Het plaatsen van een cookiewall lijkt op grond van de AVG niet te zijn toegestaan, omdat hierdoor geen geldige toestemming kan worden verkregen. Overeenkomstig artikel 7 lid 4 AVG kan worden beargumenteerd dat een cookiewall het plaatsen van tracking cookies
voorwaardelijk stelt aan het verkrijgen van toegang tot de website, terwijl het plaatsen van tracking cookies niet noodzakelijk zijn voor het verlenen van toegang tot de website. Het is echter maar de vraag of dit kan leiden tot een absoluut verbod op een cookiewall. Gesteld kan worden dat het plaatsen van tracking cookies ten behoeve van OBA wel degelijk noodzakelijk zijn voor het verlenen van gratis toegang tot een website. Websites kunnen worden gefinancierd door advertentie-inkomsten en OBA kan bijdragen aan het tonen van effectievere advertenties. Bij het verbieden van een cookiewall door de AP lijkt geen belangenafweging te hebben plaatsgevonden en heeft de AP het verbod slechts gebaseerd op het niet kunnen verkrijgen van een vrije toestemming. Een belangenafweging van het recht op vrijheid van ondernemerschap en het recht op bescherming van persoonsgegevens, zou een rol kunnen spelen bij de beoordeling van het al dan niet toestaan van een cookiewall. Of de belangen van ondernemingen kunnen worden meegewogen binnen het toestemmingsbegrip, wordt hieronder besproken.
5.1. Belangen van gebruikers in verhouding tot de belangen van ondernemingen
De huidige wetgeving beoogt de gebruiker bescherming van zijn persoonsgegevens te bieden, waarvan het geven van toestemming een belangrijke waarborg is. Aan het recht op privacy van de gebruiker wordt veel gewicht toegekend en daarnaast wordt waarde gehecht aan het verkrijgen van toegang tot informatie. Zoals in paragraaf 2.3. is besproken kan gesteld worden dat het plaatsen van tracking cookies op de eindapparatuur van gebruikers inbreuk maakt op deze rechten. Het opslaan van persoonsgegevens door middel van deze cookies voor het gebruik van OBA kan invloed hebben op de wijze waarop men zich gedraagt, wat kan leiden tot een chilling effect. Ook zullen gebruikers door complexe en vele toestemmingsverzoeken eerder instemmen met een verzoek om verwerking, zonder hiervan de privacygevolgen te overzien. Daarnaast kunnen gebruikers door het plaatsen van een cookiewall worden aangetast in hun recht op toegang tot informatie, omdat gebruikers hierdoor slechts voorwaardelijk toegang krijgen tot een website.
Het verbod op het plaatsen van een cookiewall kan een negatieve impact op het businessmodel van veel ondernemingen hebben en derhalve een impact op de vrijheid van ondernemerschap overeenkomstig artikel 16 Handvest. De AVG perkt dit recht in, omdat het voor bedrijven niet is toegestaan om data te verzamelen zonder toestemming van de betrokkene of andere grondslag als bedoeld in artikel 6 lid 1 AVG. Daarnaast lijkt uit artikel 7
lid 4 AVG te volgen, dat het voor websitehouders niet is toegestaan om toegang tot hun website voorwaardelijk te stellen aan het verlenen van toestemming voor de verwerking van persoonsgegevens.
De belangen van enerzijds de gebruikers en anderzijds de ondernemingen lijken lijnrecht tegenover elkaar te staan. De Nederlandse regering hecht waarde aan de vrijheid van ondernemerschap en heeft om die reden besloten het plaatsen van cookiewalls overeenkomstig de Telecommunicatiewet, niet te verbieden. Uit de e-Privacyrichtlijn valt niet specifiek op te maken of belangen van ondernemingen worden meegewogen. Echter zou kunnen worden beredeneerd dat de e-Privacyrichtlijn waarde hecht aan de belangen van ondernemingen, aangezien overweging 25 het toestaat dat aan toegang tot specifieke inhoud van een website de voorwaarde wordt verbonden dat hiervoor een cookie of soortgelijke voorziening wordt aanvaard.
5.2. Belangenafweging mogelijk?
De considerans van de AVG maakt duidelijk dat het recht op bescherming van persoonsgegevens niet onvoorwaardelijk geldt en overeenkomstig het evenredigheidsbeginsel moet worden afgewogen tegen andere grondrechten. Bij de totstandkoming van de AVG is rekening gehouden met alle grondrechten uit het Handvest, onder andere met het recht op bescherming van persoonsgegevens, vrijheid van meningsuiting en van informatie en het recht op de vrijheid van ondernemerschap. Daarmee beoogt de AVG alle grondrechten te eerbiedigen.150 Hiermee lijkt er in de AVG al een belangenafweging tussen grondrechten te
hebben plaatsgevonden, waarbij meer waarde is gehecht aan de bescherming van persoonsgegevens. De AVG bevat echter een aantal open normen. De AVG geeft geen duidelijke uitleg aan het weigeren van toestemming zonder nadelige gevolgen.151 Daarnaast
laat de AVG in het midden wat wordt bedoeld met de toestemming die niet noodzakelijk is voor het verlenen van een dienst.152 Deze open normen kunnen ruimte geven voor een nieuwe
belangenafweging op grond van artikel 52 Handvest, zoals blijkt uit het volgende.
Het Handvest is aan te merken als primair EU-recht, omdat het blijkens artikel 6 lid 1 Verdrag betreffende de Europese Unie eenzelfde juridische waarde heeft als de verdragen van de
150 Ov. 4 AVG. 151 Ov. 42 AVG.
Europese Unie.153 Bepalingen uit het Handvest kunnen daarom directe horizontale werking
hebben en rechten en plichten voor private partijen scheppen.154 Artikel 52 lid 1 Handvest
bevat een beperkingsclausule waarmee grondrechten uit het Handvest kunnen worden beperkt. Op grond hiervan kunnen het recht op bescherming van persoonsgegevens en het recht op toegang tot informatie155 worden beperkt door het recht op vrijheid van
ondernemerschap.156 Een beperking van een grondrecht is slechts toelaatbaar, indien zij bij de
wet is gesteld en het evenredigheidsbeginsel in acht wordt genomen. Het evenredigheidsbeginsel vereist dat de beperking niet verder gaat dan geschikt en noodzakelijk om het beoogde doel te bereiken. Hierbij moet worden bepaald of het doel ook met een minder ingrijpende maatregel kan worden bereikt en of de nadelige gevolgen evenredig zijn met het beoogde doel.157 Het toepassen van een bepaald grondrecht, zoals het recht op
bescherming van persoonsgegevens, mag over het algemeen geen grote inbreuk maken op andere grondrechten, zoals het recht op vrijheid van ondernemerschap. Het Europese Hof van Justitie heeft in het Lindqvist-arrest bepaald dat een juist evenwicht moet worden gevonden tussen de verschillende beschermde grondrechten.158
Het plaatsen van een cookiewall kan inbreuk maken op de bescherming van persoonsgegevens en op het recht op toegang tot informatie. Ondanks het recht van de gebruiker op toegang tot informatie, staat het de websitehouder vrij om een gewenst businessmodel te hanteren, zoals het stellen van voorwaarden aan het verkrijgen van toegang tot zijn website. Het recht op toegang tot informatie impliceert bijvoorbeeld niet het recht om zonder betaling toegang tot informatie te krijgen. In beginsel staat het een websitehouder vrij om een vergoeding te vragen voor het verkrijgen van toegang tot de website.159
Beargumenteerd kan worden dat de vrijheid van ondernemingen om te kiezen voor een bepaald businessmodel zoals het plaatsen van een cookiewall, bijdraagt aan het genereren van inkomsten. In het Sky Österreich-arrest heeft het Europese Hof van Justitie echter bepaald dat de vrijheid van ondernemerschap geen absolute gelding heeft, maar dat het in relatie tot haar maatschappelijke functie moet worden beschouwd. Daarnaast kan volgens het Hof de
153 Barkhuysen, Bos & Ten Have, NTBR 2011, par. 3.1.1. 154 Asser/Hartkamp 3-I 2015/231f.
155 Art. 8 Handvest; art. 10 EVRM jo. 11 Handvest. 156 Art. 16 Handvest.
157 Lenaerts, Gutiérrez-Fons 2013, p. 42. 158 HvJ EU 6 november 2003 (Lindqvist) §85. 159 Zuiderveen Borgesius e.a., EDPL 2017/3, p. 12.
overheid op verschillende manieren in de vrijheid van ondernemerschap ingrijpen, waardoor beperkingen aan de uitoefening van de economische activiteit kunnen worden gesteld in het algemeen belang.160 Bovendien hecht het Europese Hof van Justitie veel waarde aan het recht
op bescherming van persoonsgegevens, zoals blijkt uit het Google Spain-arrest. Hierin is bepaald dat het recht op bescherming van persoonsgegevens in beginsel zwaarder weegt dan louter economische belang van een verwerkingsverantwoordelijke.161
Zoals beschreven in paragraaf 1.2.2. is het niet duidelijk of OBA daadwerkelijk effectiever is dan contextueel adverteren. Daarom is het moeilijk te beargumenteren dat het plaatsen van een cookiewall ten behoeve van OBA daadwerkelijk zo geschikt is voor het genereren van inkomsten, zoals ondernemingen betogen. Daarnaast kan gesteld worden dat ondernemingen hun vrijheid van ondernemerschap ook kunnen uitoefenen door een minder ingrijpende maatregel. Ondernemingen kunnen bijvoorbeeld ook kiezen voor een businessmodel waarbij een toestemmingsverzoek wordt geboden, waarmee de gebruiker ook de keuze wordt gegeven om tracking cookies te weigeren. Bovendien mogen de nadelige gevolgen niet onevenredig zijn met het beoogde doel van de onderneming. Onder nadelige gevolgen kunnen worden verstaan het niet kunnen krijgen van toegang tot een website, oftewel een inbreuk op het recht op toegang tot informatie, of een inbreuk op het recht op privacy. Het recht op bescherming van persoonsgegevens weegt zwaarder dan het economische belang van de verwerkingsverantwoordelijke. Daarom kan gesteld worden dat het belang van de onderneming bij het plaatsen van een cookiewall onevenredig nadelige gevolgen bij de gebruiker oplevert. Op grond van het voorgaande kan geconcludeerd worden, dat een beperking van het recht op toegang tot informatie en het recht op bescherming van persoonsgegevens door het recht op vrijheid van ondernemerschap, waarschijnlijk niet zal slagen.