Achtergrond
Wat is de Wet Digitale Netwerken?
van Florian Bodoky
Toestemming zonder controle: Waarom cookiebanners mislukken
21/5/2025
Vertaling: machinaal vertaald
Na een aantal jaren van juridische geschillen is het nu duidelijk dat het "Transparantie en Toestemmingsraamwerk" in strijd is met de Algemene Verordening Gegevensbescherming van de EU. Op "OK" klikken op een cookiebanner is niet genoeg om de gegevens te verwerken zoals veel bedrijven doen.
Wat is het TCF?
Wat is nu het probleem?
Dataprotectionisten hebben al lange tijd kritiek op verschillende aspecten. Ten eerste het gebrek aan transparantie van het systeem. Gewone consumenten kunnen over het algemeen niet begrijpen welke gegevens van hen worden verwerkt en met welk doel. Je krijgt geen effectieve controle over toestemming omdat je niet echt begrijpt waar je toestemming voor geeft als je op een cookiebanner klikt «Accepteer alle».
In een ecosysteem waarin gegevens in een fractie van een seconde aan honderden spelers worden doorgegeven, lijkt het principe van «informed consent» meer fictie dan werkelijkheid. De hamvraag was of de gegevens die waren opgeslagen in een TC-string persoonsgegevens waren. De rechtbank beantwoordde deze vraag bevestigend.
Als gevolg hiervan schendt het TCF verschillende artikelen van de GDPR:
Artikel 5, lid 1 lit. a en b
- Het verzamelen en gebruiken van TC Strings is vaak niet begrijpelijk voor gebruikers.
- Je kunt vaak niet herkennen welke gegevens naar wie gaan - dit is in strijd met het transparantiebeginsel.
- De doeleinden van gegevensverwerking zijn vaak te algemeen of onduidelijk geformuleerd.
- Gebruikers kunnen geen gedifferentieerde toestemming geven - bijvoorbeeld wel voor reclame, maar niet voor tracking voor marktonderzoek.
Artikel 6, lid 1, onder a
- Verwerking van persoonsgegevens is alleen toegestaan met daadwerkelijke toestemming.
- TC-strings kunnen ook zijn afgedwongen door niet-transparante cookiebanners of donkere patronen.
Artikel 7, lid 1
- Het louter opslaan van een TC-string is onvoldoende bewijs van geldige toestemming.
- Informatie over wanneer, hoe en door wie toestemming is gegeven ontbreekt vaak.
Wie treft schuld en wat zijn de gevolgen voor de schuldigen?
De term «joint controllership» betekent volgens de GDPR (artikel 26) dat meerdere partijen gezamenlijk verantwoordelijk zijn voor bepaalde stappen in het verwerkingsproces. Ze beslissen samen welke doeleinden en middelen voor gegevensverwerking worden gebruikt. Het moet duidelijk geregeld zijn wie welke taken vervult, want gebruikers moeten een specifieke contactpersoon hebben om hun rechten te kunnen laten gelden.
Deze uitspraak kan echter ook andere gevolgen hebben. De meerderheid van de Europese websites vertrouwt immers op het TCF. Dit betekent dat een zeer groot aantal gebruikers wordt getroffen door onrechtmatige gegevensverwerking - wat de vraag oproept naar mogelijke schadeclaims. Deze zullen echter waarschijnlijk gaan naar de adverteerders die zonder wettelijke basis met deze gegevens hebben gewerkt.
Wat gebeurt er nu?
De beslissing kan worden gezien als een mijlpaal. De vraag is nu hoe het verder moet. De uitdaging is om technische oplossingen te creëren die voldoen aan de eisen van de GDPR. Gegevensbescherming «by design» en «by default» - d.w.z. gegevensbescherming vanaf de ontwerpfase - moet aanwezig zijn om te voldoen aan de GDPR. De nieuwe versie van het TCF is de toetssteen voor IAB Europe.
Wat betekent dit voor Zwitserland?
Omslagfoto: Shutterstock
Sinds ik ontdekt heb hoe ik beide telefoonkanalen op de ISDN kaart kan activeren voor meer bandbreedte, ben ik aan het knutselen met digitale netwerken. Ik knutsel al met analoge netwerken sinds ik kan praten. Winterthur door keuze met een rood-blauw hart. En koffie - voor, na, tussendoor en tijdens.
Achtergrond
Interessante feiten uit de wereld van producten, een kijkje achter de schermen van fabrikanten en portretten van interessante mensen.
Alles tonen
