Een toepassing van de Richtlijn oneerlijke
handelspraktijken op behavioural targeting
Masterscriptie Universiteit van Amsterdam Naam: Sophie Wijdeveld
Studentnummer: 10173579 Master: Informatierecht
Begeleider: dr. F.J. Zuiderveen Borgesius Datum: 25 juli 2016
Abstract
Online diensten worden tegenwoordig vrijwel alleen nog tegen betaling van persoonsgegevens aangeboden. Het traditionele ruilmiddel geld wordt langzaamaan vervangen door persoonlijke data. Bedrijven creëren gebruikersprofielen met behulp van de verzamelde persoonsgegevens, om vervolgens gerichte advertenties te sturen (behavioural targeting). Behavioural targeting heeft de capaciteit van bedrijven vergroot om consumenten persoonlijk te beïnvloeden. Over het algemeen heeft de internetgebruiker nauwelijks inzicht in dit proces waardoor er een informatie-asymmetrie bestaat tussen bedrijven die tracking cookies plaatsen enerzijds en de internetgebruiker anderzijds. Om deze informatie-asymmetrie te beperken, is eenieder die tracking cookies op de computer van een internetgebruiker wil plaatsen, verplicht daarvoor geïnformeerde toestemming aan de betrokkene te vragen.1 Dit vereiste blijkt in de praktijk niet geschikt te zijn om informatie-asymmetrie tegen te gaan.
In deze scriptie onderzoek ik of het consumentenrecht en dan specifiek de Richtlijn oneerlijke handelspraktijken, beter geschikt is om de internetgebruiker te beschermen tegen informatie-asymmetrie. De informatie-asymmetrie bij behavioural targeting analyseer ik met behulp van drie case studies: het niet informeren over het plaatsen van cookies, het aanprijzen van een dienst als ‘gratis’ en het plaatsen van een cookiewall. Vervolgens toets ik of deze case studies op grond van de Richtlijn als oneerlijke handelspraktijken kunnen worden beschouwd. Uiteindelijk concludeer ik dat het niet informeren over cookies en het aanprijzen van een dienst als ‘gratis’, onder omstandigheden als misleidende omissies aangemerkt kunnen worden. Verder concludeer ik dat het plaatsen van een cookiewall onder omstandigheden een agressieve handelspraktijk kan zijn. Mijn eindconclusie is dat de Richtlijn in sommige situaties bescherming aan de consument kan bieden tegen informatie-asymmetrie. In mijn conclusie geef ik tevens aanbevelingen voor nader onderzoek van bepaalde aspecten uit de Richtlijn, waardoor deze nog beter geschikt is om bescherming te bieden aan de consument tegen informatie-asymmetrie bij behavioural targeting.
1 Artikel 5.3 van Richtlijn 2009/136/EG en artikel 11.7a lid 5 Telecommunicatiewet.
Inhoudsopgave
1. Inleiding ... 4
1.1 Methode van onderzoek ... 5
2. Informatie-asymmetrie bij behavioural targeting ... 7
2.1 Behavioural targeting ... 7
2.2 Het vereiste van ‘geïnformeerde toestemming’ voor het plaatsen van cookies ... 8
2.3 Het probleem van privacy bij informatie-asymmetrie ... 11
3. Case studies ... 14
3.1 Het plaatsen van cookies zonder de internetgebruiker te informeren. .. 14
3.2 Een dienst als ‘gratis’ aanprijzen ... 15
3.3 Het plaatsen van een cookiewall ... 16
4. Richtlijn oneerlijke handelspraktijken ... 19
4.1 Mogelijkheden van de Richtlijn voor behavioural targeting? ... 19
4.2 Toepassingsgebied van de Richtlijn ... 21
4.3 Toepassing van de Richtlijn op behavioural targeting ... 22
5. Toetsing van de Richtlijn oneerlijke handelspraktijken ... 25
5.1 Misleidende handelingen, -omissies en agressieve handelspraktijken .... 25
5.2 Kan het plaatsen van tracking cookies zonder de internetgebruiker te informeren een misleidende handelspraktijk zijn? ... 26
5.3 Kan een dienst die als ‘gratis’ wordt aangeprezen een misleidende handelspraktijk zijn? ... 28
5.4 Kan een cookiewall een agressieve handelspraktijk zijn? ... 30
6. Evaluatie, aanbevelingen en conclusie ... 33
6.1 Evaluatie ... 33 6.2 Conclusie en aanbevelingen ... 36 Literatuurlijst ... 37
1. Inleiding
Afgelopen april werd het jaarverslag van de Autoriteit Persoonsgegevens uit 2015 gepresenteerd. De voorzitter van de Autoriteit Persoonsgegevens, Jacob Kohnstamm, zei hierin het volgende: ‘’Apps, zoekmachines, sociale media: zij worden vaak alleen nog tegen betaling met persoonsgegevens aangeboden. Persoonsgegevens worden zodoende vermarkt. Geld wordt op deze terreinen als ruilmiddel langzaamaan vervangen door persoonsgegevens. Maar waar het uitgeven van geld eenmalig en zichtbaar is, is de afgifte van persoonsgegevens veel minder zichtbaar en blijft het hergebruik daarvan buiten ieders zicht of controle. Met behulp van die gegevens, ook wel Big Data genoemd, worden wij allemaal geprofileerd. Mensen van vlees en bloed worden profielen. Zij worden benaderd en behandeld op grond van onnavolgbare wiskundige formules.‘’2
Bedrijven maken tegenwoordig massaal gebruik van online technologieën om data over internetgebruikers te verzamelen. Een veelgebruikte manier om dit te doen, is met behulp van tracking cookies. Door het plaatsen van tracking cookies kunnen advertentienetwerken gedetailleerde informatie over een internetgebruiker verzamelen en daarmee gebruikersprofielen opstellen. Met deze informatie kunnen bedrijven vervolgens gericht adverteren. Dit wordt ook wel behavioural targeting genoemd.
Behavioural targeting heeft de capaciteit van bedrijven vergroot om consumenten persoonlijk te beïnvloeden. Over het algemeen heeft de internetgebruiker nauwelijks inzicht in dit proces waardoor er een informatie-asymmetrie ontstaat tussen bedrijven die tracking cookies plaatsen enerzijds, en de internetgebruiker anderzijds. Om deze informatie-asymmetrie tegen te gaan, is eenieder die tracking cookies op de computer van een internetgebruiker willen plaatsen, verplicht daarvoor geïnformeerde toestemming aan de betrokkene te vragen.3 Dit vereiste blijkt in de praktijk niet geschikt te zijn om informatie-asymmetrie tegen te gaan. Veel bedrijven negeren het en plaatsen tracking cookies zonder de internetgebruiker daarover te informeren dan wel toestemming daarvoor te vragen. Bovendien blijkt dat als bedrijven wel om toestemming aan de internetgebruiker hebben gevraagd, dit alsnog de informatie-asymmetrie in de praktijk niet of nauwelijks oplost.
2 Autoriteit Persoonsgegevens jaarverslag 2015, p. 7.
Informatie-asymmetrie is een belangrijk aspect bij behavioural targeting. In hoofdstuk 2 wordt besproken waarom informatie-asymmetrie een nadelig effect heeft op de privacy van de internetgebruiker. Omdat de eis van geïnformeerde toestemming voor het plaatsen van tracking cookies in de praktijk te kort schiet om informatie-asymmetrie op te lossen, ligt de maatschappelijke relevantie van mijn onderzoek in het feit dat wellicht een ander rechtsgebied op dit punt meer bescherming aan de internetgebruiker kan bieden.
In mijn onderzoek bestudeer ik de informatie-asymmetrie bij behavioural targeting vanuit het consumentenrecht en dan specifiek gericht op de Richtlijn oneerlijke handelspraktijken (hierna: de Richtlijn). Ik wil onderzoeken of deze Richtlijn ingezet kan worden om het privacy probleem bij behavioural targeting op te lossen. De onderzoeksvraag die ik uiteindelijk wil beantwoorden luidt:
Kan de Richtlijn oneerlijke handelspraktijken de consument bescherming bieden tegen informatie-asymmetrie bij behavioural targeting?
1.1 Methode van onderzoek
Om de onderzoeksvraag te kunnen beantwoorden wordt allereerst in hoofdstuk 2 het begrip behavioural targeting uitgelegd. Bovendien wordt verklaard hoe behavioural targeting bij kan dragen aan informatie-asymmetrie. Vervolgens wordt besproken waarom de eis van ‘geïnformeerde toestemming’ voor het plaatsen van tracking cookies te kort schiet om informatie-asymmetrie tegen te gaan. Ten slotte wordt uitgelegd hoe informatie-asymmetrie bij behavioural targeting een nadelig effect kan hebben op de privacy van de internetgebruiker.
In hoofdstuk 3 wordt het probleem van informatie-asymmetrie bij behavioural targeting geïllustreerd aan de hand van drie case studies. Er worden drie verschillende handelswijzen beschreven die veel bedrijven gebruiken om persoonlijke data van internetgebruikers te verkrijgen. Bedrijven hebben deze data nodig om gericht te kunnen adverteren (behavioural targeting). Er wordt uitgelegd hoe deze drie handelswijzen informatie-asymmetrie vergroten.
In hoofdstuk 4 wordt aandacht besteed aan de Richtlijn oneerlijke handelspraktijken. Er wordt aangetoond waarom de Richtlijn geschikt zou kunnen zijn om de verwerking
van gegevens bij behavioural targeting te reguleren. Dit zou een aanvulling kunnen zijn op de huidige situatie, waarin geïnformeerde toestemming uit de e-Privacyrichtlijn vereist wordt. Vervolgens wordt de Richtlijn toegepast op behavioural targeting.
In hoofdstuk 5 wordt getoetst of de drie case studies uit hoofdstuk 3 als oneerlijke handelspraktijken kunnen worden gekwalificeerd. Bij deze toetsing wordt een onderscheid gemaakt tussen misleidende handelingen, misleidende omissies en agressieve handelspraktijken. Dit onderscheid is relevant voor de helderheid en structuur van de specifieke toetsing op de case studies, die hierna volgt.
In hoofdstuk 6 wordt mijn onderzoeksvraag beantwoord. Er worden verbanden gelegd tussen de verschillende hoofdstukken, die stapsgewijs geleid hebben tot evaluatie, aanbeveling en conclusie.
2. Informatie-asymmetrie bij behavioural targeting
2.1 Behavioural targeting
Behavioural targeting is een marketingtechniek waarbij het online gedrag van mensen gebruikt wordt om gericht te kunnen adverteren. De afstemming van advertenties op persoonlijke voorkeuren heeft een groter effect dan willekeurige advertenties. Dit effect heeft een substantiële economische waarde. 4 Bedrijven gebruiken verschillende volgtechnieken zoals cookies om grote hoeveelheden gegevens over internetgebruikers te verzamelen. Hoewel mijn scriptie zich op cookies richt, worden voor behavioural targeting ook vergelijkbare technieken gebruikt.5 Een voorbeeld hiervan is het gebruik van pixeltags.6
Internetgebruikers worden online gevolgd met zogenaamde tracking cookies. Een websitehouder of een derde partij, zoals een advertentienetwerk, plaatst deze op de computer van de internetgebruiker. Het betreft kleine tekstbestandjes die het surfgedrag van internetgebruikers kunnen registreren. Deze tracking cookies blijven langere tijd opgeslagen in de internetbrowser. 7 Indien een advertentienetwerk genoeg tracking cookies op verschillende websites heeft geplaatst, kan het profielen opstellen over de interesses van internetgebruikers.
Niet alleen bedrijven kunnen belang hebben bij behavioural targeting, maar ook diegene die het internet gebruiken. Zij kunnen gebruik maken van gratis diensten op het internet, in ruil voor tracking cookies op hun computer. De gebruikers hebben bijvoorbeeld toegang tot gratis online nieuws, e-mail accounts, video’s en muziek.8 Mensen geven vaak de voorkeur aan gerichte advertenties boven willekeurige advertenties.9 Door de opkomst van het internet is een grote overvloed aan informatie ontstaan. Gerichte advertenties kunnen internetgebruikers helpen om efficiënt om te gaan met de overvloed van informatie op het internet.
4 Van der Sloot 2011, p. 62.
5 Zuiderveen Borgesius 2015, p. 878.
6https://nl-nl.facebook.com/help/mobile-touch/1516132378645371.
7 Session cookies worden verwijderd nadat de browsersessie wordt afgesloten, persistent cookies blijven daarentegen staan, www.allaboutcookies.org/cookies/cookies-the-same.html. 8 Zuiderveen Borgesius 2014b, p. 4.
Er bestaan ook non-tracking advertenties, die niet gebaseerd zijn op het gedrag van de internetgebruiker. Borgesius geeft als voorbeeld dat advertenties ook gerelateerd kunnen zijn aan de inhoud van een website. Advertenties voor auto’s kunnen bijvoorbeeld geplaatst worden op websites over auto’s.10 Deze advertenties zijn product gerelateerd, en dus niet afgestemd op de persoonlijke data van internetgebruikers.
Behavioural targeting kan echter ook nadelig zijn voor gebruikers van het internet. Dit onderzoek richt zich op informatie-asymmetrie. De getoonde informatie op het internet is ongevraagd aangepast aan het eerdere surfgedrag. De gebruiker is dikwijls niet bekend met de omvang van de verzameling van persoonlijke data en het gebruik van deze data door bedrijven.11
2.2 Het vereiste van ‘geïnformeerde toestemming’ voor het plaatsen van cookies
Het huidige reguleringskader voor gegevensverwerking is primair gebaseerd op de e-Privacyrichtlijn. Deze richtlijn werd in 2009 herzien, waarbij de wettelijke eisen voor het plaatsen van tracking cookies aangescherpt zijn. In artikel 5 lid 3 is bepaald dat het plaatsen en uitlezen van cookies alleen toegestaan is wanneer de internetgebruiker daar geïnformeerde toestemming voor heeft gegeven.12 Dit wijkt af van de oude regeling, waarbij voldeed dat gebruikers de mogelijkheid hadden om cookies te weigeren (opt-out regeling). De eis voor toestemming geldt niet voor strikt noodzakelijke cookies, zoals bijvoorbeeld cookies die de inhoud van een winkelmandje kunnen onthouden.13 De Artikel 29 Werkgroep, het adviesorgaan van de Europese Commissie op het gebied van privacy, heeft zeven soorten cookies benoemd waarvoor de eis van toestemming niet geldt (hierna: de Werkgroep).14 Hoewel deze opinies veel invloed hebben, zijn ze niet bindend.
Ten aanzien van de definitie van toestemming, verwijst de e-Privacy richtlijn naar de Dataprotectierichtlijn. Artikel 2(6) van deze richtlijn vereist een vrije, specifieke en
10 Zuiderveen Borgesius 2015, p. 879. 11 Acquisti & Grossklags 2007, p. 364. 12 Zuiderveen Borgesius 2014a, p. 227. 13 Zuiderveen Borgesius 2015, p. 879. 14 Article 29 Working Party, WP 194, p. 11.
geïnformeerde wilsuiting.15 De Werkgroep bepaalt dat specifieke informatie van te voren gegeven moet zijn en dat toestemming moet blijken uit een actieve wilsuiting.16 Bovendien stelt de Werkgroep dat de verantwoordelijkheid voor het vragen van ‘geïnformeerde toestemming’ voor het plaatsen van cookies, gedeeld wordt door zowel het bedrijf die de cookies plaatst als de websitehouder.17
In theorie kan de eis van ‘geïnformeerde toestemming’ voor het plaatsen van tracking cookies het risico op informatie-asymmetrie beperken. Wanneer een bedrijf cookies wil plaatsen moet hij aan de betrokkene alle informatie geven die noodzakelijk is om te waarborgen dat persoonsgegevens eerlijk verwerkt worden.18 Bovendien kunnen websitehouders door privacyverklaringen bijdragen aan een meer transparante verwerking van persoonsgegevens. Zonder privacyverklaring heeft een bedrijf alle informatie over hun eigen bedrijfsvoering, terwijl de consument daar helemaal niks vanaf weet.19 Het is echter onwaarschijnlijk dat een websitehouder precies kan uitleggen aan zijn bezoekers, wat er met hun gegevens gebeurt bij behavioural targeting. Dit komt doordat er vaak cookies door tientallen bedrijven geplaatst zijn, die een websitebezoek beïnvloeden. Het komt ook voor dat bedrijven persoonlijke data weer doorverkopen aan andere bedrijven, waardoor het steeds onduidelijker wordt waar de data terecht komen.20 Volgens een grote uitgever die behavioural targeting door bedrijven toestaat op haar website, is het ‘’praktisch onmogelijk om honderd procent zeker te weten wat derde partijen precies van je site halen. Je kunt onderzoek doen, maar je runt ook een site waarmee je geld moet verdienen. Je hebt die derden uiteindelijk toch nodig’’.21
Een privacyverklaring van websitehouders zou bij kunnen dragen aan meer transparantie van informatiestromen. Deze verklaring dient te beschrijven op welke manier en voor welke doeleinden persoonsgegevens verwerkt worden. Privacyverklaringen zouden informatie-asymmetrie moeten verkleinen, omdat bedrijven hierdoor belangrijke informatie met hun gebruikers delen. Helberger stelt
15 Art. 2(6) en overweging 17 van Richtlijn 2009/136/EG. 16 Article 29 Working Party 2013, WP 208, p. 3.
17 Article 29 Working Party 2010, WP 171, p. 24.
18 Artikel 10, 11 Richtlijn 95/46/EG en Artikel 2(d) Richtlijn 95/46/EG.
19 McDonald & Cranor 2008, p. 5. 20 Zuiderveen Borgesius 2015, p. 881.
21
De Telegraaf Media Group, geciteerd in M. Martijn, ‘Big Business is watching you’, De
Correspondent, 9 oktober 2013, https://decorrespondent.nl/66/Big-Business-is-watching
dat een privacyverklaring in werkelijkheid vaak erg ingewikkeld, vaag en lang geformuleerd is. Hierdoor kan betwijfeld worden of privacyverklaringen daadwerkelijk informatie-asymmetrie verkleinen.22 Deze twijfel blijkt ook uit de resultaten van onderzoekers die een economische analyse hebben toegepast op privacyverklaringen. Deze resultaten hebben aangetoond dat de kosten voor het lezen van privacyverklaringen te hoog zijn.23 Gebruikers zullen een afweging maken tussen de tijdsinspanning die het ze kost en het mogelijke voordeel van het lezen van de privacyverklaring.24 Bovendien volgt uit een belangrijke conclusie uit gedragsstudies dat het informeren van consumenten niet automatisch leidt tot geïnformeerde consumenten.25 Indien privacyverklaringen daadwerkelijk effectief en bruikbaar voor consumenten willen zijn, moet de informatie die erin is neergelegd een aantal stappen doorlopen. Het is niet alleen de inhoud die ervoor zorgt dat informatie begrijpelijk is voor de consument. Minstens zo belangrijk zijn de vorm waarin de informatie gepresenteerd wordt en de manier waarop deze informatie gecommuniceerd wordt met de consument.26 Marotta-Wurgler onderzocht het leesgedrag van End User’s License Agreement (EULA). Een EULA beschrijft de rechten en plichten van de gebruiker van een softwareproduct. Zij analyseerde het aanklikgedrag op EULA’s van bijna 50.000 huishoudens en constateerde dat slechts 0.1 – 1% van de gebruikers doorklikte naar de EULA. Bovendien keek de kleine groep die de EULA wel opende te kort om die goed te kunnen lezen. 27 Het lijkt dus erg waarschijnlijk dat het leesgedrag van privacyverklaringen ook niet erg hoog zal zijn.
Een andere reden waarom de eis van geïnformeerde toestemming voor het plaatsen van cookies niet goed werkt, wordt verklaard aan de hand van behavioural economics. Dit is een methode die gebaseerd is op de invloed van verschillende denkfouten (biases) in het gedrag van mensen. Er wordt daarbij onderscheid gemaakt tussen onder meer de ‘default bias’ en de ‘present bias’. De default bias houdt in dat mensen geneigd zijn om geen actieve keuze te maken. Samuel Johnson schreef al in 1988 over de default bias het volgende: ‘‘To do nothing is within the power of all men’’. Ik kan mij voorstellen dat bij een opt-in regime, mensen minder snel toestemming geven
22 Helberger 2013b, p. 13-17. 23 McDonald & Cranor 2008, p. 5. 24 McDonald & Cranor 2008, p. 6.
25 Special Eurobarometer 359 2011, p. 112.
26 Helberger 2013b, p. 6.
omdat er dan een actieve wilsuiting van hen vereist is. 28 Bij een opt-out regime, waarbij van mensen wordt verondersteld dat zij instemmen als ze geen bezwaar maken, wordt de toestemming juist sneller gegeven. Vaak maken websites gebruik van een opt-out regime, door te stellen dat internetgebruikers hun cookies accepteren wanneer ze gebruik blijven maken van hun website.29
De present bias houdt in dat het voordeel op de korte termijn belangrijker is dan het eventuele nadeel op de lange termijn. Typische voorbeelden hiervan zijn: ‘ik ga maandag beginnen met sparen’ of ‘ik start morgen met mijn dieet’. Een vergelijkbare redenering pas ik toe op internetgebruikers die een website willen bezoeken. Als een websitehouder de toegang tot zijn website verbindt aan de plaatsing van tracking cookies, zullen internetgebruikers dat snel accepteren. Het voordeel om op dat moment de website te kunnen bezoeken overschaduwt het risico van ongewenst gebruik van hun persoonlijke gegevens.
Privacyverklaringen blijken niet afdoende om informatie-asymmetrie te beperken. Daarnaast zorgen de biases ervoor dat de eis van geïnformeerde toestemming in de praktijk niet werkt. Informatie-asymmetrie blijft dus ook evident na de invoering van de eis van geïnformeerde toestemming bij de herziening van de e-Privacyrichtlijn. De e-Privacyrichtlijn wordt in 2018 vervangen door een verordening die onlangs is aangenomen.30
2.3 Het probleem van privacy bij informatie-asymmetrie
Borgesius stelt in zijn proefschrift ‘Improving Privacy Protection in the area of Behavioural Targeting’, dat het plaatsen van tracking cookies en het volggedrag van advertentienetwerken niet inzichtelijk is voor de internetgebruiker. 31 Voor websitebezoekers is het nauwelijks in te zien of hun gegevens verzameld worden en wat er mee gebeurt. Websitehouders hebben daardoor weinig prikkels om af te zien van behavioural targeting.32 Bovendien is het vaak zo dat veel concurrenten profiteren van informatie-asymmetrie. Als een bedrijf dit als enige niet wil doen, loopt hij het
28 Samuelson & Zeckhauser 1988, p. 1.
29 Zie bijvoorbeeld de website van KLM http://www.klm.com/home/nl/nl. 30 Verordening (EU) 679/2016.
31 Zuiderveen borgesius 2014a p. 40.
risico om uit de markt te worden gedrukt. 33 Uit een onderzoek uit 2012 is gebleken dat het gebruik van cookies door bedrijven en dan vooral tracking cookies, flink is toegenomen in de periode 2009 tot en met 2012. Bij een vergelijking van 100 populaire websites werd een toename van 2073 cookies geconstateerd.34
Econoom George Akerlof beschreef al in 1970 hoe de kwaliteit van goederen in een bepaalde markt af kan nemen wanneer er informatie-asymmetrie bestaat tussen consumenten enerzijds en handelaren anderzijds. In zijn artikel beschrijft hij aan de hand van de tweedehands automarkt, hoe moeilijk het voor consumenten is om de kwaliteit van producten of diensten te beoordelen. Hij gaat ervan uit dat deze verkopers zowel auto’s van goede als slechte kwaliteit verkopen (‘lemons’). Alleen de verkopers weten of ze een goede of slechte auto aanbieden, maar de kopers kunnen geen verborgen defecten detecteren. Een rationele koper zal de prijs bieden die correspondeert met de gemiddelde kwaliteit van alle tweedehands auto’s op de markt. Dit betekent dat de verkopers hun auto’s van goede kwaliteit niet te koop zullen aanbieden. Het resultaat is, dat de gemiddelde kwaliteit van tweedehands auto’s op de markt daalt. Kopers zullen daarom lagere prijzen gaan bieden en minder mensen zullen hun auto’s te koop aanbieden. De gemiddelde kwaliteit van auto’s op de markt zal dalen. Verkopers zullen daarom niet concurreren op kwaliteit in een markt waarin er informatie-asymmetrie bestaat over de kwaliteit van een product.35
Ik acht het aannemelijk dat de theorie van Akerlof ook kan worden toegepast op behavioural targeting. Zoals hierboven beschreven, is er bij behavioural targeting ook sprake van informatie-asymmetrie. Het is voor de internetgebruiker onduidelijk wie zijn online gedrag volgt, wat er met zijn gegevens gebeurt en wat de consequenties van het gebruik van die gegevens zijn. Dit betreft informatie die belangrijk kan zijn voor de privacy van de internetgebruiker, voor wie het moeilijk is om de risico’s voor zijn privacy op websites te beoordelen. Omdat internetgebruikers vaak niet weten of, en zou ja hoe ze gevolgd worden via websites, concurreren websites dan ook amper op privacy. Het gevolg is dat er op steeds meer websites tracking cookies geplaatst worden. Hierdoor daalt de gemiddelde kwaliteit van de waarborg van privacy op het internet. Behalve dat dit nadelig is voor de individuele internetgebruiker, is dit ook nadelig voor de samenleving als geheel. Mensen passen hun gedrag aan als ze weten
33 Vila, Greenstadt & Molnar 2004, p. 2. 34 Hoofnagle e.a. 2012, p. 286.
dat ze geobserveerd worden. Dit is het zogenaamde chilling effect.36 Hierdoor kunnen mensen zich bezwaard voelen wanneer zij bijvoorbeeld een website van een politieke partij bezoeken.37
Ook Acquisti en Grossklags menen dat informatie-asymmetrie gerelateerd is aan privacy. Zij stellen dat informatie-asymmetrie de internetgebruiker raakt, wanneer de internetgebruiker geen controle meer heeft over zijn persoonlijke data. De internetgebruiker heeft nauwelijks inzicht in de consequenties van het feit dat een bedrijf toegang tot zijn persoonlijke data heeft. 38
36 Zuiderveen Borgesius 2015, p. 2. 37 Richards 2003, p. 387.
3. Case studies
3.1 Het plaatsen van cookies zonderde internetgebruiker te informeren. Het komt vaak voor dat op websites tracking cookies geplaatst worden, zonder dat de internetgebruiker hierover geïnformeerd wordt. Wanneer een website hier wel over informeert, is deze informatie meestal onduidelijk en bewust onopvallend geplaatst. Dit lijkt mij oneerlijk omdat een internetgebruiker er, mede door de eis van ‘geïnformeerde toestemming’ niet vanuit gaat dat er zonder zijn toestemming toch cookies op zijn computer geplaatst kunnen worden. 39
De gegeven toestemming van de internetgebruiker voor het plaatsen van cookies moet vrij, specifiek en geïnformeerd zijn.40 Informatie over cookies is voldoende specifiek, wanneer het duidelijk en precies verwijst naar de omvang van de verwerking van data en eventuele consequenties ervan.41 De Artikel 29 Werkgroep meent dat de voorwaarde voor specifieke informatie een heldere, begrijpelijke en zichtbare kennisgeving over het gebruik van de cookies betreft. Als voorbeeld geeft de Werkgroep aan, dat een website een link zou kunnen plaatsen op een prominente plek, die verwijst naar alle soorten cookies op hun website.42 De kennisgeving dient voorafgaand aan het plaatsen van de cookies te gebeuren. Wanneer een website niet informeert over het plaatsen van de cookies of dit op een verborgen wijze doet, wordt dus niet aan de eis van specifieke informatieverstrekking voldaan. Het niet vermelden over het gebruik van cookies draagt daardoor bij aan informatie-asymmetrie.
Er bestaan wel mogelijkheden voor de internetgebruiker om een beter inzicht te krijgen in het aantal cookies die op een website geplaatst worden. Een voorbeeld is het downloaden en toevoegen van de applicatie ‘Ghostery’ aan de internetbrowser.43 Ghostery geeft de internetgebruiker een overzicht van advertentienetwerken die hem volgen op de websites die hij bezoekt. Met deze applicatie kan je onder andere zien of, en zo ja door welke bedrijven er cookies geplaatst worden. Bovendien kan je zelf bepalen of je de cookies wil toestaan of juist blokkeren. Hierdoor kan de gebruiker een beter overwogen keuze maken of en met wie hij zijn persoonlijke data wil delen.
39 Artikel 5.3 van Richtlijn 2009/136/EG en Artikel 11.7a lid 5 van de Telecomunicatiewet. 40 Artikel 1 sub i Wet Bescherming Persoonsgegevens.
41 Article 29 Working Party 2011, WP 187, p. 17. 42 Article 29 Working Party 2013, WP 202, p. 3. 43 https://www.ghostery.com.
Dit zou kunnen bijdragen aan een beperking van de informatie-asymmetrie bij behavioural targeting. Stel dat een internetgebruiker zich wel bewust is van het feit dat er zonder zijn toestemming cookies op zijn computer geplaatst kunnen worden, dan weet hij nog steeds niet welke data er verzameld worden en door wie. Zelfs wanneer een internetgebruiker de applicatie Ghostery aan zijn browser heeft toegevoegd, blijft het voor hem onduidelijk wat er met zijn persoonlijke data gebeurt.
3.2 Een dienst als ‘gratis’ aanprijzen
Online diensten worden vaak als ‘gratis’ aangeprezen, omdat er geen geld voor betaald hoeft te worden.Een voorbeeld daarvan is Facebook: ‘’It’s free and always will be’’.44 Het is inderdaad juist dat er geen geld voor de dienst betaald hoeft te worden maar daarmee is niet alles gezegd. Het is voor de internetgebruiker niet altijd duidelijk dat er in plaats van geld, persoonlijke data verzameld worden. Deze data kunnen gebruikt worden om de functionaliteit van de dienst te verbeteren. Data zouden daarnaast gebruikt kunnen worden voor behavioural targeting en vertegenwoordigen daarmee een bepaalde commerciële waarde. 45 De EU-Commissaris voor Consumentenbescherming zei al in maart 2009: “Personal data is the new oil of the Internet and the new currency of the digital world”.46 Het ontbreken van informatie over data verzameling en het opstellen van gebruikersprofielen voor gerichte advertenties dragen bij aan informatie-asymmetrie.
Het verdienmodel van Facebook is gericht op advertenties. Het bedrijft toont reclame op zijn eigen site maar ook op andere websites en in apps van derden. Borgesius stelt dat het waarschijnlijk is dat de advertenties die op Facebook getoond woorden veelal gepersonaliseerde advertenties zijn.47 Facebook is een voorbeeld van een bedrijf dat een ‘gratis’ dienst levert in ruil voor het verzamelen van persoonlijke data. Maar het bedrijf gaat nog een stapje verder. In mei 2016 maakte het sociale netwerk bekend dat zij ook aan niet-leden advertenties gaat tonen.48 Hierdoor wordt Facebook een grote concurrent van Google, die al langere tijd advertenties aan allerlei websites en apps toont, ongeacht of je een Google-account hebt. Deze maatregel van Facebook zorgt er
44 https://www.facebook.com/ 45 Helberger 2016, p. 7.
46 Meglena Kuneva, Roundtable on Online Data Collection, Targeting and Profiling (European Commission, 2009).
47 Zuiderveen Borgesius 2014a, p. 264.
48 https://www.facebook.com/notes/facebook-and-privacy/giving-people-information-and-control-over-ads/1057910154258866?__mref=message_bubble
dus voor, dat er een grotere doelgroep bereikt wordt. Dit is natuurlijk erg aantrekkelijk voor adverteerders. Facebook gaat het gedrag van niet-gebruikers volgen, om ook aan hen gepersonaliseerde advertenties te kunnen tonen. Dit doet het bedrijf met de ‘likeknop’ op allerlei websites. Met deze methode wordt bijgehouden welke sites bezocht worden en op basis daarvan wordt een persoonlijk profiel samengesteld. Facebook toont in Europa een nieuwe banner, waarin het bedrijf uitlegt hoe ze cookies gebruiken om ook niet-gebruikers te volgen: ‘To personalize content, tailor and measure ads, and provide a safer experience, we use cookies. By tapping on the site, you agree to our use of cookies on and off Facebook. Learn more, including about controls: Cookies Policy’’.49
Ik ben van mening dat het aanprijzen van een dienst als zijnde ‘gratis’ niet correct is, indien daarbij niet vermeld wordt dat er in plaats van geld, persoonlijke data verzameld worden. Daarnaast heb ik er bezwaar tegen, dat internetgebruikers die bewust geen Google account of Facebook profiel hebben aangemaakt, alsnog door deze bedrijven online gevolgd kunnen worden. De alsmaar groeiende bemoeienis van bedrijven als Facebook en Google met internetgebruikers leidt ertoe dat de informatie-asymmetrie op het internet steeds groter wordt. Internetgebruikers krijgen steeds minder inzicht in het gebruik van hun persoonlijke data door bedrijven. De strategie van zowel Google als Facebook beperkt bovendien de keuzevrijheid van internetgebruikers.
3.3 Het plaatsen van een cookiewall
Voor het plaatsen van tracking cookies is geïnformeerde toestemming van de internetgebruiker vereist. De basisgedachte is dat gebruikers pas geïnformeerd zijn over de plaatsing van tracking cookies, indien zij een keus hebben kunnen maken. Veel websites reageerden op deze verplichting door de toegang van bezoekers op hun website te weigeren, indien zij niet accepteerden dat er tracking cookies op hun computer geplaatst werden. Websites kunnen dit doen met behulp van een cookiewall.50
49 http://www.rtlz.nl/tech/advertentieoorlog-tussen-google-en-facebook-nu-echt-losgebarsten 50 Zuiderveen Borgesius 2014a, p. 232.
In Nederland ontstond er ophef over een cookiewall, die de NPO instelde bij de website www.uitzendinggemist.nl.51 Uiteindelijk verdween de cookiewall van deze website. Inmiddels is de Nederlandse wetgeving aangepast en is het verboden voor krachtens publiekrecht ingestelde rechtspersonen om gebruik te maken van cookiewalls.52 Dit verbod geldt niet voor private partijen, die in de praktijk nog veel gebruik maken van cookiewalls. Er zijn wel vraagtekens te stellen bij de juistheid van deze methode om toestemming voor cookies te vragen. Het is niet waarschijnlijk dat internetgebruikers de toestemming ‘vrij’ aanklikken. Zij willen immers per direct de website bezoeken en zijn dus eigenlijk niet vrij in hun keuze.
Acquisti en Grossklags merken op, dat ook wanneer bedrijven wel om toestemming vragen, het probleem van informatie-asymmetrie nog steeds niet opgelost is. Zelfs als consumenten toegang zouden hebben tot een compleet informatieoverzicht over de cookies en behavioural targeting, dan nog zouden ze niet in staat zijn om optimaal te reageren op de grote hoeveelheid data.53 Ten eerste zijn er veel bedrijven betrokken bij behavioural targeting en zijn de onderliggende datastromen gecompliceerd. Ten tweede weten consumenten niet, wat er zal gebeuren met hun data. Het is moeilijk voor mensen om vast te stellen hoeveel van hun persoonlijke data wordt opgeslagen tijdens een bezoek aan een website. Het is bijvoorbeeld onduidelijk of hun data gedeeld zullen worden met andere bedrijven, en zo ja met welke bedrijven. Daarnaast is het zo dat als mensen zouden weten wat bedrijven met hun data doen, het nog steeds moeilijk is om de consequenties ervan te overzien.
Een voorbeeld van een Nederlandse website die gebruik maakt van een cookiewall is www.rtlnieuws.nl (hierna: RTL-nieuws). Om meer inzicht te krijgen in welke advertentienetwerken cookies plaatsen op deze website, maak ik gebruik van de applicatie Ghostery. Bij mijn bezoek aan de website verschijnt er een cookiewall op mijn beeldscherm.54 Om de website te kunnen bezoeken, moet ik accepteren dat er cookies op mijn computer geplaatst worden. Bovendien wordt er vermeld dat de website onderdeel is van het RTL-netwerk en dat ik daardoor verplicht wordt om ook te accepteren dat er cookies op alle andere websites van RTL geplaatst worden. Voorbeelden hiervan zijn www.buienradar.nl en www.rtllatenight.nl. 55 Bovendien
51 Helberger 2013a, p.1.
52 Artikel 11.7a lid 5 Telecommunicatiewet. 53 Acquisti & Grossklags 2007, p. 6.
54http://www.rtlnieuws.nl/cookiewet?s=http%3A%2F%2Fwww.rtlnieuws.nl%2F. 55http://www.buienradar.nl/ en http://www.rtllatenight.nl/.
stelt de cookiewall ook, dat de gegevens die via een van de websites van RTL worden verzameld allemaal gecombineerd mogen worden. Pas nadat ik op akkoord klik, krijg ik toegang tot de website van RTL-nieuws. Bij mijn eerste bezoek worden er maar liefst 17 trackers door Ghostery gesignaleerd: 11 voor reclame, 2 voor klantinteractie, 2 voor site-analyse en 2 voor sociale media. Bij mijn tweede bezoek worden er zelfs 19 trackers gesignaleerd: 12 voor reclame, 2 voor klantinteractie, 2 voor site-analyse en 3 voor sociale media. De cookiewall van RTL-nieuws informeert over het feit dat er bij het bezoeken van hun website cookies op de computer van hun bezoekers geplaatst worden. De cookiewall vermeldt echter niet, hoeveel cookies er geplaatst worden en door wie en wat er vervolgens gebeurt met de persoonlijke data die zij verzameld hebben. Bovendien verschilt het aantal bedrijven dat cookies op mijn computer plaatst bij elk websitebezoek. Daarom draagt het plaatsen van een cookiewall bij aan informatie-asymmetrie.
4. Richtlijn oneerlijke handelspraktijken
4.1 Mogelijkheden van de Richtlijn voor behavioural targeting?
Op 11 mei 2005 is de Richtlijn oneerlijke handelspraktijken tot stand gekomen.56 De Richtlijn heeft als doel het niveau van consumentenbescherming tegen oneerlijke handelspraktijken te verbeteren. Dit soort praktijken ondermijnen het vertrouwen van de consument en ontregelen de markt. Wanneer een consument te maken krijgt met oneerlijke handelspraktijken, kan hij geen goede beslissing nemen over een eventuele transactie.57 De regelgeving met betrekking tot oneerlijke handelspraktijken zou voorwaarden moeten creëren, waardoor consumenten beter geïnformeerd zijn om weloverwogen beslissingen te kunnen nemen. Uitgangspunt van de Richtlijn is, dat een consument op een autonome en vrije wijze keuzes kan maken, zonder dat hij op oneerlijke wijze gemanipuleerd wordt.58 Dit uitgangspunt kan mijns inziens in verband gebracht worden met behavioural targeting. Het valt immers te betwisten of internetgebruikers autonome en vrije keuzes over transacties kunnen maken als gevolg van de tracking cookies.
Helberger beschrijft waarom de Richtlijn mogelijk perspectief biedt voor de beantwoording van privacyvraagstukken. Dit is relevant voor mijn onderzoek omdat aangetoond is dat informatie-asymmetrie bij behavioural targeting ten koste gaat van de kwaliteit van privacy op het internet. Allereerst stelt zij dat de regels uit de Richtlijn niet exclusief gericht zijn op de individuele consument maar net zo goed op de samenleving als geheel. Eerlijkheid, privacy en autonome keuzes zijn niet alleen rechten van de individuele consument maar zijn tevens de essentiële bouwstenen van een vrije digitale maatschappij. 59 Dit is interessant omdat behavioural targeting ook een grotere reikwijdte heeft dan alleen de individuele internetgebruiker.60
Dat de regels over oneerlijke handelspraktijken belangrijk kunnen zijn voor de privacy van consumenten blijkt ook uit een recente rechtspraktijk in de Verenigde Staten. Daar wordt op dit moment door de Federal Trade Commission (hierna: FTC) gewerkt aan een rechtspraktijk waarbij de open norm ‘oneerlijk’ voor handelspraktijken, gebruikt wordt om vraagstukken over privacy en 56 Richtlijn 2005/29/EG. 57 Kamerstukken II 2006/07, 30928, 3, p. 1. 58 Helberger 2016, p. 16. 59 Helberger 2016, p. 16. 60 Helberger 2016, p.16.
gegevensverwerking te handhaven en te reguleren.61 De FTC is al meer dan honderd jaar de handhaver en toezichthouder voor misleidende en oneerlijke handelspraktijken in de Verenigde Staten.62 Sinds de opkomst van het internet heeft de FTC zich daarnaast bezig gehouden met online privacy- en gegevensbescherming van de consument op de Amerikaanse markt.63 Van Eijk beschrijft dat de FTC in de afgelopen jaren een rechtspraktijk ontwikkeld heeft, waarbij met bedrijven zogenaamde consent agreements overeengekomen zijn nadat bij hun ongeoorloofd gedrag geconstateerd werd. Deze consent agreements zijn gericht op het bewerkstelligen van gedragsverandering van bedrijven.64 Hierin zijn afspraken gemaakt over de daadwerkelijke naleving van privacy binnen een bedrijf en over transparantie.65 De FTC heeft inmiddels al veel onderzoek gedaan naar oneerlijke handelspraktijken van bedrijven op het internet. Dit onderzoek van de FTC heeft zelfs geresulteerd dat consent agreements gesloten zijn met grote bedrijven als Facebook en Google. 66 De impact van deze consent agreements dient dan ook niet onderschat te worden. De Amerikaanse wetenschappers Solove en Hartzog stellen al in 2014 het volgende: ‘’FTC privacy jurisprudence has become the broadest and most influential regulating force on information privacy in the United States – more so than nearly any privacy statute or any common law tort’’.67 De indruk bestaat dat men in Amerika al verder is met privacyvraagstukken en de regelgeving die de consument moet beschermen. Van Eijk stelt dat de Richtlijn Oneerlijke Handelspraktijken een vergelijkbare benadering mogelijk maakt in Europa. De Autoriteit Consument en Markt (hierna: ACM) ziet in Nederland toe op de Richtlijn en houdt zich bezig met het beschermen van de belangen van consumenten. Volgens van Eijk kan de ACM een eigen methode ontwikkelen ten aanzien van handelingen bij het verwerken en verzamelen van persoonsgegevens, die als oneerlijke handelspraktijken aangemerkt zouden kunnen worden.
61 Van Eijk 2016, p. 1532.
62 Kannekens & van Eijk 2016, p. 102. 63 Kannekens & van Eijk 2016, p. 103.
64 Kannekens & van Eijk 2016, p. 103.
65 Van Eijk 2016, p. 1533.
66 Kannekens & van Eijk 2016, p. 103.
4.2 Toepassingsgebied van de Richtlijn
Om te beoordelen of behavioural targeting onder de reikwijdte van de Richtlijn valt, wordt eerst het toepassingsgebied van de Richtlijn beschreven. Het toepassingsgebied is beperkt tot oneerlijke handelspraktijken van handelaren jegens consumenten vóór, gedurende en na de totstandkoming van een commerciële transactie van een product. Oneerlijke handelspraktijken tussen ondernemingen vallen niet onder het bereik van de Richtlijn. 68 De handelaar dient er ervoor te zorgen, dat hij zowel voorafgaand, tijdens en na een transactie aan de eerlijkheidsnorm blijft voldoen.69 De Richtlijn verbiedt oneerlijke handelspraktijken.70 Handelspraktijken worden gedefinieerd als: ‘iedere handeling, omissie, gedraging, voorstelling van zaken of commerciële communicatie, met inbegrip van reclame en marketing van een handelaar, die rechtstreeks verband houdt met de verkoopbevordering, verkoop of levering van een product aan consumenten’.71 Het begrip ‘handelaar’ wordt gedefinieerd als: ‘een natuurlijke persoon of rechtspersoon die handelspraktijken verricht die onder de Richtlijn vallen en die betrekking hebben op zijn bedrijfs- of beroepsactiviteit, alsook degene die in naam van, of voor rekenschap van hem optreedt’.72 Beide begrippen worden breed uitgelegd en de Richtlijn raakt dan ook vrijwel alle commerciële gedragingen en communicatie die op consumenten zijn gericht. De Richtlijn is verder van belang voor eenieder die op enigerlei zakelijke wijze betrokken is bij dit proces.73
De richtlijn bevat een algemene norm, aan de hand waarvan beoordeeld kan worden wanneer er sprake is van een oneerlijke handelspraktijk. Dit is het geval indien ‘een handelaar handelt in strijd met de vereisten van professionele toewijding’. Hierdoor wordt het vermogen van de gemiddelde consument die de handelaar bereikt of op wie de handelaar gericht is, beperkt. De gemiddelde consument kan daardoor een besluit over een overeenkomst nemen, dat hij anders niet genomen had. 74 Uit het arrest Gut
Springenheide volgt, dat de gemiddelde consument de ‘redelijk geïnformeerde,
omzichtige en oplettende gewone consument’ is. 75
68 Kamerstukken II 2006/07, 30928, 3, p. 1. 69 Broekman 2005, p. 176.
70 Artikel 5 lid 1 van Richtlijn 2005/29/EG. 71 Artikel 2 (d) van Richtlijn 2005/29/EG. 72 Artikel 2 (b) van Richtlijn 2005/29/EG. 73 Broekman 2005, p. 176.
74 Artikel 5 (2) van Richtlijn 2005/29/EG & Kamerstukken II 2006/07, 30928, 3, p. 2. 75 HvJ EU 16 juli 1998, C-210/96 (Gut Springenheide).
De algemene norm voor oneerlijke handelspraktijken wordt onderverdeeld in misleidende handelspraktijken (artikelen 6 en 7) en agressieve handelspraktijken (artikelen 8 en 9). Misleidende handelspraktijken worden vervolgens onderverdeeld in misleidende handelingen en misleidende omissies, waaronder het niet geven van informatie aan de consument. Tot slot bevat de Richtlijn een limitatieve lijst met concrete gedragingen, die onder alle omstandigheden misleidend of agressief zijn en daarom aan te merken zijn als oneerlijke handelspraktijken. Dit is de zogenaamde zwarte lijst.
4.3 Toepassing van de Richtlijn op behavioural targeting
Om te beoordelen of de Richtlijn van toepassing kan zijn op behavioural targeting, zijn een aantal dingen van belang. In formele zin bestaat er geen belemmering voor de toepassing omdat de e-Privacyrichtlijn en de –verordening de toepassing van de algemene regels uit de Richtlijn oneerlijke handelspraktijken niet uitsluiten.76
Voor het beantwoorden van de hoofdvraag van mijn scriptie, is het allereerst van belang om te toetsen of de Richtlijn van toepassing is op behavioural targeting. De Richtlijn is van toepassing op oneerlijke handelspraktijken van ondernemingen jegens consumenten voor, gedurende en na een commerciële transactie met betrekking tot een product.77 De Richtlijn heeft een breed toepassingsgebied en is vooral breed om aan te sluiten bij snel ontwikkelende producten, diensten en verkooptechnieken. Dit betreft zowel online als offline transacties. 78 De Richtlijn is onafhankelijk van de gebruikte marketingtechniek. Daarnaast is de Richtlijn van toepassing, ongeacht welk medium of apparaat handelaren en consumenten met elkaar verbindt. 79 De Europese Commissie heeft door de open norm ‘oneerlijk’ te hanteren, rekening willen houden met het feit dat bedrijven nieuwe technieken zullen ontwikkelen en met de keuze van deze formulering een zekere mate van flexibiliteit willen creëren.80
Bij de beoordeling van de vraag of behavioural targeting onder de reikwijdte van de Richtlijn valt, zijn een aantal aspecten van belang. Allereerst moet beoordeeld worden
76 Van Eijk 2016, p. 1533.
77 Artikel 3 van Richtlijn 2005/29/EG. 78 Europese Commissie 2016, p. 6. 79 Europese Commissie 2016, p. 118.
of het plaatsen van tracking cookies een handelspraktijk van een handelaar is. Zowel het begrip handelspraktijk als handelaar dienen breed geïnterpreteerd te worden. Bij behavioural targeting worden tracking cookies geplaatst door de websitehouder of door advertentienetwerken met het doel om gerichte advertenties aan consumenten te tonen. Hierdoor dient de verkoop van producten bevorderd te worden. Zowel de websitehouder als de advertentienetwerken kunnen daarom bij behavioural targeting als handelaar worden aangemerkt. Bovendien zijn deze advertenties gericht aan individuele consumenten. Wanneer tracking cookies geplaatst worden die alleen bestemd zijn voor professionele wederpartijen, valt de handelspraktijk niet onder de reikwijdte van de Richtlijn.
De laatste voorwaarde waar behavioural targeting aan moet voldoen om onder de Richtlijn te vallen, is dat de handelspraktijk plaatsvindt voor, gedurende of na een commerciële transactie met betrekking tot een product. In artikel 2(k) van de Richtlijn staat gedefinieerd wat een ‘besluit over een transactie’ precies inhoudt. Het gaat erom of een consument een besluit genomen heeft over de vraag of en zo ja, hoe en onder welke voorwaarden hij een product koopt, betaalt, behoudt of vervreemd. Bovendien is het van belang of een contractant recht uitoefent in verband met het product, ongeacht of de consument wel of niet tot handelen overgaat. Deze definitie wordt ruim uitgelegd en heeft een ruim toepassingsgebied als het gaat over beslissingen die door consumenten genomen zijn in relatie tot het product.81 Het Europese Hof heeft daaraan toegevoegd, dat een ‘commerciële transactie’ niet alleen de beslissing inhoudt om een product te kopen maar ook beslissingen die daar direct gerelateerd aan zijn.82 Een commerciële transactie gaat over elke beslissing van een consument die te maken heeft met het aanschaffen van een product of dienst. Behalve de beslissing om een product of dienst aan te schaffen, zijn er ook andere beslissingen die de consument kan nemen met betrekking tot een product of dienst. 83 Een voorbeeld van een beslissing die voorafgaand aan een transactie plaats kan vinden, is de beslissing van de consument om eerst een winkel binnen te lopen. Een ander voorbeeld is de beslissing van een internetgebruiker om een website te bezoeken naar aanleiding van een advertentie die zijn aandacht trok.84 De advertenties die een internetgebruiker te zien krijgt door behavioural targeting, proberen de verkoop van een product of dienst
81 Europese Commissie 2016, p. 37.
82 CJEU 19 December 2013, Case C-281/12 (Trento Svilippo srl, Centrale Adriatica Soc.
Coop. Arl v Autorita Garante della concorrenza e del Mercato), paragraphs 35, 36 & 38.
83 Europese Commissie 2016, p. 36. 84 Europese Commissie 2016, p. 37.
te bevorderen. Het aanklikken van een advertentie is een eerdere handeling die tot een transactie kan leiden. Aangezien aan alle voorwaarden van het toepassingsgebied van de Richtlijn is voldaan, acht ik de Richtlijn van toepassing op behavioural targeting.85 In het volgende hoofdstuk wordt getoetst of de drie handelspraktijken van bedrijven uit hoofdstuk 3 volgens de Richtlijn als oneerlijk gekwalificeerd kunnen worden.
5. Toetsing van de Richtlijn oneerlijke handelspraktijken
5.1 Misleidende handelingen, -omissies en agressieve handelspraktijken
Alvorens de toetsing nader te beschrijven, wordt eerst ingegaan op de verschillende oneerlijke handelspraktijken waar dit onderzoek betrekking op heeft. Het betreft misleidende handelingen, -omissies en agressieve handelspraktijken. Het uitgangspunt is, dat de consument een geïnformeerde en dus effectieve keuze moet kunnen maken.86 Handelspraktijken waarbij de consument wordt bedrogen of waarbij hem belangrijke informatie wordt onthouden, dienen als misleidend te worden beschouwd indien deze de consument ertoe aanzetten om een besluit te nemen dat hij anders niet had genomen. 87
De Richtlijn definieert een misleidende handeling als een handelspraktijk waarbij gegeven informatie, ongeacht of deze juist of onjuist is, de gemiddelde consument misleidt of kan misleiden.88 In artikel 6 van de Richtlijn zijn een aantal aspecten genoemd die beschrijven wanneer informatie misleidend kan zijn. Hierbij dient steeds getoetst te worden, of de informatie ertoe leidt dat de consument een besluit over een overeenkomst neemt dat hij anders niet genomen had.89 Op de zwarte lijst zijn een aantal handelingen opgenomen, die onder alle omstandigheden als misleidend worden aangemerkt. Voor de handelingen op de lijst is deze toets niet vereist.90 Bij een misleidende omissie wordt juist essentiële informatie weggelaten. Opzet van een handelaar is geen vereiste voor de kwalificatie misleidende omissie. 91
Behalve het feit dat een consument een goed geïnformeerde keuze moet kunnen maken, dient hij ook vrij te zijn om de keuze te maken die hij wil. De Richtlijn probeert tegen te gaan, dat de consument deze keuzevrijheid niet heeft door agressieve handelspraktijken te verbieden. De toets om te beoordelen of sprake is van een agressieve handelspraktijk, is vergelijkbaar met de toets van misleidende omissies. In de Richtlijn zijn een aantal factoren opgenomen waar rekening mee gehouden moet worden bij deze toetsing.92
86 Overweging 14 van Richtlijn 2005/29/EG 87 Broekman 2005, p. 176.
88 Artikel 6 Richtlijn 2005/29/EG 89 Verkade 2009, p. 43.
90 Bijlage I van Richtlijn 2005/29/EG 91 Verkade 2009, p. 42.
5.2 Kan het plaatsen van tracking cookies zonder de internetgebruiker te informeren een misleidende handelspraktijk zijn?
In hoofdstuk 3 is aangetoond dat er regelmatig tracking cookies op de computer van een internetgebruiker worden geplaatst, zonder dat de internetgebruiker hierover geïnformeerd wordt. De informatie aan de websitebezoeker dat er tracking cookies op zijn computer worden geplaatst, zou eventueel een misleidende omissie kunnen zijn.93 Bij de beoordeling of dat het geval is, dienen er aan een aantal voorwaarden te zijn voldaan.
Is informatie over tracking cookies essentieel? In het vorige hoofdstuk is aangetoond dat het plaatsen van tracking cookies voor behavioural targeting een handelspraktijk is.94 Er dient vervolgens beoordeeld te worden of de informatie over tracking cookies als essentiële informatie kan worden beschouwd. In hoofdstuk 2 is aangetoond dat behavioural targeting de capaciteit van bedrijven heeft vergroot om consumenten persoonlijk te beïnvloeden. Door het plaatsen van tracking cookies kunnen bedrijven gedetailleerde informatie over een internetgebruiker verkrijgen, gebruikersprofielen opstellen en gericht adverteren.95 Met deze methode kan het gedrag van de internetgebruiker beïnvloed worden. De informatie over tracking cookies is dus essentieel voor de consument.
Wat is een commerciële transactie? Er dient beoordeeld te worden in hoeverre de informatie over tracking cookies ertoe kan leiden dat de gemiddelde consument een ander besluit over een commerciële transactie neemt. Het gaat dan om een besluit dat voorafgaand, gedurende of na een commerciële transactie wordt genomen. Elke beslissing van een consument die te maken heeft met het aanschaffen van een product of dienst wordt beschouwd als een commerciële transactie. De beslissing van een internetgebruiker om een website te bezoeken naar aanleiding van een advertentie valt hier ook onder.96
93 Artikel 7 van Richtlijn 2005/29/EG. 94 Art. 2 sub d Richtlijn 2005/29/EG. 95 Helberger 2016, p. 15.
Wie is de gemiddelde consument? Er dient beoordeeld te worden of het plaatsen van tracking cookies zonder de internetgebruiker hierover te informeren, ertoe kan leiden dat de gemiddelde consument een ander besluit over een commerciële transactie neemt. De gemiddelde internetgebruiker is niet altijd bekend met het gebruik van cookies door bedrijven. Bovendien gaat de consument er niet vanuit gaat dat er cookies op zijn computer geplaatst worden zonder zijn toestemming. Een internetgebruiker kan pas maatregelen nemen, wanneer hij op de hoogte gesteld wordt over het gebruik van cookies. Hij kan dan besluiten om de betreffende website niet meer te bezoeken. Bovendien kan hij er voor kiezen om een alternatieve website zonder tracking cookies te bezoeken. Daarnaast kan hij ook andere maatregelen nemen om het gebruik van tracking cookies te vermijden. Hij zou direct na afloop van het gebruik van een website de tracking cookies kunnen verwijderen. Helberger beschrijft dat de gemiddelde consument ook de kritische digitale consument zou kunnen zijn. Deze consument is op de hoogte van het feit, dat bedrijven het surfgedrag van internetgebruikers volgen met behulp van cookies. 97 Voor deze consument leidt de informatie over cookies er minder snel toe dat hij een ander besluit over een transactie zal nemen. Hij heeft dit immers al eerder meegenomen in zijn besluitvorming.
Wat zijn de gevolgen voor de commerciële transactie? Er dient aan nog een voorwaarde getoetst te worden, om te bepalen of het niet informeren over tracking cookies als misleidende omissie beschouwd kan worden. Het is aannemelijk dat een consument een ander besluit over een transactie zou nemen, wanneer het bedrijf hem wel geïnformeerd zou hebben over tracking cookies. Hierboven is al opgemerkt dat de informatie over tracking cookies essentieel is voor de internetgebruiker. Uit een onderzoek van de Europese Commissie in 2011 is gebleken dat een meerderheid van de internetgebruikers het vervelend vindt om op het internet gevolgd te worden door bedrijven.98 Deze mensen zullen daarom misschien besluiten om websites met tracking cookies te vermijden, wanneer zij op de hoogte zijn gesteld van het gebruik van tracking cookies. In dat geval kan het niet informeren over cookies door bedrijven worden aangemerkt als misleidende omissie.
Wat is de invloed van privacyverklaringen en biases op de transactie? In hoofdstuk 2 is aangetoond dat privacyverklaringen niet effectief zijn om de internetgebruiker te
97 Helberger 2016, p. 10.
informeren over het gebruik van cookies. In de praktijk blijkt dat vrijwel niemand de privacyverklaringen leest en deze vaak niet begrijpt. Het informeren over cookies door bedrijven in een privacyverklaring, leidt er dus niet toe dat een internetgebruiker daadwerkelijk geïnformeerd is. Hierdoor zal een internetgebruiker waarschijnlijk ook websites met tracking cookies blijven bezoeken, nadat de informatie hem in feite wel beschikbaar gesteld is. Bovendien worden mensen beïnvloed door de present bias, zoals beschreven in hoofdstuk 2. Het voordeel op de korte termijn prevaleert boven het eventuele nadeel op de langere termijn. De meeste private partijen stellen toegang tot hun website afhankelijk van een cookiewall. Het bedrijf heeft dan immers aan de eisen voldaan, maar de informatie bereikt de consument in feite niet. De informatie over het plaatsen van cookies wordt niet als misleidende omissie aangemerkt, wanneer deze er niet toe leidt dat de consument een andere beslissing over een transactie zal nemen.
5.3 Kan een dienst die als ‘gratis’ wordt aangeprezen een misleidende handelspraktijk zijn?
Het aanprijzen van een dienst als gratis zonder erbij te vermelden dat er persoonlijke data over de gebruiker verzameld wordt, zou een misleidende handeling kunnen zijn. Daarnaast zou deze handelspraktijk ook een misleidende omissie kunnen zijn.99 In feite wordt een dienst aangeprezen als gratis, terwijl er een tegenprestatie van de consument verwacht wordt. Deze tegenprestatie bestaat uit inzage van zijn persoonlijke data. Dit is verwarrend voor de consument, omdat hij er vanuit gaat dat de dienst gratis is. Bovendien kan het achterwege laten van informatie over cookies bij het gebruik van een ‘gratis’ dienst een misleidende omissie zijn.
Voordat deze handelswijze getoetst wordt aan de voorwaarden van misleidende handeling of misleidende omissie, wordt er eerst gekeken naar de zwarte lijst. Op de zwarte lijst staan 23 handelspraktijken van bedrijven die onder alle omstandigheden misleidend zijn. 100 Het voordeel van de zwarte lijst is, dat bij deze handelspraktijken niet meer beoordeeld hoeft te worden wat de impact van de handelspraktijk is op het gedrag van de consument.101 Nummer 20 van de zwarte lijst stelt dat een handelspraktijk zonder meer misleidend is, indien een product als ‘gratis, voor niets,
99 Artikel 6 van Richtlijn 2005/29/EG. 100 Verkade 2009, p. 51.
kosteloos en dergelijke’ wordt omschreven en de consument in feite op een andere manier toch betaalt. Onvermijdelijke kosten zoals bezorging staan los van de ‘’gratis’’ dienst op zichzelf.102 Deze handelspraktijk is in de lijst opgenomen omdat consumenten verwachten dat wanneer iets als gratis aangeprezen wordt, dit ook daadwerkelijk het geval is. De Europese Commissie heeft het over betalen met geld. Geld is echter een rekbaar begrip: persoonlijke data vertegenwoordigen ook een economische waarde. In onze huidige digitale wereld zijn veel bedrijfsmodellen gebaseerd op andere ruilmiddelen dan geld, zoals bijvoorbeeld data. De EU-Commissaris heeft al in 2009 gewezen op het belang van persoonlijke data. Het zou de nieuwe valuta van onze digitale wereld worden. 103 Op basis hiervan is het aanprijzen van een ‘gratis’ dienst in ruil voor data een misleidende handelspraktijk op grond van nummer 20 van de zwarte lijst van de Richtlijn.
Het gelijkschakelen van betalen met data aan het betalen met geld is niet zonder problemen. Het voordeel van geld boven data is, dat het voorziet in een gestandaardiseerde en transparante wijze om de waarde ervan te beschrijven.104 Bovendien kan de waarde van geld uitgedrukt worden in de lokale valuta. Het is de vraag wie de rechthebbende van data is, wanneer we uitgaan van betaling met data. Is het wenselijk om data als object van eigendom te behandelen? En als we er al voor kiezen om data als object van eigendom te behandelen, is het nog maar de vraag wie de rechthebbenden zijn. De informatie die bij ‘gratis’ diensten verwerkt wordt, komt zowel van de internetgebruikers als van de dienstverlener. De gebruikers van de dienst leveren de informatie maar de aanbieders zorgen ervoor dat de informatie beschikbaar en presentabel wordt. 105 Het is echter zeer de vraag of Facebook die op haar online forum persoonsgegevens bewerkt en presenteert, daarmee ook rechthebbende van die informatie wordt.
Vooralsnog is het niet duidelijk of het aangenomen kan worden, dat er met data betaald kan worden. Daarom is het niet zeker of dit als een misleidende handelspraktijk op grond van nummer 20 van de zwarte lijst gekwalificeerd kan worden. Toch is het voor consumenten misleidend, als aan hen niet vermeldt wordt dat hun persoonlijke data verzameld en gebruikt worden door een dienstverlener. Dit
102 Nummer 20 van Bijlage I van Richtlijn 2005/29/EG.
103 Meglena Kuneva, Roundtable on Online Data Collection, Targeting and Profiling (European Commission, 2009).
104 Helberger 2016, p. 9. 105 Prins 2016, p. 1.
