Die vervelende cookiebanners, wie kent die nu niet? Als je verder gaat dan “alles accepteren” en in de details duikt, zie je af en toe voorbijkomen dat de website zich wil beroepen op een gerechtvaardigd belang om, ondanks het feit dat je geen toestemming hebt gegeven, alsnog bepaalde cookies te plaatsen. Maar het inroepen van een gerechtvaardigd belang om cookies te plaatsen, kan dat wel?

Cookies, hoe zat dat ook alweer?

Wanneer je cookies op het apparaat van een bezoeker zou willen plaatsen of als je bepaalde cookies die zich op het apparaat bevinden zou willen uitlezen, dient je transparant te zijn. Aan de bezoeker moet op een duidelijke en eenvoudig worden uitgelegd wat de cookies doen en waarom je ze gebruikt. Daarnaast is in principe ook toestemming van de bezoeker nodig. Dit is echter niet noodzakelijk wanneer de cookies strikt noodzakelijk zijn.

Om aan deze verplichting van toestemming uit te komen gebruiken verschillende websites een cookie banner waarin “legitimate intrest”, “legitiem belang” of “gerechtvaardigd belang” standaard staat aangevinkt.

Cookies worden immers beheerst door twee verschillende wetgevingsinstrumenten. Aan de ene kant is er de ePrivacy richtlijn (in België omgezet in de wet van 13 juni 2005 betreffende elektronische communicatie) en aan de andere kant is er de GDPR met betrekking tot de verwerking van persoonsgegevens aangezien cookies ook persoonsgegevens kunnen uitmaken.

Wat is gerechtvaardigd belang?

Gerechtvaardigd belang betekent dat organisaties persoonsgegevens kunnen verwerken als dit nodig is voor hun legitieme belangen. Dit kan enkel wanneer het gerechtvaardigd belang van de verwerkingsverantwoordelijke zwaarder doorweegt dan de belangen of grondrechten en fundamentele vrijheden van de betrokkene.

Voorbeelden van gerechtvaardigde belangen zijn onder meer in bepaalde gevallen het voorkomen van fraude en netwerk- en informatiebeveiliging. Als een verwerkingsverantwoordelijke een gerechtvaardigd belang heeft bij het verwerken van persoonlijke gegevens, hoeft ze geen toestemming te vragen aan de betrokkenen voor deze verwerking.

Het concept van gerechtvaardigd belang bestaat enkel in de GDPR. In de ePrivacy richtlijn komt deze immers niet voor.

Cookies plaatsen op basis van gerechtvaardigd belang, kan dat dan?

Een taskforce opgericht binnen de EDPB – European Data Protection Board (de verzameling van de nationale toezichthouders – is van oordeel dat een niet-conformiteit met art. 5, derde lid ePrivacy-richtlijn (namelijk het niet hebben van een geldige toestemming wanneer dat vereist is) betekent dat de daaropvolgende verwerking niet in overeenstemming kan zijn met de GDPR. Daarenboven bevestigde de taskforce dat de grondslag voor het plaatsen of lezen van cookies overeenkomstig art. 5, derde lid ePrivacy-richtlijn niet de gerechtvaardigde belangen van de verwerkingsverantwoordelijke kunnen zijn. (EDPB, Report of the work undertaken by the Cookie Banner Taskforce, randnummer 24).

Afgaand op de positie van de EDPB, lijkt het omwille van de vereisten in de ePrivacy-richtlijn niet mogelijk om het plaatsen van cookies te baseren op een gerechtvaardigd belang.