Nieuwe EU-regels voor bescherming online privacy

De Europese Commissie heeft op 10 januari nieuwe regels voor online privacy gepresenteerd. De zogeheten ePrivacy verordening regelt de vertrouwelijkheid van communicatie bij internet- en telecomdiensten en is een aanvulling op de algemene nieuwe Europese privacyregels. Zowel deze speciale als de algemene privacyregels zouden vanaf 25 mei 2018 in werking moeten treden.

De ePrivacy verordening geeft specifieke privacy-regels voor internet en telecomdiensten. Hieronder vallen bijvoorbeeld diensten als Skype, WhatsApp en e-mail, maar het gaat ook over tracking cookies en het doen van (online) persoonlijke aanbiedingen (direct marketing). De regels gelden voor alle bedrijven die in de EU dergelijke diensten aanbieden of ervan gebruik maken.

Het uitgangspunt is dat alle communicatie in principe geheim is (artikel 5). Providers mogen alleen gegevens verwerken zolang die nodig zijn om de dienst te verlenen of als de gebruiker expliciet toestemming geeft. Andere gegevens, zoals de inhoud van de communicatie maar ook eventuele metadata, die door het gebruik van de dienst beschikbaar zijn, mogen niet worden bewaard of moet geanonimiseerd worden (artikel 7).

Tracking en cookies

De regels over toestemming vragen voor het plaatsen van cookies door websites zijn vergelijkbaar met de situatie die we in Nederland al kennen. Denk hierbij aan de cookiemeldingen die je op websites tegenkomt.

De Europese Commissie denkt van een deel van de cookiemeldingen af te komen, door een instellingsmogelijkheid aan de browser toe te voegen. Via je browser kan je dan aangeven welke cookies je standaard wel en niet wilt accepteren (artikel 10). Zo zou je bijvoorbeeld standaard trackingcookies kunnen weren. Waarop de Commissie baseert dat hierdoor het aantal cookiemeldingen daadwerkelijk minder wordt, wordt niet goed duidelijk, want bedrijven mogen nog steeds de toegang weigeren als je als bezoeker trackingcookies weigert.

De verordening geeft niet aan welke cookie-instelling standaard aangevinkt moet zijn, maar alleen dat de instelling aangeboden moet worden. Bits of Freedom noemt het een gemiste kans dat niet standaard de meest privacy-vriendelijke instelling aan staat (privacy by default). Iedere gebruiker zal dat straks zelf moeten controleren en instellen.

Het stiekem volgen van mensen door te kijken welke unieke kenmerken hun mobiel of computer heeft en daarmee hun surfgedrag te volgen ('device-fingerprinting') wordt verboden. Diensten mogen alleen die gegevens over je mobiel of computer verwerken die nodig zijn om de dienst te leveren (artikel 8). Als de dienst toch meer gegevens wil verzamelen, zal ze daarvan duidelijk melding moeten maken en toestemming moeten vragen.

Direct Marketing

Voor het opnemen van gegevens van personen in een openbaar te raadplegen (telefoon-)gids, moet toestemming worden gevraagd (artikel 15). Het principe dat mensen persoonlijk benaderd kunnen worden voor een aanbieding (direct marketing) blijft bestaan. Daarbij moet er wel verplicht een bel-me-niet register zijn, zoals dat in Nederland al bestaat (artikel 16). Ook moeten er duidelijkere mogelijkheden worden geboden om je af te melden voor deze direct marketing-telefoontjes of mailtjes.

Toezicht

Omdat deze e-privacy regels een uitwerking zijn van de Europese Algemene Verordening Gegevensbescherming (AVG), wordt het toezicht van deze regels ook bij de Autoriteit Persoonsgegevens gelegd (artikel 18). De toezichthouder kan voor het schenden van de vertrouwelijkheid van communicatie boetes opleggen tot 4% van de wereldwijde omzet van een organisatie of 20 miljoen euro als dat hoger is. Dat zijn dezelfde boetes zoals die in artikel 79 AVG zijn vastgelegd. Voor het schenden van het verbod op tracking(cookies) geldt een lagere maximale boete van 2% of 10 miljoen euro als dat hoger is (artikel 23).

De regels zouden tegelijk met de Algemene Verordening Gegevensbescherming op 25 mei 2018 van kracht moeten worden. Na drie jaar wordt de wet door de Europese Commissie geëvalueerd (artikel 28).

Het Europarlement en de lidstaten moeten het voorstel nog behandelen.