat consumenten overladen worden met een enorme
hoeveelheid cookiebanners. Alhoewel de cookiebepaling van de EPV de informatieplicht niet als kernelement zal bevatten, zal de informatieplicht op grond van de AVG blijven bestaan.187 Ook lijkt de toestemming van de consument onder de EPV nog steeds het uitgangspunt te zijn
183 Wolters Ruckert & Abdul-Aliyeva 2019, p.18. 184 Leentfaar 2019, p.22.
185 Wolters Ruckert & Abdul-Aliyeva 2019, p.18. 186 Solove 2013, p.1884.
voor het plaatsen van cookies. Met de EPV zal de consument net als onder de huidige wetgeving geïnformeerde toestemming moeten geven, voordat de cookies geplaatst mogen worden. Dit betekent dat het voldoen aan de informatieplicht en het toestemmingsvereiste in de praktijk in beginsel waarschijnlijk dezelfde vorm zal aannemen. Bedrijven zullen gebruik blijven maken van cookiebanners. Het schrappen van de informatieplicht en het
toestemmingsvereiste uit de cookiebepaling van de EPV zal daarom waarschijnlijk niet leiden tot een vermindering van de toestemmingsmoeheid.
Wel beoogt de Europese wetgever de toestemmingsmoeheid tegen te gaan door toestemming via browserinstellingen te introduceren. Aan de ene kant is het verdedigbaar dat dit inderdaad de toestemmingsmoeheid zal verminderen. Consumenten kunnen via hun instellingen in één keer voor een langere periode aangeven of zij toestemming geven voor de cookies, of niet. Dit zou betekenen dat het voor bedrijven niet meer nodig is om gebruik te maken van cookiebanners om de toestemming van consumenten te verkrijgen. De consument zal dan niet meer overladen worden met toestemmingsverzoeken en niet meer zomaar
akkoord gaan met het plaatsen van de cookies zonder zich bewust te zijn van de gevolgen. Alhoewel ik de ratio hierachter begrijp, acht ik het waarschijnlijk dat veel bedrijven alsnog cookiebanners zullen gaan gebruiken om toestemming te verkrijgen voor de
categorieën cookies waar de bezoeker via de instellingen geen algemene toestemming voor heeft gegeven. Het gebruik van tracking cookies is voor de meeste bedrijven namelijk de kern van hun verdienmodel. Zonder deze cookies zal de mogelijkheid om internetdiensten gratis aan te bieden ondermijnd kunnen worden.188 Bedrijven zullen daarom waarschijnlijk alsnog proberen om toestemming te verkrijgen via cookiebanners.189 Dit zou betekenen dat de consument nog steeds overladen wordt met toestemmingsverzoeken, waardoor de
toestemmingsmoeheid onder de EPV naar verwachting in ieder geval niet zal verminderen.
5.3. Status quo bias
De toestemming via browserinstellingen is ook problematisch in het licht van de status quo
bias.190 Alhoewel de AVG de mogelijkheid tot het geven van toestemming via browserinstellingen niet geheel uitsluit, is het in de praktijk op dit moment nog niet
toegestaan.191 Met de EPV zal hier verandering in komen en de browser zal waarschijnlijk een
188 Wolters Ruckert & Abdul-Aliyeva 2019, p.18.
189 https://ictrecht.nl/2018/06/07/hoe-plaats-ik-cookies-nu-25-mei-is-geweest/ 190 Zie paragraaf 3.4.
hoofdrol krijgen in het toestemmingsproces.192 Aangezien de EPV een zogenaamde lex
specialis wordt ten opzichte van de AVG, zullen de bepalingen van de EPV voorrang hebben
op die van de AVG. Indien de EPV het verkrijgen van toestemming via browserinstellingen mogelijk maakt, zal dit geldend recht worden, ongeacht een eventueel verbod op grond van de AVG.
Zoals eerder toegelicht is dit problematisch in het licht van de status quo bias.193 Deze
bias zorgt ervoor dat mensen geneigd zijn te blijven bij een standaardoptie of een eerder
gemaakte keuze.194 Aan de ene kant is het zo dat de privacy van de consument beschermd zal zijn wanneer de standaardinstelling van de browser privacyvriendelijk is en automatisch in ieder geval de tracking cookies weigert. De status quo bias zal er in dat geval waarschijnlijk toe leiden dat de consument deze instelling niet aanpast en daarmee bescherming van de privacy geniet.
Toch acht ik het waarschijnlijk dat de status quo bias in sommige gevallen zal leiden tot een gebrekkige bescherming van de privacy. Er zijn namelijk veel consumenten die wel graag tracking cookies en gepersonaliseerde advertenties willen van bepaalde websites of adverteerders.195 De browserinstellingen werken echter tegenover alle partijen die cookies plaatsen.196 Het is dus niet mogelijk om bij het geven van de toestemming te differentiëren tussen websites of adverteerders. Ik acht het waarschijnlijk dat consumenten dan maar alle cookies gaan accepteren, zonder zich bewust te zijn van waar de gegevens allemaal naartoe gaan. Hiermee verliezen consumenten de controle over de persoonlijke gegevens, met als gevolg een gebrekkige bescherming van de privacy.
Waarschijnlijk zorgt de status quo bias er vervolgens voor dat consumenten deze keuze niet snel zullen aanpassen. De status quo bias leidt er namelijk niet alleen toe dat mensen geneigd zijn te blijven bij een standaardoptie, maar ook bij een eerder gemaakte keuze. Wanneer consumenten dus eenmaal toestemming hebben gegeven voor de cookies, is het onwaarschijnlijk dat ze deze keuze snel aanpassen, ook al verandert de situatie.
Dat artikel 4a lid 3 EPV bedrijven verplicht de consument periodiek binnen twaalf maanden te herinneren aan de gegeven toestemming biedt ook geen extra bescherming. Wanneer de consument na het geven van de toestemming herinnerd wordt aan de gegeven
192 De Bruyne 2018, p.329. 193 Zie paragraaf 3.4.
194 Samuelson & Zeckhauser 1988.
195 Roerdink 2017, p.195. Kamerstukken II, 2013/14, 33902, nr 3. 196 Roerdink 2017, p.195.
toestemming, zal de status quo bias de consument er waarschijnlijk alsnog van weerhouden de instellingen aan te passen.
Ook onder de EPV zal de status quo bias er waarschijnlijk toe leiden dat de consument niet in staat is om een betekenisvolle keuze te maken omtrent de acceptatie van cookies. De EPV zal naar mijn mening ook op dit punt geen verbetering met zich meebrengen voor de bescherming van de privacy van de consument.
5.4. Present bias
Zoals eerder toegelicht is het gebruik van een cookiewall problematisch in het licht van de privacy van de consument gezien de present bias.197 Minister Dekker pleit dan ook voor een algemeen verbod en benadrukt hierbij dat het gaat om het fundamentele grondrecht op privacy. Een verbod op cookiewalls zou puur vanuit het oogpunt van de privacy kunnen worden beschouwd als een verbetering voor de consument. Op dit moment lijkt een absoluut verbod echter geen onderdeel van de EPV te worden, maar lijkt de mogelijkheid van een
cookiewall juist versoepeld te worden door cookiewalls in beginsel expliciet toe te staan.
Volgens de verschillende conceptteksten van de Raad zijn cookiewalls in principe toegestaan, behalve in bepaalde situaties, zoals wanneer die gebruikt wordt door
overheidsinstanties. Dit is echter ook al het geval onder de huidige Nederlandse wetgeving en zal daarom niet leiden tot meer bescherming voor de consument in Nederland.198 Inmiddels is aan het EPV-voorstel toegevoegd dat ook een dominante positie van een bedrijf ertoe kan leiden dat de consument bij een cookiewall geen daadwerkelijke keuze meer heeft. Dit is in lijn met mijn standpunt dat de wanverhouding tussen een websitehouder en de consument de
present bias versterkt bij het maken van een keuze.199 In het licht van de present bias is deze toevoeging dus gunstig voor de privacy van de consument.
Ondanks deze toevoeging lijkt de EPV cookiewalls in beginsel toe te staan voor commerciële websites. Als gevolg van de present bias zullen consumenten hierdoor de controle over de persoonsgegevens verliezen. Dat de AP heeft bepaald dat de cookiewall verboden is onder de AVG verandert hier niks aan. De EPV is namelijk een lex specialis ten opzichte van de AVG en heeft daarom in beginsel voorrang. Indien de AVG het gebruik van
cookiewalls niet toestaat, maar de EPV wel, betekent dit dat de regel van de EPV omtrent de cookiewall voorrang heeft. Dit zou betekenen dat de EPV op dit gebied het
197 Zie paragraaf 3.5. 198 Artikel 11.7a lid 5 Tw. 199 Zie paragraaf 3.5.
beschermingsniveau voor consumenten zal verlagen ten opzichte van de AVG.200 De EPV voldoet hiermee niet aan het doel om een gelijkwaardig of hoger beschermingsniveau te bieden dan de AVG.201
Indien de cookiewall mogelijk wordt onder de EPV, acht ik het tot slot verdedigbaar dat het gebruik hiervan zal toenemen, doordat toestemming via browserinstellingen mogelijk wordt. Omdat het aanbieden van gratis internetdiensten waarschijnlijk niet meer mogelijk is als veel consumenten in de browser alle tracking cookies weigeren, zullen bedrijven
waarschijnlijk meer gebruik gaan maken van een cookiewall en de toegang tot de website weigeren indien geen toestemming wordt gegeven. De present bias zal er waarschijnlijk toe leiden dat consumenten de cookies dan alsnog gaan accepteren. Het gevolg hiervan is dat de consument nog minder kennis en controle zal hebben over zijn persoonsgegevens. Puur bekeken vanuit privacy optiek, zal de EPV op dit punt waarschijnlijk leiden tot minder bescherming van de consument.202
5.5. Conclusie
De EPV zal mijns inziens in het licht van de gesignaleerde problemen vanuit gedragsstudies waarschijnlijk geen verbeteringen met zich meebrengen voor de privacy van consumenten. Ten eerste zal de EPV geen veranderingen teweegbrengen op het gebied van de
informatieplicht, waardoor de privacyverklaringen hetzelfde zullen blijven en de
informatieasymmetrie waarschijnlijk niet verholpen zal worden. Daarnaast zal het verkrijgen van toestemming via browserinstellingen mogelijk worden. Dit is problematisch in het licht van de informatieasymmetrie, de toestemmingsmoeheid en de status quo bias. Tot slot zal de EPV de mogelijkheid tot het gebruik van een cookiewall voor bedrijven versoepelen ten opzichte van de huidige wetgeving. Het gebruik van cookiewalls zal met de EPV
waarschijnlijk toenemen en de present bias zal als gevolg daarvan vaker invloed hebben op de keuzes van consumenten.
200 Poulus 2019, p.100. 201 Overweging 2a EPV. 202 Poulus 2019, p.100.
6. Conclusie
In dit onderzoek stond de volgende onderzoeksvraag centraal:
‘Zullen de nieuwe cookieregels uit de e-Privacyverordening kunnen bijdragen aan een versterking van de bescherming van de privacy van consumenten, bezien vanuit de inzichten uit gedragsstudies?’
Op basis van mijn onderzoeksgegevens moet deze vraag negatief beantwoord worden. De uit gedragsstudies gesignaleerde problemen die bestaan onder de huidige wetgeving zullen waarschijnlijk niet of nauwelijks verholpen worden met de EPV. Verschillende
constateringen hebben tot deze conclusie geleid.
Het probleem van de informatieasymmetrie houdt in dat consumenten minder kennis hebben over cookies en de gevolgen daarvan dan de bedrijven die de cookies plaatsen. Uit mijn onderzoek blijkt dat dit probleem waarschijnlijk niet zal verdwijnen met de EPV. In de EPV wordt de informatieplicht niet meer expliciet genoemd, maar zal deze impliciet blijven bestaan op grond van de AVG. De EPV bevat verder geen extra vereisten voor de
informatieverschaffing, waardoor de privacyverklaringen in de praktijk hetzelfde zullen blijven. Ook al hoeven consumenten de privacyverklaring maar één keer te lezen wanneer het verkrijgen van toestemming via browserinstellingen mogelijk wordt, zal dit er waarschijnlijk niet toe leiden dat consumenten de verklaring gaan lezen. De verklaringen zullen lang, saai, ingewikkeld en onbegrijpelijk blijven en daardoor niet gelezen, laat staan begrepen worden. Daarnaast is het onmogelijk de consument in één keer afdoende te informeren over alle (toekomstige) cookies. De consument zal met de EPV waarschijnlijk vooralsnog niet voldoende kennis omtrent de cookies verkrijgen, geen controle over de persoonsgegevens hebben en daarmee geen betere positie verkrijgen in het licht van de privacy.
Doordat consumenten onder de huidige wetgeving overladen worden met een grote hoeveelheid toestemmingsverzoeken, worden ze als gevolg van het fenomeen
toestemmingsmoeheid immuun voor de verzoeken en accepteren ze alle cookies blindelings.
Met betrekking tot de toestemmingsmoeheid concludeer ik dat dit probleem met de EPV waarschijnlijk niet verholpen wordt door toestemming via browserinstellingen te
introduceren. Bedrijven zijn voor hun inkomsten afhankelijk van tracking cookies, waardoor ik het waarschijnlijk acht dat ze alsnog cookiebanners zullen gaan gebruiken om toestemming te verkrijgen voor de categorieën cookies waar de bezoeker via de browserinstellingen geen toestemming voor heeft gegeven.
Door de status quo bias zijn mensen geneigd een eerder gemaakte keuze of
standaardinstelling niet aan te passen. Ook de invloed van de status quo bias op de keuzes van de consument zal onder de EPV waarschijnlijk niet verminderen. Wanneer de
standaardinstelling van de browser privacyvriendelijk is, zal de status quo bias er
waarschijnlijk toe leiden dat consumenten de standaardinstelling niet snel aanpassen en de privacy in principe wordt beschermd. Aan de andere kant belemmert toestemming via browserinstellingen consumenten te differentiëren per website of adverteerder, met als waarschijnlijk gevolg dat ze dan maar alle cookies gaan accepteren. Het resultaat hiervan zal het verlies van controle over de persoonsgegevens zijn. Tot slot zal de eenmaal gegeven toestemming als gevolg van de status quo bias naar verwachting niet snel ingetrokken worden, ook al verandert de situatie. De mogelijkheid voor bedrijven om toestemming via browserinstellingen te verkrijgen, leidt als gevolg van de status quo bias dus waarschijnlijk tot minder bescherming van de privacy van de consument.
Tot slot kiezen consumenten door de present bias vaak voor voordelen op korte termijn en accepteren ze daarom alle cookies indien toegang tot een website dit vereist. De EPV zal de invloed van de present bias op de keuze waarschijnlijk versterken door de mogelijkheid tot het gebruik van een cookiewall voor bedrijven te versoepelen ten opzichte van de huidige wetgeving. Ik acht het waarschijnlijk dat de combinatie van toestemming via browserinstellingen en het toestaan van cookiewalls ertoe zal leiden dat meer bedrijven
cookiewalls gaan gebruiken. Hierdoor zal de present bias waarschijnlijk steeds vaker een rol
gaan spelen bij de acceptatie van cookies door de consument. De consument verliest de controle over de gegevens met een gebrekkige bescherming van de privacy als gevolg.